Peta dunia

 

EN

Dunia D5: Hantar & Lindung

SBOM, provenance dan tandatangan

Anda akan belajar: hantar senarai bahan dan rekod "dibuat di sini" bersama image, dan apa yang tandatangan tambah.

Teks BM belum disemak oleh penutur asli.

Disemak dengan Docker Engine 29 pada 31 Okt 2026

Masalahnya

Malam ini, lubang baru dijumpai dalam musl. Anda jalankan 30 image. Yang mana ada musl di dalamnya?

Tengok

bash
docker buildx imagetools inspect ghcr.io/you/kedai-api:1.0 --format '{{ range .SBOM.SPDX.packages }}{{ .name }} {{ .versionInfo }}{{ "\n" }}{{ end }}' | grep -E '^(node|npm|musl|kedai-api) '
kedai-api 1.0.0
musl 1.2.6-r3
node 24.22.2
npm 11.19.1

SBOM: Senarai bahan perisian: label ramuan. Ia senaraikan setiap pakej dan versi di dalamnya. (senarai bahan) senaraikan setiap pakej dan versinya. Image ini ada 168. Ya, musl ada di dalamnya.

Cuba

provenance: Label "dibuat di sini" yang ditandatangani: repo, commit dan workflow mana yang bina image ini. (rekod asal usul) ialah rekod “dibuat di sini”: resepi mana, bahan apa, bagaimana. BuildKit boleh tambah kedua-dua label semasa membina. Bina arahan itu.

Ketik kepingan ikut turutan yang betul.

…

Tengok

Label itu bergerak bersama image, dalam registry yang sama. Output sebenar daripada docker buildx imagetools inspect.

Tekan baris yang menandakan label itu.

0 daripada 1 dijumpai

Tengok

tandatangan (signing): Meterai kalis usik pada digest image. Sesiapa boleh semak sebelum menjalankan image itu. tambah meterai kalis usik. cosign daripada Sigstore tandatangani digest image. Susun langkahnya.

Langkah pertama di atas. Susun ikut turutan. Guna anak panah, atau seret.

  • Push ke registry
  • Bina image
  • Tandatangani digest-nya
  • Semak meterai sebelum menjalankannya

Teka

Seseorang tukar pek dalam peti sejuk. Tag sama, bait baru. Apa kata semakan meterai?

Anda berjaya!

Kini anda boleh hantar image bersama senarai bahan dan rekod “dibuat di sini”.

Nak tahu lebih (pilihan)

BuildKit tambah rekod provenance kecil secara lalai (mode=min). Attestation perlukan containerd image store, iaitu lalai untuk pemasangan baru Docker 29. Tandatangan tanpa kunci guna log masuk GitHub atau Google anda. Ia tulis ke log awam. Bahagian 2, Dunia C2 tandatangan dalam CI dengan actions/attest.

Latihan sebenar (pilihan), selepas log masuk ke GHCR (pelajaran 2):

Misi sebenar

  1. docker buildx build --sbom=true --provenance=mode=max -t ghcr.io/YOUR-NAME/kedai-api:1.0 --push .
  2. docker buildx imagetools inspect ghcr.io/YOUR-NAME/kedai-api:1.0 --format '{{ json .SBOM.SPDX }}'

0 daripada 3 langkah siap · Tanda anda disimpan.