2.6 KiB
SBOM
Файлы SBOM прикладываются к релизным артефактам.
Они также присоединяется к образам в виде аттестаций. Для проверки:
cosign verify-attestation box.lapttm.ru/main/pyenv:py3.14-g39 \
--key sigstore-pub \
--insecure-ignore-tlog \
--type 'https://lapttm.internal/spec/cyclonedx#sbom-base-sys'
cosign verify-attestation box.lapttm.ru/main/pyenv:py3.14-g39 \
--key sigstore-pub \
--insecure-ignore-tlog \
--type 'https://lapttm.internal/spec/cyclonedx#sbom-python-venv'
-
Почему
--insecure-ignore-tlog-- для полной отвязки от внешних сервисов (Fulcio/Rekor), которые не доступны в air-gapped среде.Замечание: здесь на демо-витрине это не является каким-либо компромиссом ИБ, т.к. операции по сборке не делегированы сторонним площадкам/сервисам, и для контроля целостности на участке "от сборки до доставки/хранения" достаточно лишь проверки хэш-сумм. Применение аттестаций в текущем процессе избыточно и реализовано исключительно для удобства прикрепления SBOM к OCI-образам.
-
Почему два перечня SBOM -- образ составляется из двух "слоёв": для системных пакетов и Python-окружения (venv) отдельно. Использование сторонних утилит (например, для слияния SBOM-ов в один файл) в процессах сборки сильно ограничивается умышленно. Для решения подобных задач предпочитаем собственные библиотеки.
SCA
Результаты проверки компонентов прикладываются к релизным артефактам.