### SBOM

Файлы SBOM прикладываются к [релизным артефактам](/main/turborag/releases).

Они также присоединяется к образам в виде аттестаций. Для проверки:

```sh
cosign verify-attestation box.lapttm.ru/main/turborag:py3.14t-g39 \
  --key sigstore-pub \
  --insecure-ignore-tlog \
  --type 'https://lapttm.internal/spec/cyclonedx#sbom-base-sys'
```

```sh
cosign verify-attestation box.lapttm.ru/main/turborag:py3.14t-g39 \
  --key sigstore-pub \
  --insecure-ignore-tlog \
  --type 'https://lapttm.internal/spec/cyclonedx#sbom-python-venv'
```

  - Почему `--insecure-ignore-tlog` -- для полной отвязки от внешних сервисов (Fulcio/Rekor), которые не доступны в _air-gapped_ среде.

    Замечание: здесь на демо-витрине это не является каким-либо компромиссом ИБ, т.к. операции по сборке не делегированы сторонним площадкам/сервисам, и для контроля целостности на участке "от сборки до доставки/хранения" достаточно лишь проверки хэш-сумм. Применение аттестаций в текущем процессе избыточно и реализовано исключительно для удобства прикрепления SBOM к OCI-образам.

    <!-- Дополнение: модель доверия выстраивается и конфигурируется индивидуально в зависимости от предпочтений заказчика относительно выбора УЦ/KMS и площадки выполнения сборки. -->

  - Почему два перечня SBOM -- образ составляется из двух _"слоёв"_: для системных пакетов и Python-окружения (_venv_) отдельно. Использование сторонних утилит (например, для слияния SBOM-ов в один файл) в процессах сборки сильно ограничивается умышленно. Для решения подобных задач предпочитаем собственные библиотеки.


### SCA

Результаты проверки компонентов прикладываются к [релизным артефактам](/main/turborag/releases).