I0920 — Závislosti image jsou známé a jeho advisories jsou politika
Zaznamenat, co obsahuje produkční image, získat audit závislostí a verdikt o zranitelnostech a stanovit politiku závažnosti a dostupnosti oprav, aby kontrola měla smysl a nebyla trvale červená.
BLOKOVÁNO vlna 4 · p2 · profil implementation · bezpečné paralelně
Součást fly-deployment — Image kontejneru je projekcí modelu repozitáře a jeho smoke test je jeho důkazem.
Blokováno. Tento úkol nemůže začít, dokud není I0909 hotovo. Stav je z toho odvozen, ne deklarován.
Cíl
Zaznamenat, co obsahuje produkční image, získat audit závislostí a verdikt o zranitelnostech a stanovit politiku závažnosti a dostupnosti oprav, aby kontrola měla smysl a nebyla trvale červená.
Proč
O obrazu s neznámým obsahem nelze po zveřejnění zranitelnosti uvažovat. Skener nastavený tak, aby selhal při každém upozornění v každé databázi, se do týdne vypne, což je horší než žádný skener.
Aktuální stav
Neexistuje žádný image, inventář, sken ani politika.
Cílový stav
Inventář balíčků a audit závislostí se získávají stejným ověřením, které spouští vše ostatní, a politika uvádí, které nálezy blokují a které se jen zaznamenávají.
Rozsah
- .ai/repo/policy.yaml
- .github/workflows/validate.yml
Mimo rozsah
- Bezpečnostní dashboard nebo vlastní databáze zranitelností
- Selhání buildu kvůli advisories bez dostupné opravy a bez zneužitelné cesty
Závislosti
Co na tom čeká
Kritéria přijetí
- Inventář runtime balíčků image je získán a zaznamenán
- Audit závislostí běží a jeho verdikt je součástí kontroly
- Politika závažnosti a dostupnosti oprav je deklarována jako data, ne jako próza, a gate ji čte
- Kde to praxe repozitáře podporuje, vzniká vedle image i soupis komponent (bill of materials)
- Externí akce workflow jsou připnuty k neměnným referencím podle konvence repozitáře
Validace
- bash test/run.sh
- majordomus deploy doctor
Požadované důkazy
- dependency_audit
- package_inventory
- severity_policy
- actions_pinned
Důkazy
Nic nezaznamenáno. Za každým tokenem výše musí stát příkaz nebo artefakt, než lze tento úkol dokončit; vyprávění se odmítá.
Riziko
Politika, která blokuje všechno, je politika, kterou nikdo nedodržuje. Práh musí být uveden tam, kde ho lze posoudit, ne zakopán ve workflow.
Časová osa
- zahájeno
- —
- ověřeno
- —
- dokončeno
- —
Tato tři pole, důkazy výše a stav závislostí jsou vše, z čeho se stav skládá. Neexistuje žádné pole stavu, které by s nimi mohlo být v rozporu.
Kanonický záznam: .ai/repo/project/issues/I0920.yaml. Načtěte jej zpět pomocí majordomus plan show I0920.