Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Чек-лист ZIP поставки
Назначение
Контроль «конверта» поставки: ещё до анализа содержимого SBOM проверяем, что архив от соисполнителя полон, целостен, подписан и сопровождён сборочными доказательствами. Это входной фильтр приёмки — если конверт не прошёл, дальнейшие чек-листы качества SBOM не запускаются.
Когда применяется
На шаге регистрации поставки: получен .zip (или иной архив) от соисполнителя по Контракт поставки SBOM от соисполнителя, до распаковки в хранилище исходных артефактов и до прогона форматных чек-листов.
Стоп-правило Любой непройденный пункт блока «Целостность и подпись» переводит поставку в статус «возврат». Частично распакованный архив в анализ не уходит.
Блок 1. Идентификация и манифест
- [ ] Имя архива соответствует соглашению:
<продукт>_<исполнитель>_<релиз>_<дата>.zip. - [ ] В корне присутствует
MANIFEST(опись) со списком файлов и их назначением. - [ ] Заявленный в манифесте состав совпадает с фактическим (нет «лишних» и недостающих файлов).
- [ ] Указаны: продукт, версия релиза, соисполнитель (роль/организация-соисполнитель, без ФИО), коммит/тег исходников.
Блок 2. Целостность и подпись
- [ ] Контрольные суммы (
SHA-256) приложены отдельным файлом и совпадают с пересчитанными при приёмке. - [ ] Архив распаковывается без ошибок CRC, нет защищённых паролем вложений.
- [ ] Присутствует подпись поставки или provenance (см. П14. Подпись SBOM через Sigstore, П15. SLSA и in-toto provenance); подпись проверена и валидна.
- [ ] Внутри нет вложенных архивов-«матрёшек» без описи и нет исполняемых файлов вне ожидаемого состава.
Блок 3. Обязательное содержимое
- [ ] SBOM в согласованном формате (CycloneDX или SPDX) присутствует и непустой.
- [ ] ППК / минимальный набор полей по Минимальный набор полей ППК приложен или выводим из SBOM.
- [ ] Лицензионный отчёт (license scan) приложен.
- [ ] VDR/VEX приложены, если требуются контрактом (см. П09. VDR и VEX различие факта и решения).
Блок 4. Build evidence (обязательно для C/C++ legacy)
- [ ] Приложены build logs и/или граф зависимостей сборки (см. П19. C C++ make build inventory, П20. CMake dependency graph).
- [ ] Для статически слинкованных артефактов есть отметка об источнике компонентов (см. П23. Статическая линковка как слепая зона).
- [ ] Для контейнерных поставок приложен «честный» SBOM образа со слоями (см. П38. Честный SBOM контейнерного образа).
Решение по поставке
| Исход | Условие | Дальнейшее действие |
|---|---|---|
| Принята | Все блоки 1–4 пройдены | Регистрация в хранилище, запуск форматных чек-листов |
| Доработка | Пройдены блоки 1–2, есть пробелы в 3–4 | Запрос недостающих артефактов у соисполнителя |
| Возврат | Любой провал в блоках 1–2 | Поставка не принимается, фиксируется причина |
Связь с курсом
- Модуль: М10. Много исполнителей и корпоративная модель продукта
- Практики: П28. Поставка от нескольких исполнителей · П34. SBOM quality gate · П37. Контейнерный образ слои секреты и удаленные файлы
- Нормативка: CISA Minimum Elements for SBOM · SLSA · in-toto
- Связанные шаблоны: Контракт поставки SBOM от соисполнителя · Схема хранения исходных артефактов · Чек-лист качества CycloneDX · Чек-лист качества SPDX