Imágenes, registros de despliegue y procedencia

Una imagen de contenedor se nombra con una etiqueta (como 1.8.2 o latest) y se identifica de verdad por su digest, un resumen criptográfico de su contenido. La etiqueta es un puntero que quien tiene permiso de escritura puede mover a otra imagen: la misma etiqueta puede apuntar mañana a un contenido distinto. El digest no se puede mover sin cambiar el contenido.

Por eso, al investigar, el registro de despliegue sirve si guarda el digest que corrió, y no solo la etiqueta. En este ejemplo los digests están abreviados.

Abre la consola. Ejecuta SELECT * FROM despliegues WHERE carga = 'api-pedidos' AND imagen LIKE '%:1.8.2'.

En una empresa con registro propio, lo normal es que todo lo que corre en producción venga de ahí. Una imagen que viene de un registro externo, sin firma y con hallazgos críticos en el escaneo, es una pregunta: puede ser una herramienta de soporte puntual autorizada por un cambio, o algo que nadie revisó. La tabla dice quién la lanzó; el cambio aprobado no está en estas tablas.

Ejecuta SELECT * FROM despliegues WHERE imagen NOT LIKE 'registro.lacteos-mojana.lab/%'.

El registro de imágenes cuenta quién subió qué y desde dónde. Cuando una misma etiqueta aparece subida dos veces con digests distintos, alguien la movió. Lo normal es que lo haga la canalización desde su dirección; una subida manual desde otra estación es un dato que va al informe, con la advertencia de que el registro no dice por qué.

Ejecuta SELECT * FROM registro_imagenes WHERE imagen = 'pedidos/api:1.8.2'.

Una firma de imagen dice que alguien con una clave determinada firmó ese digest. Eso es procedencia: sirve para comprobar que lo que corre es lo que la canalización publicó. No dice nada sobre si el contenido es seguro, ni sobre si el escaneo encontró algo, ni sobre quién tenía la clave en ese momento. Y al revés: una imagen sin firma no es por eso maliciosa; es una imagen cuya procedencia no se puede comprobar con ese mecanismo.