Escenario — auditoría de un flujo GitOps multi-entorno

Una aplicación de producción que sigue una rama y se sincroniza sola despliega cualquier cambio que llegue a ella. En los entornos de prueba seguir la rama principal es habitual; en producción, lo esperable es una etiqueta o una versión fija. Cruza el destino de cada aplicación con lo que sigue y su sincronización.

Un proyecto del controlador delimita de dónde puede venir lo que se despliega en un destino. Si el destino es producción y entre los orígenes permitidos hay un repositorio de otro entorno, un cambio en ese repositorio puede llegar a producción por un camino que nadie revisa como tal.

La rama de producción no exige firma y el historial muestra, para cada commit, si lo tiene y si es válida. Cuenta los commits del último mes que no tienen una firma válida, sea por falta de firma, por firma inválida o por clave desconocida.

El inventario de secretos del repositorio de producción dice cómo se guarda cada valor. Uno de ellos no está cifrado y su valor es recuperable por cualquiera que lea el archivo.

El encargo trae una rúbrica de prioridad y cuatro hallazgos anotados por el equipo sin orden. Aplica la rúbrica, no lo que suene más técnico: un hecho consumado se atiende antes que un riesgo.