Watch — седьмой этап цепочки доказательств
Утверждено — это не то же самое, что запущено
Матрица инфраструктуры объединяет каждую службу в каждой среде: какой дайджест развернут и какие доказательства стоят за этим. После развертывания Watch продолжает сравнивать текущий дайджест с утвержденным дайджестом — и матрица меняется, если они отличаются.
Это не периодическое повторное сканирование. Watch работает всё время, пока работает нагрузка.
Цепочка доказательств
- Источник
- Сборка
- Сканирование
- Вердикт
- Решение
- Развертывание
- Watch
Каждый этап имеет одно из трёх состояний: MISSING, RECORDED или SIGNED. Первые шесть этапов завершаются; Watch — нет: он постоянно проверяет соответствие записи реальному состоянию.
Одна матрица, каждая среда
Инфраструктура ниже: сервисы сбоку, среды сверху, под ними — открытая панель отклонений. У неподтверждённой ячейки развёртывание зафиксировано, а доказательства не проверены. Отклонение — это сообщение одного агента об одном работающем контейнере, дайджест которого не утверждён; результаты с нарушенной целостностью считаются отдельно. Digest-firstИдентификация релиза на основе неизменяемых хешей контента (дайджесты SHA-256) вместо изменяемых тегов — байт-идентичные развёртывания
Четыре термина, которые используются на экране
Все на экране инфраструктуры сводится к тому, что развернуто, что проверено и что изменилось с момента утверждения.
Непроверенная ячейка
Развёртывание зафиксировано, но подтверждающие доказательства неполны. Ячейка не получает зелёный статус без оснований.
Дрейф
Наблюдатели сравнивают дайджест каждой нагрузки с дайджестом, утверждённым для этой среды. Несовпадение создаёт строку отклонения: сервис, среда и два различающихся дайджеста.
Подделано
Нарушение целостности: работающий образ был изменен относительно подписанной записи. Поддельные результаты сканирования учитываются отдельно от дрейфа, поскольку измененное изображение представляет собой другую проблему, чем неутвержденное.
Служебный паспорт
Каждый сервис имеет собственную трассировку доказательств: состояние каждого этапа хранения от исходного кода до последнего наблюдения Watch. Когда требуется объяснение, откройте паспорт.
Как выстраивается цепочка доказательств | Какие доказательства содержатся
Почему это сложно вне Kubernetes
Кластеры Kubernetes имеют уровень допуска: рабочая нагрузка может быть отклонена в тот момент, когда она запланирована. Проекты Compose, узлы SSH/WinRM, задачи и задания не имеют эквивалентных шлюзов политики. Сканеры останавливаются на результатах сканирования. Инструменты CD останавливаются на событии развертывания. Контроллеры доступа проверяют только внутри Kubernetes и в любом случае не оставляют воспроизводимых доказательств решения. Таким образом, в большинстве инфраструктур, не связанных с Kubernetes, ничто не проверяет, что то, что работает сегодня, по-прежнему является одобренным. Watch закрывает этот пробел: непрерывное сравнение дайджестов для инфраструктур без уровня доступа, с записью каждой проверки.
Как это работает в рабочем режиме
Цели развертывания без агента
Stella Ops продвигает выпуски на Docker Compose, SSH/WinRM-хосты через собственный интерфейс каждой цели. При развертывании на целевой системе ничего не устанавливается.
Агенты-наблюдатели
Наблюдение выполняется отдельно. Лёгкие наблюдатели сообщают дайджесты, фактически работающие на каждой цели. Если наблюдатель не работает, состояние времени выполнения отсутствует и не считается исправным.
Что можно сделать при отклонении
- Проследите паспорт: какой дайджест утвержден для данной среды, на каких основаниях, кем.
- Повторная проверка: снова запустите проверку на основе текущих данных и запишите результат.
- Откат: повторное развертывание последнего заведомо исправного дайджеста — точного артефакта, а не тега.
Кто читает этот экран
Руководитель отдела операций по выпуску
Что и где работает?
На этот вопрос отвечает одна матрица: каждая услуга, каждая среда, развернутый дайджест, положение доказательств. Никаких перекрестных ссылок на журналы развертывания и реестры.
Наблюдатель контроля
Развёрнуто ли нужное ПО и подтверждено ли его состояние?
Состояние каждой ячейки только для чтения: что выполняется, завершена ли цепочка доказательств и когда она была проверена в последний раз.
Менеджер рисков безопасности
Работает ли что-нибудь, что мы не одобрили?
Неутвержденные или измененные изображения отображаются в виде смещенных и измененных строк, с которыми можно сравнить утвержденный дайджест. Постоянная проверка, а не периодический отчет.
Доказательства инфраструктуры используются в пакетах соответствия
Собранные здесь записи цепочки хранения и наблюдения Watch являются исходными данными для пакетов соответствия. При включении сбор доказательств начинается в консервативном режиме «только доказательства»; это не является заявлением о соответствии нормативным требованиям.