info

README.md

@@ -0,0 +1,33 @@
+
+### SBOM
+
+Файлы SBOM прикладываются к [релизным артефактам](/main/turborag/releases).
+
+Они также присоединяется к образам в виде аттестаций. Для проверки:
+
+```sh
+cosign verify-attestation box.lapttm.ru/main/turborag:py3.14t-g39 \
+  --key sigstore-pub \
+  --insecure-ignore-tlog \
+  --type 'https://lapttm.internal/spec/cyclonedx#sbom-base-sys'
+```
+
+```sh
+cosign verify-attestation box.lapttm.ru/main/turborag:py3.14t-g39 \
+  --key sigstore-pub \
+  --insecure-ignore-tlog \
+  --type 'https://lapttm.internal/spec/cyclonedx#sbom-python-venv'
+```
+
+  - Почему `--insecure-ignore-tlog` -- для полной отвязки от внешних сервисов (Fulcio/Rekor), которые не доступны в _air-gapped_ среде.
+
+    Замечание: здесь на демо-витрине это не является каким-либо компромиссом ИБ, т.к. операции по сборке не делегированы сторонним площадкам/сервисам, и для контроля целостности на участке "от сборки до доставки/хранения" достаточно лишь проверки хэш-сумм. Применение аттестаций в текущем процессе избыточно и реализовано исключительно для удобства прикрепления SBOM к OCI-образам.
+
+    <!-- Дополнение: модель доверия выстраивается и конфигурируется индивидуально в зависимости от предпочтений заказчика относительно выбора УЦ/KMS и площадки выполнения сборки. -->
+
+  - Почему два перечня SBOM -- образ составляется из двух _"слоёв"_: для системных пакетов и Python-окружения (_venv_) отдельно. Использование сторонних утилит (например, для слияния SBOM-ов в один файл) в процессах сборки сильно ограничивается умышленно. Для решения подобных задач предпочитаем собственные библиотеки.
+
+
+### SCA
+
+Результаты проверки компонентов прикладываются к [релизным артефактам](/main/turborag/releases).