安裝Stella Ops

1 · 您面前的清單開始

2 ·使用 Docker Compose 安裝

1. 1

   解壓 bundle

   解壓發布封存檔並進入目錄。release-manifest.yaml 記錄權威版本——若與檔名不符，以清單為準。

2. 2

   執行前驗證

   用 Cosign?Sigstore專案的容器簽章工具，用於簽署和驗證容器映像和製品 檢查清單簽章，然後執行 tools/verify-bundle.py 驗證每個檔案雜湊與每個映像檔 digest。安裝指令碼每次執行都會重新核對總和檢查碼，發現不符即停止。

3. 3

   執行安裝程式

   ./install.sh（或 .\install.ps1）驗證 bundle、產生所有密鑰與憑證、拉取映像檔、啟動堆疊並等待收斂。首次啟動會拉取數 GB 並執行資料庫遷移——十到二十分鐘屬正常。

4. 4

   登入

   開啟 https://127.0.0.1:8443/，以 admin 身分用安裝程式僅顯示一次的密碼登入——不存在預設密碼。閘道使用自簽憑證，瀏覽器會警告一次。首次登入後請變更密碼。

$ curl -fsSLO https://get.stella-ops.org/releases/v1.0.0-RC1/stellaops-bundle-v1.0.0-RC1.tar.gz
$ curl -fsSL https://get.stella-ops.org/releases/v1.0.0-RC1/SHA256SUMS \
    | sha256sum --check --ignore-missing
$ tar xzf stellaops-bundle-v1.0.0-RC1.tar.gz && cd stellaops-bundle-v1.0.0-RC1
$ cosign verify-blob --insecure-ignore-tlog=true --key release-signing.pub \
    --signature release-manifest.yaml.sig release-manifest.yaml
$ python tools/verify-bundle.py --require-signature --require-digests
$ ./install.sh
  Console    https://127.0.0.1:8443/
  Username   admin
  Password   <generated, shown once>

想自己執行每一步？將 .env.example 複製為 .env 並替換所有 CHANGE_ME 與 GENERATED_ 值——堆疊在缺少密鑰時會拒絕啟動，而不是退回預設值。然後依序執行 docker compose pull、docker compose up -d 與 docker compose ps，直到所有服務回報 healthy。

3 ·離線安裝（實體隔離）

堆疊啟動時不會發出任何第三方網路呼叫——所需的一切都在映像檔與 bundle 的 config/ 目錄裡。無網際網路環境的安裝步驟：

1. 1

   同步映像檔

   在連線主機上，將 release-manifest.yaml 記錄的映像檔 digest 同步到內部 registry，或用 docker save 匯出為封存檔。docker-compose.pinned.yml 依 digest 固定每個映像檔，部署保持可重現。

2. 2

   傳輸

   透過核准的介質（USB、快遞、投遞箱）將已驗證的 bundle 與同步的映像檔移轉到實體隔離站點。

3. 3

   指向你的 registry 安裝

   將 .env 中的 STELLA_REGISTRY 指向內部 registry，執行 ./install.sh --offline。安全公告與 VEX 資料透過 Offline Kit 另行交付——用 stella offline import --bundle <kit>.tar.zst 匯入，或放入 airgap-import/ 目錄。

4 · 免費層級限制

授權允許自由進行評估、開發與測試，並允許在 3 個環境與任意滾動 24 小時內 100 次新 digest 掃描範圍內的生產使用。所有層級使用同一組建置——沒有任何功能藏在不同的執行檔後面。

超出這些限制需要商業授權——見定價。限制是授權條款，不是軟體中的執行期限制。

5 ·連接你的 CI

您的管線可以在任何部署目標連接前產生證據。stella ci init 為 GitHub、GitLab 或 Gita 產生工作流程；每個建置接著掃描映像並簽署建置證明（DSSE?Dead Simple Signing Envelope - 用於以加密簽章簽署任意資料的簡單靈活標準）。不需要部署連接器。

$ stella ci init --platform github --mode scan-attest
✓ Created: .github/workflows/stellaops-gate.yml

✓ 1 template(s) initialized successfully

Next steps:
  1. Review the generated workflow files
  2. Add required secrets (STELLAOPS_TOKEN, etc.)
  3. Commit and push to trigger the workflow

6 ·產出物與驗證

現今文物的來源，以及如何在信任它們之前驗證它們。

首次執行前請驗證：匯入 Cosign?Sigstore專案的容器簽章工具，用於簽署和驗證容器映像和製品/PGP 公鑰，並檢查每個產出物的簽名與清單——是否連線或實體隔離。 驗證金鑰 →

對於採購審核，請使用 執照 和 定價 作為規範的權利和許可參考。

7 · 您的第一次已驗證推進

全新安裝裡還沒有任何環境與發布。以下四步把一個容器映像從登錄走到推進，並以將該決策匯出為一張已簽署的證據卡作結。

1. 1

   建立您的環境

   定義推進路徑——dev、staging、production——並為每個環境掛上一條政策。目前僅限主控台：這一步還沒有對應的 CLI 指令。

2. 2

   按摘要登錄一個發布

   按內容摘要新增一個容器映像。Stella 會掃描它並產生 SBOM?軟體物料清單 - 軟體中所有套件和相依性的完整列表。目前僅限主控台：這一步還沒有對應的 CLI 指令。

3. 3

   提交推進

   讓 Stella 把該發布推到下一個環境。指令只負責提交決策——閘門結果以及仍需的審批會顯示在主控台裡。

4. 4

   匯出證據卡

   把一個已封存的證據包打包成一個已簽署的檔案。不帶 --output 時，檔案寫為 <pack-id>.evidence-card.json。

$ stella release promote rel-7829726 --to staging
$ stella evidence card export evp-2026-01-14-abc123 --output evidence-card.json

兩個參數都是產品產生的不透明識別碼：發布 ID 形如 rel-7829726，證據包 ID 形如 evp-2026-01-14-abc123。發布名稱或版本號無法解析。兩者都從主控台裡取——目前還沒有列出發布的 CLI 指令。