CI/CD · Продвинутая
Как защитить software supply chain
Контролировать зависимости, образы, подписи и происхождение артефактов.
Кратко: за 2 минуты
Контролировать зависимости, образы, подписи и происхождение артефактов. Результат работы — Supply Chain Policy.
Когда применять
Урок относится к этапу «CI/CD». Автоматизировать путь изменения от коммита до проверяемого и обратимого релиза. Задачу выполняют до реализации или согласования зависимого решения, чтобы команда опиралась на проверенные факты и однозначные договоренности.
Что это дает
Правильно выполненная работа снижает стоимость переделок, делает решение проверяемым и дает участникам единый источник информации. Практический результат фиксируется в артефакте «Supply Chain Policy».
Пошагово: как выполнить
- Генерируйте SBOM
- Сканируйте зависимости и образы
- Подписывайте и проверяйте artifacts
Критерии приемки
- Критичные CVE блокируют выпуск
- Provenance проверяется
- Базовые образы обновляются
Типичные ошибки
- Использовать latest tag
- Скачивать actions без фиксации версии
Инструменты
Пример
Плохой пример
Использовать latest tag
Хороший пример
Учебный пример. Сборка фиксирует версии зависимостей и происхождение образа. Перед выпуском проверяется соответствие артефакта доверенной сборке; успешный запуск контейнера сам по себе не подтверждает его происхождение.
Шаблон
Контроль артефакта
Скачать рабочий лист этого урока
Выбрать рабочий шаблонРабочий артефакт
Рабочий артефакт
Контроль артефакта
Учебный пример. Сборка фиксирует версии зависимостей и происхождение образа. Перед выпуском проверяется соответствие артефакта доверенной сборке; успешный запуск контейнера сам по себе не подтверждает его происхождение.
- Build
- Test
- Deploy
- Rollback
Контроль качества
Карта delivery pipeline
Критичные CVE блокируют выпуск
После релизов, изменения требований, обновления целей и появления новых рисков.
Контекст, проблему, доказательство, владельца, срок и критерий приемки.
Перед отметкой выполнено: Критичные CVE блокируют выпуск
Как применять
Начинайте с влияния на пользователя, продукт и команду. Затем проверьте реализуемость, критерии качества и формат доказательства результата. Хороший пункт чеклиста объясняет, какую проблему закрываем, как выполняем работу и по каким признакам считаем ее завершенной.
Короткие ответы
Частые вопросы
Зачем выполнять пункт «Как защитить software supply chain»?
Правильно выполненная работа снижает стоимость переделок, делает решение проверяемым и дает участникам единый источник информации. Практический результат фиксируется в артефакте «Supply Chain Policy».
С чего начать выполнение?
Генерируйте SBOM
Как понять, что пункт выполнен?
Критичные CVE блокируют выпуск
Какая ошибка чаще всего мешает результату?
Использовать latest tag
Режим обучения
Тест по теме
Проверка понимания
Ответьте на вопросы по материалу и получите итоговый отчет: что понято хорошо, а что стоит перечитать.
Для углубленного изучения
Редакция Ariol · Версия 2 · Обновлено
Независимая экспертная проверка не заявлена.
Что обновлено
- — Обновлено: Название, Шаблон результата, Пример, Плохой пример, Заголовок поиска, Описание поиска, Поисковые фразы.
Материал предназначен для обучения. Адаптируйте рекомендации к внутренним регламентам компании и условиям проекта.
Предложить исправление через контакты Ariol