Installieren Sie Stella Ops

1 · Checkliste vor dem Start

2 · Mit Docker Compose installieren

1. 1

   Bundle entpacken

   Entpacken Sie das Release-Archiv und wechseln Sie hinein. release-manifest.yaml verzeichnet die maßgebliche Version — widerspricht sie dem Dateinamen, gilt das Manifest.

2. 2

   Vor dem Start verifizieren

   Prüfen Sie die Manifest-Signatur mit Cosign?Container-Signierungstool des Sigstore-Projekts zum Signieren und Verifizieren von Container-Images und Artefakten und führen Sie dann tools/verify-bundle.py aus, um jede Dateiprüfsumme und jeden Image-Digest zu kontrollieren. Die Installationsskripte prüfen die Prüfsummen bei jedem Lauf erneut und stoppen bei jeder Abweichung.

3. 3

   Installer ausführen

   ./install.sh (oder .\install.ps1) verifiziert das Bundle, erzeugt jedes Secret und Zertifikat, lädt die Images, startet den Stack und wartet auf die Konvergenz. Der erste Start lädt mehrere GB und führt Migrationen aus — zehn bis zwanzig Minuten sind normal.

4. 4

   Anmelden

   Öffnen Sie https://127.0.0.1:8443/ und melden Sie sich als admin mit dem Passwort an, das der Installer genau einmal ausgibt — es gibt kein Standardpasswort. Das Gateway liefert ein selbstsigniertes Zertifikat, der Browser warnt einmal. Ändern Sie das Passwort nach der ersten Anmeldung.

$ curl -fsSLO https://get.stella-ops.org/releases/v1.0.0-RC1/stellaops-bundle-v1.0.0-RC1.tar.gz
$ curl -fsSL https://get.stella-ops.org/releases/v1.0.0-RC1/SHA256SUMS \
    | sha256sum --check --ignore-missing
$ tar xzf stellaops-bundle-v1.0.0-RC1.tar.gz && cd stellaops-bundle-v1.0.0-RC1
$ cosign verify-blob --insecure-ignore-tlog=true --key release-signing.pub \
    --signature release-manifest.yaml.sig release-manifest.yaml
$ python tools/verify-bundle.py --require-signature --require-digests
$ ./install.sh
  Console    https://127.0.0.1:8443/
  Username   admin
  Password   <generated, shown once>

Sie möchten jeden Schritt selbst ausführen? Kopieren Sie .env.example nach .env und ersetzen Sie jeden CHANGE_ME- und GENERATED_-Wert — der Stack verweigert den Start bei einem fehlenden Secret, statt auf einen Standard zurückzufallen. Dann docker compose pull, docker compose up -d und docker compose ps, bis jeder Dienst healthy meldet.

3 · Offline-Installation (Air-Gap)

Der Stack macht beim Start keinerlei Netzwerkaufrufe an Dritte — alles Nötige steckt in den Images und im config/-Verzeichnis des Bundles. Installation ohne Internetzugang:

1. 1

   Images spiegeln

   Spiegeln Sie auf einem verbundenen Host die in release-manifest.yaml verzeichneten Image-Digests in Ihre interne Registry, oder exportieren Sie sie mit docker save. docker-compose.pinned.yml pinnt jedes Image per Digest — das Deployment bleibt reproduzierbar.

2. 2

   Übertragung

   Verschieben Sie das verifizierte Bundle und die gespiegelten Images über ein genehmigtes Medium (USB, Kurier, kontrollierte Übergabestelle) an Ihren Air-Gap-Standort.

3. 3

   Gegen Ihre Registry installieren

   Setzen Sie STELLA_REGISTRY in .env auf Ihre interne Registry und führen Sie ./install.sh --offline aus. Advisory- und VEX-Daten kommen separat als Offline Kit — importieren Sie es mit stella offline import --bundle <kit>.tar.zst oder legen Sie es in airgap-import/ ab.

