Инсталиране на Stella Ops

1 · Контролен списък преди да започнете

2 · Инсталиране с Docker Compose

1. 1

   Разархивирайте bundle-а

   Разархивирайте архива на изданието и влезте в директорията. release-manifest.yaml записва меродавната версия — при разминаване с името на файла вярвайте на манифеста.

2. 2

   Проверете преди старт

   Проверете подписа на манифеста с Cosign?Инструмент за подписване на контейнери от проекта Sigstore за подписване и верификация на образи и артефакти, после изпълнете tools/verify-bundle.py, за да сверите sha256 на всеки файл и дайджеста на всеки образ. Инсталационните скриптове сверяват контролните суми при всяко изпълнение и спират при всяко разминаване.

3. 3

   Стартирайте инсталатора

   ./install.sh (или .\install.ps1) проверява bundle-а, генерира всички тайни и сертификати, изтегля образите, стартира стека и изчаква готовността му. Първият старт изтегля няколко GB и изпълнява миграции — десет до двадесет минути са нормални.

4. 4

   Влезте

   Отворете https://127.0.0.1:8443/ и влезте като admin с паролата, която инсталаторът показва само веднъж — парола по подразбиране няма. Шлюзът използва самоподписан сертификат, браузърът ще предупреди веднъж. Сменете паролата след първото влизане.

$ curl -fsSLO https://get.stella-ops.org/releases/v1.0.0-RC1/stellaops-bundle-v1.0.0-RC1.tar.gz
$ curl -fsSL https://get.stella-ops.org/releases/v1.0.0-RC1/SHA256SUMS \
    | sha256sum --check --ignore-missing
$ tar xzf stellaops-bundle-v1.0.0-RC1.tar.gz && cd stellaops-bundle-v1.0.0-RC1
$ cosign verify-blob --insecure-ignore-tlog=true --key release-signing.pub \
    --signature release-manifest.yaml.sig release-manifest.yaml
$ python tools/verify-bundle.py --require-signature --require-digests
$ ./install.sh
  Console    https://127.0.0.1:8443/
  Username   admin
  Password   <generated, shown once>

Предпочитате да изпълните всяка стъпка сами? Копирайте .env.example в .env и заменете всяка стойност CHANGE_ME и GENERATED_ — при липсваща тайна стекът отказва да стартира, вместо да прибегне до стойност по подразбиране. После docker compose pull, docker compose up -d и docker compose ps, докато всяка услуга докладва healthy.

3 · Офлайн инсталиране (изолирана мрежа)

Стекът не прави никакви мрежови повиквания към трети страни при старт — всичко нужно е в образите и в директорията config/ на bundle-а. За инсталация без достъп до интернет:

1. 1

   Огледално копирайте образите

   На свързан хост копирайте дайджестите на образите от release-manifest.yaml във вашия вътрешен регистър или ги изнесете с docker save. docker-compose.pinned.yml фиксира всеки образ по дайджест — разгръщането остава възпроизводимо.

2. 2

   Трансфер

   Преместете верифицирания bundle и огледалните образи до изолирания обект чрез одобрен канал (USB, куриер, зона за доставка).

3. 3

   Инсталирайте от вашия регистър

   Насочете STELLA_REGISTRY в .env към вътрешния регистър и изпълнете ./install.sh --offline. Данните за уязвимости и VEX пристигат отделно в Offline Kit — импортирайте го със stella offline import --bundle <kit>.tar.zst или го поставете в airgap-import/.

4 · Лимити на безплатния план

Лицензът позволява свободно оценка, разработка и тестове, както и производствена употреба в рамките на 3 среди и 100 сканирания на нови хешове за всеки плаващ 24-часов период. На всяко ниво се използва една и съща компилация — нищо не е скрито зад различен двоичен файл.

Отвъд тези лимити е нужен търговски лиценз — вижте цените. Лимитите са условия на лиценза, а не ограничения по време на изпълнение в софтуера.

5 · Свържете своята CI

Конвейерът ви може да създава доказателства, преди да е свързана цел за разгръщане. stella ci init генерира работен процес за GitHub, GitLab или Gitea; след това всяка компилация сканира образа и подписва удостоверение за компилацията (DSSE?Dead Simple Signing Envelope – прост, гъвкав стандарт за подписване на произволни данни с криптографски подписи). Не е необходим конектор за разгръщане.

$ stella ci init --platform github --mode scan-attest
✓ Created: .github/workflows/stellaops-gate.yml

✓ 1 template(s) initialized successfully

Next steps:
  1. Review the generated workflow files
  2. Add required secrets (STELLAOPS_TOKEN, etc.)
  3. Commit and push to trigger the workflow

6 · Артефакти и проверка

Откъде идват артефактите днес и как да ги проверите, преди да им се доверите.

Проверете преди първото изпълнение: импортирайте публичните ключове Cosign?Инструмент за подписване на контейнери от проекта Sigstore за подписване и верификация на образи и артефакти/PGP и проверете подписа и манифеста на всеки артефакт — със или без връзка. Ключове за проверка →

За преглед на обществените поръчки използвайте Лиценз и Ценообразуване като канонични препратки към правомощия и лицензиране.

7 · Вашето първо верифицирано придвижване

В прясна инсталация още няма нито среди, нито релийзи. Тези четири стъпки превеждат един контейнерен образ от регистриране до придвижване и завършват с експорт на решението като една подписана карта с доказателства.

1. 1

   Създайте средите си

   Опишете пътя на придвижване — dev, staging, production — и закачете политика към всяка среда. Днес само през Конзолата: за тази стъпка още няма CLI команда.

2. 2

   Регистрирайте релийз по дайджест

   Добавете контейнерен образ по неговия content digest. Stella го сканира и генерира SBOM?Software Bill of Materials – пълен списък на всички пакети и зависимости във вашия софтуер. Днес само през Конзолата: за тази стъпка още няма CLI команда.

3. 3

   Подайте придвижването

   Помолете Stella да премести релийза в следващата среда. Командата само подава решението — резултатът от гейта и липсващите одобрения се виждат в Конзолата.

4. 4

   Експортирайте картата с доказателства

   Опаковайте запечатан пакет с доказателства в един подписан файл. Без --output той се записва като <pack-id>.evidence-card.json.

$ stella release promote rel-7829726 --to staging
$ stella evidence card export evp-2026-01-14-abc123 --output evidence-card.json

И двата аргумента са непрозрачни идентификатори, които продуктът генерира: ID на релийз изглежда като rel-7829726, а ID на пакет с доказателства — като evp-2026-01-14-abc123. Име или версия на релийз не се разпознават. Вземете и двата от Конзолата — още няма CLI команда, която да изброява релийзи.