Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Регламент приёмки контейнерного образа
Назначение
Регламент задаёт минимальный порядок приёмки OCI/Docker-образа от внутренней команды или соисполнителя. Цель — не только получить SBOM, но и доказать, что он описывает реальный образ, включая слои, удалённые файлы, пакетные базы, встроенные бинарники и секреты.
Входные артефакты
| Артефакт | Минимальное требование |
|---|---|
| Контейнерный образ | digest, tag, дата сборки, источник registry |
| SBOM | CycloneDX или SPDX, связан с digest образа |
| VDR/VEX | findings по образу и решение по применимости |
| Provenance | build metadata, commit, runner, builder, параметры сборки |
| Лицензии | реестр компонентов с SPDX-идентификаторами и исключениями |
Контрольные шаги
- Зафиксировать digest образа и запретить проверку только по mutable tag.
- Сгенерировать SBOM минимум двумя подходами: из registry/image scanner и из файловой системы образа.
- Сверить пакетные менеджеры ОС, language-level dependencies и вручную добавленные бинарники.
- Проверить слои на секреты, удалённые файлы, vendored source и архивы.
- Прогнать VDR/VEX и лицензионный triage.
- Сохранить evidence: команды, версии инструментов, SBOM, отчёты, протокол решения.
Gate
Образ не принимается, если нет digest, SBOM не связан с digest, есть критические findings без VEX/исключения, обнаружены секреты, отсутствует владелец риска или не заполнены лицензии для поставляемых компонентов.
Смежно: П37. Контейнерный образ слои секреты и удаленные файлы · П38. Честный SBOM контейнерного образа · Чек-лист честного SBOM контейнерного образа · CISA Minimum Elements for SBOM · BSI TR-03183-2 v2.1.0