Escenario — la promoción de las 18:00

El informe dice que las cinco firmas son válidas. Pero una firma válida solo dice que alguien firmó. Una de las cinco imágenes lleva una identidad que, a primera vista, parece de la organización, pero pertenece a otra.

Otra de las imágenes se firmó con el flujo correcto y desde la organización correcta, pero no desde la referencia que exige la política. Alguien publicó con prisa una corrección y el flujo firmó lo que tenía a mano.

La política exige, además de la identidad, un SBOM atestado cuyo sujeto sea el mismo digest que se promueve. Compara en el informe el digest de cada servicio con el sujeto de su SBOM.

Con la política en la mano, solo pasan las imágenes que cumplen todo a la vez: identidad exacta (emisor, repositorio propio, flujo y rama) y SBOM del mismo digest. Haz la cuenta sobre las cinco candidatas.

Son las 16:40. Coordinación necesita saber qué entra a las 18:00 y qué se le dice a producto, que cree que el verde del pipeline ya lo garantizaba.