Imágenes y cadena de suministro

Una imagen se pide por su nombre y una etiqueta (:1.8.2, :latest) o por su resumen (digest, @sha256:…). La etiqueta es un nombre que el dueño del repositorio puede mover: hoy :1.8.2 apunta a una imagen y mañana, tras una subida nueva, a otra distinta, y el clúster no lo nota. El resumen es la huella del contenido: si el contenido cambia, el resumen cambia, así que quien despliega por resumen sabe exactamente qué está corriendo.

Dos medidas del registro ayudan a cerrar el hueco de las etiquetas: hacerlas inmutables (una vez subida, no se reasigna) y firmar las imágenes para comprobar quién las produjo.

Entre las etiquetas, latest es la peor: no significa «la última versión revisada», solo es el nombre que se asigna por defecto cuando no se pone otro. Quien despliega con ella no sabe qué versión corre, ni puede volver atrás con certeza.

Abre despliegues.txt y localiza el despliegue que usa la etiqueta que se mueve sola.

Una receta de construcción (Dockerfile) deja huella en cada capa de la imagen. Un valor secreto escrito con una instrucción de variable de entorno queda dentro de la imagen: quien pueda bajarla puede leerlo en su historial, aunque después se sobrescriba. Los secretos no se hornean en la imagen: se entregan al contenedor al arrancar, desde un almacén de secretos.

Lee la receta de la imagen de cobros y localiza el valor que no debería estar ahí.

Un escaneo reporta vulnerabilidades por severidad, y una cifra especialmente útil es la de las críticas con corrección disponible: ya existe una versión corregida del paquete, así que lo único que falta es reconstruir la imagen. Esa es la cola que más rápido se vacía y la que más difícil es de justificar no vaciar.

Suma las críticas con corrección disponible de todas las imágenes del resumen.

El registro propio permite controlar quién sube, escanear al subir, hacer inmutables las etiquetas y firmar. Una imagen traída de un repositorio comunitario externo se salta todo eso: nadie del equipo la construyó y quien la mantiene puede cambiarla cuando quiera. Abre registro.txt y escaneo.txt y razona sobre la imagen del worker de conciliación: cinco críticas, todas con arreglo, y un origen externo.