Imágenes y su procedencia

Una etiqueta (tablero:2.7) es un nombre que el repositorio puede reasignar a otro contenido cuando se sube una imagen con la misma etiqueta. Un digest (sha256:…) identifica un contenido exacto: si el contenido cambia, el digest cambia. El estado del pod guarda, por cada contenedor, el digest de la imagen que el nodo descargó (imageID).

Por eso, ante un incidente, la etiqueta del manifiesto no demuestra qué corrió; el digest del pod, sí.

En el estado de cada pod, el campo de la imagen en ejecución trae el digest descargado. La política de descarga Always hace que cada vez que un contenedor arranca el nodo vuelva a resolver la etiqueta en el repositorio, así que un contenedor que se reinició puede haber arrancado con otro contenido que sus réplicas.

El repositorio guarda cada digest que tuvo una etiqueta, cuándo se subió y con qué cuenta. Para saber de dónde salió un contenido se busca ese digest en el historial; el nombre de la cuenta orienta, pero una cuenta de automatización no demuestra por sí sola que lo subió el pipeline.

Una imagen sospechosa no se evalúa solo en el pod que dio la alerta: hay que ver en cuántos pods del clúster, de cualquier namespace, se está ejecutando el mismo digest. Es la medida de cuánto hay que revisar.

El pipeline sabe explicar los digests que construyó: ejecución, commit y firma. Un digest que está en el repositorio pero que no tiene ejecución ni firma es un hallazgo de procedencia. Lo que no dice, por sí solo, es quién lo subió ni con qué intención; una dirección de origen que coincide con otra evidencia es un pivote que se confirma con quien corresponda.