Registros de imagen y despliegue

Una imagen se nombra con un repositorio y una etiqueta, por ejemplo caja-web:5.2. Pero la etiqueta es solo un apodo: quien tenga permiso para empujar puede volver a apuntarla a otra imagen. El digest, en cambio, es la huella del contenido: si el contenido cambia, el digest cambia, y no se puede mover. Por eso las políticas serias comparan digests y no etiquetas.

Abre registro_de_imagenes y busca la fila de api-pagos con etiqueta 1.4: hay dos.

La política de imágenes de la empresa fija un solo registro aprobado. Un despliegue cuya imagen empieza por otro dominio salió por un camino que nadie revisó, aunque el nombre del repositorio parezca familiar. Compara la columna imagen de despliegues con la política.

La política exige firma. En el registro hay una imagen sin firmar cuya etiqueta coincide con otra firmada. La columna subido_por distingue la cuenta del proceso de integración, que firma, de una persona que empujó a mano. Atribuir el empuje no es acusar a nadie: es saber a quién preguntar.

Una vez identificado el digest sin firma, la pregunta es dónde está corriendo. Los despliegues traen el digest que quedó en ejecución, que es lo que de verdad importa: la etiqueta de la columna imagen no dice qué contenido arrancó.

Hay tres cruces posibles entre el registro y el clúster: despliegues cuyo digest no está firmado, imágenes que cambian de digest bajo una misma etiqueta y despliegues con imagen de un registro no aprobado. Uno de ellos separa lo normal de lo sospechoso con menos falsos positivos y dice qué contenido corre.