4 · Grenzen der kostenlosen Stufe

Die Lizenz erlaubt Evaluierung, Entwicklung und Tests uneingeschränkt sowie den Produktionseinsatz innerhalb von 3 Umgebungen und 100 New-Digest-Scans in einem beliebigen rollierenden 24-Stunden-Zeitraum. Auf jeder Stufe läuft derselbe Build — nichts steckt hinter einem anderen Binary.

Jenseits dieser Grenzen ist eine kommerzielle Lizenz erforderlich — siehe Preise. Die Grenzen sind Bedingungen der Lizenz, keine Laufzeitbeschränkungen in der Software.

5 · CI anbinden

Ihre Pipeline kann Nachweise erzeugen, bevor ein Bereitstellungsziel verbunden ist. stella ci init generiert einen Workflow für GitHub, GitLab oder Gitea; anschließend scannt jeder Build das Image und signiert eine Build-Attestierung (DSSE?Dead Simple Signing Envelope – ein einfacher, flexibler Standard zum Signieren beliebiger Daten mit kryptographischen Signaturen). Ein Bereitstellungs-Connector ist nicht erforderlich.

$ stella ci init --platform github --mode scan-attest
✓ Created: .github/workflows/stellaops-gate.yml

✓ 1 template(s) initialized successfully

Next steps:
  1. Review the generated workflow files
  2. Add required secrets (STELLAOPS_TOKEN, etc.)
  3. Commit and push to trigger the workflow

6 · Artefakte und Verifizierung

Woher Artefakte heute kommen und wie man sie überprüft, bevor man ihnen vertraut.

Vor der ersten Ausführung überprüfen: Importieren Sie die öffentlichen Cosign?Container-Signierungstool des Sigstore-Projekts zum Signieren und Verifizieren von Container-Images und Artefakten/PGP-Schlüssel und überprüfen Sie die Signatur und das Manifest jedes Artefakts – verbunden oder Air-Gap. Verifizierungsschlüssel →

Für die Beschaffungsprüfung verwenden Sie Lizenz Und Preise sowie die kanonischen Berechtigungs- und Lizenzreferenzen.

7 · Ihre erste verifizierte Freigabe

Eine frische Installation enthält noch keine Umgebungen und keine Releases. Diese vier Schritte führen ein Container-Image von der Registrierung bis zur Freigabe und enden damit, dass die Entscheidung als einzelne signierte Evidence Card exportiert wird.

1. 1

   Umgebungen anlegen

   Legen Sie den Freigabepfad fest — dev, staging, production — und hängen Sie an jede Umgebung eine Policy. Heute nur in der Konsole: für diesen Schritt gibt es noch keinen CLI-Befehl.

2. 2

   Digest-Release registrieren

   Fügen Sie ein Container-Image über seinen Content-Digest hinzu. Stella scannt es und erzeugt ein SBOM?Software Bill of Materials – eine vollständige Liste aller Pakete und Abhängigkeiten in Ihrer Software. Heute nur in der Konsole: für diesen Schritt gibt es noch keinen CLI-Befehl.

3. 3

   Freigabe einreichen

   Weisen Sie Stella an, das Release in die nächste Umgebung zu heben. Der Befehl reicht die Entscheidung ein — das Gate-Ergebnis und noch offene Freigaben erscheinen in der Konsole.

4. 4

   Evidence Card exportieren

   Verpacken Sie ein versiegeltes Evidence Pack in eine einzige signierte Datei. Ohne --output wird sie als <pack-id>.evidence-card.json geschrieben.

$ stella release promote rel-7829726 --to staging
$ stella evidence card export evp-2026-01-14-abc123 --output evidence-card.json

Beide Argumente sind opake Kennungen, die das Produkt erzeugt: eine Release-ID sieht aus wie rel-7829726, eine Evidence-Pack-ID wie evp-2026-01-14-abc123. Ein Release-Name oder eine Version wird nicht aufgelöst. Beide entnehmen Sie der Konsole — es gibt noch keinen CLI-Befehl, der Releases auflistet.