SBOM

Файлы SBOM прикладываются к релизным артефактам.

Они также присоединяется к образам в виде аттестаций. Для проверки:

cosign verify-attestation box.lapttm.ru/main/pyenv:py3.14-g39 \
  --key sigstore-pub \
  --insecure-ignore-tlog \
  --type 'https://lapttm.internal/spec/cyclonedx#sbom-base-sys'

cosign verify-attestation box.lapttm.ru/main/pyenv:py3.14-g39 \
  --key sigstore-pub \
  --insecure-ignore-tlog \
  --type 'https://lapttm.internal/spec/cyclonedx#sbom-python-venv'

• Почему --insecure-ignore-tlog -- для полной отвязки от внешних сервисов (Fulcio/Rekor), которые не доступны в air-gapped среде.

  Замечание: здесь на демо-витрине это не является каким-либо компромиссом ИБ, т.к. операции по сборке не делегированы сторонним площадкам/сервисам, и для контроля целостности на участке "от сборки до доставки/хранения" достаточно лишь проверки хэш-сумм. Применение аттестаций в текущем процессе избыточно и реализовано исключительно для удобства прикрепления SBOM к OCI-образам.

• Почему два перечня SBOM -- образ составляется из двух "слоёв": для системных пакетов и Python-окружения (venv) отдельно. Использование сторонних утилит (например, для слияния SBOM-ов в один файл) в процессах сборки сильно ограничивается умышленно. Для решения подобных задач предпочитаем собственные библиотеки.

SCA

Результаты проверки компонентов прикладываются к релизным артефактам.