Imágenes base y su linaje

Una imagen de máquina virtual (una AMI en AWS, una imagen de la galería de cómputo en Azure) es una plantilla: el disco con el sistema operativo y lo que se le instaló. El linaje es la cadena que explica de dónde salió: la imagen del proveedor, la imagen base de la empresa construida sobre esa, la imagen de aplicación construida sobre la base. Cada eslabón tiene fecha, publicador y canalización que lo construyó.

Con linaje se puede responder lo que importa el día que sale una vulnerabilidad en un componente del sistema: qué imágenes lo traen, qué instancias nacieron de ellas y cuál es la imagen que hay que reconstruir. Sin linaje, la pregunta se responde máquina por máquina, y siempre se olvida alguna.

Abre catalogo-imagenes.csv y instancias-en-uso.csv. Las imágenes aprobadas de la empresa declaran su imagen padre y la canalización que las construyó. Una imagen que no puede explicar su origen es una caja cerrada: nadie sabe qué trae, quién la hizo ni con qué actualizaciones. Si además corre en producción, es el primer hallazgo del informe.

Retirar una imagen no apaga lo que ya nació de ella. politica-de-imagenes.txt dice qué debe pasar con las instancias de producción cuando su imagen pasa a «retirada». Una imagen retirada que sigue en uso significa que el reemplazo no se hizo, y que esa instancia envejece con el parcheo que traía el día que se construyó.

La política retira cada imagen aprobada a los 90 días de su construcción. Para medir cuánto se pasó la instancia que corre sobre la imagen retirada, resta la fecha de construcción de la imagen a la fecha del inventario, que está en el encargo. Cuenta días naturales.

Abre canalizacion-base.log. La construcción de una imagen aprobada no es solo «instalar lo necesario»: parte de un padre conocido, aplica las actualizaciones publicadas hasta una fecha, aplica la configuración base, escanea, etiqueta el linaje y publica. Cada paso deja un registro, y ese registro es la prueba de que la imagen es lo que dice ser.