33 lines
2.5 KiB
Markdown
33 lines
2.5 KiB
Markdown
|
|
||
|
|
### SBOM
|
||
|
|
|
||
|
|
Файлы SBOM прикладываются к [релизным артефактам](/main/turborag/releases).
|
||
|
|
|
||
|
|
Они также присоединяется к образам в виде аттестаций. Для проверки:
|
||
|
|
|
||
|
|
```sh
|
||
|
|
cosign verify-attestation box.lapttm.ru/main/turborag:py3.14t-g39 \
|
||
|
|
--key sigstore-pub \
|
||
|
|
--insecure-ignore-tlog \
|
||
|
|
--type 'https://lapttm.internal/spec/cyclonedx#sbom-base-sys'
|
||
|
|
```
|
||
|
|
|
||
|
|
```sh
|
||
|
|
cosign verify-attestation box.lapttm.ru/main/turborag:py3.14t-g39 \
|
||
|
|
--key sigstore-pub \
|
||
|
|
--insecure-ignore-tlog \
|
||
|
|
--type 'https://lapttm.internal/spec/cyclonedx#sbom-python-venv'
|
||
|
|
```
|
||
|
|
|
||
|
|
- Почему `--insecure-ignore-tlog` -- для полной отвязки от внешних сервисов (Fulcio/Rekor), которые не доступны в _air-gapped_ среде.
|
||
|
|
|
||
|
|
Замечание: здесь на демо-витрине это не является каким-либо компромиссом ИБ, т.к. операции по сборке не делегированы сторонним площадкам/сервисам, и для контроля целостности на участке "от сборки до доставки/хранения" достаточно лишь проверки хэш-сумм. Применение аттестаций в текущем процессе избыточно и реализовано исключительно для удобства прикрепления SBOM к OCI-образам.
|
||
|
|
|
||
|
|
<!-- Дополнение: модель доверия выстраивается и конфигурируется индивидуально в зависимости от предпочтений заказчика относительно выбора УЦ/KMS и площадки выполнения сборки. -->
|
||
|
|
|
||
|
|
- Почему два перечня SBOM -- образ составляется из двух _"слоёв"_: для системных пакетов и Python-окружения (_venv_) отдельно. Использование сторонних утилит (например, для слияния SBOM-ов в один файл) в процессах сборки сильно ограничивается умышленно. Для решения подобных задач предпочитаем собственные библиотеки.
|
||
|
|
|
||
|
|
|
||
|
|
### SCA
|
||
|
|
|
||
|
|
Результаты проверки компонентов прикладываются к [релизным артефактам](/main/turborag/releases).
|