Дайджест указывает на точные байты объекта, метка — на изменяемое имя в репозитории. Для воспроизведения принятого выпуска фиксируют дайджест; метку можно сохранить рядом для человека.
Контейнеры и оркестрация
Дайджест образа контейнера
Определение
Дайджест образа контейнера — криптографический хеш с названием алгоритма, который однозначно указывает на конкретный объект OCI. Это может быть индекс платформ, манифест одного образа, конфигурация или слой. При проверке полученные байты хешируют и сравнивают с ожидаемым значением.
Также ищут: Image digest · OCI digest · ссылка на образ по содержимому
Зачем это знать
Дайджест позволяет повторить выбранное содержимое и заметить его подмену. Но нужно знать, какой объект закреплён, откуда взят ожидаемый хеш и кто собрал образ. Для закупки разных аппаратных платформ отдельно фиксируйте допустимые варианты образа.
Связи из словаря
Карта понятия
Дайджест образа контейнера
Доказательная часть
Что подтверждено
Дайджест дескриптора OCI идентифицирует точное содержимое. Получатель пересчитывает хеш данных; несовпадение означает, что получен другой объект или данные повреждены.
Граница применимости: Проверка содержимого по дескриптору OCI.
Дайджест проверяет неизменность относительно ожидаемого хеша. Сам по себе он не подтверждает автора, исходный код и процесс сборки; эти сведения проверяют через доказательство происхождения.
Граница применимости: Сопоставление целостности OCI и сведений о происхождении SLSA.
Дайджест манифеста и дайджест слоя идентифицируют разные объекты. Хеш слоя нельзя подставить как хеш готового образа, даже если этот слой содержит всё приложение.
Граница применимости: Дескрипторы объектов OCI.
Дайджест индекса закрепляет набор ссылок на платформенные манифесты. Дайджест одного манифеста закрепляет конкретный вариант. Оба способа фиксируют содержимое, но на разных уровнях.
Граница применимости: Индекс образа и платформенный манифест OCI.
В ссылке Kubernetes, где указаны и метка, и дайджест, содержимое выбирают по дайджесту. Метка остаётся подсказкой для человека и не переопределяет закреплённый объект.
Граница применимости: Синтаксис ссылок на образы Kubernetes.
Закреплённый дайджест указывает, что получить, но не хранит сам образ. Если нужные данные удалены из реестра и отсутствуют на новом узле, одной ссылки недостаточно для запуска.
Граница применимости: Адресация OCI и получение образов в Kubernetes; локальный кэш не предполагается.
Граница терминов
Не путать
Дайджест обнаруживает несовпадение содержимого, но ничего не говорит о доверии сборщику. Сведения о происхождении связывают этот идентификатор с процессом сборки; их подлинность проверяют отдельно.
Перед спецификацией
Что проверить
- Укажите объект проверки: индекс, манифест, конфигурация или слой.
- Получите ожидаемый хеш из принятого канала выпуска, а не из той же непроверенной загрузки.
- Проверьте хеш полученных байтов и соответствие аппаратной платформе.
- Отдельно проверьте происхождение сборки и правила её допуска.
- Сохраните нужные объекты в реестре на весь срок поддержки и отката.
- Проверьте запуск по дайджесту на новом узле без сохранённых слоёв.
Открытые основания
Первоисточники
- SLSA Build Track v1.2
Определяет уровни SLSA Build, требования к подлинности сведений о происхождении и защите сборочной платформы.
Утверждения: 02