Встановити Stella Ops

1 · Контрольний список перед початком

2 · Встановлюйте з Docker Compose

1. 1

   Розпакуйте bundle

   Розпакуйте архів релізу і перейдіть у каталог. release-manifest.yaml фіксує авторитетну версію — у разі розбіжності з іменем файлу довіряйте маніфесту.

2. 2

   Перевірте перед запуском

   Перевірте підпис маніфеста через Cosign?Інструмент підпису контейнерів проєкту Sigstore для підпису та верифікації образів та артефактів, потім запустіть tools/verify-bundle.py, щоб звірити sha256 кожного файлу і дайджест кожного образу. Скрипти встановлення повторно звіряють контрольні суми під час кожного запуску і зупиняються за будь-якої розбіжності.

3. 3

   Запустіть інсталятор

   ./install.sh (або .\install.ps1) перевіряє bundle, генерує всі секрети й сертифікати, завантажує образи, запускає стек і чекає його готовності. Перший запуск завантажує кілька ГБ і виконує міграції — десять–двадцять хвилин це нормально.

4. 4

   Увійдіть

   Відкрийте https://127.0.0.1:8443/ і ввійдіть як admin з паролем, який інсталятор виводить один раз — пароля за замовчуванням не існує. Шлюз використовує самопідписаний сертифікат, браузер попередить один раз. Змініть пароль після першого входу.

$ curl -fsSLO https://get.stella-ops.org/releases/v1.0.0-RC1/stellaops-bundle-v1.0.0-RC1.tar.gz
$ curl -fsSL https://get.stella-ops.org/releases/v1.0.0-RC1/SHA256SUMS \
    | sha256sum --check --ignore-missing
$ tar xzf stellaops-bundle-v1.0.0-RC1.tar.gz && cd stellaops-bundle-v1.0.0-RC1
$ cosign verify-blob --insecure-ignore-tlog=true --key release-signing.pub \
    --signature release-manifest.yaml.sig release-manifest.yaml
$ python tools/verify-bundle.py --require-signature --require-digests
$ ./install.sh
  Console    https://127.0.0.1:8443/
  Username   admin
  Password   <generated, shown once>

Волієте виконати кожен крок вручну? Скопіюйте .env.example у .env і замініть кожне значення CHANGE_ME і GENERATED_ — за відсутнього секрету стек відмовляється стартувати, а не відкочується до типового значення. Потім docker compose pull, docker compose up -d і docker compose ps, доки кожен сервіс не повідомить healthy.

3 · Офлайн-монтаж (повітряний зазор)

Стек не робить жодних сторонніх мережевих викликів під час запуску — все необхідне міститься в образах і в каталозі config/ bundle. Встановлення без доступу до інтернету:

1. 1

   Віддзеркальте образи

   На підключеному хості віддзеркальте дайджести образів із release-manifest.yaml у свій внутрішній реєстр або вивантажте їх через docker save. docker-compose.pinned.yml фіксує кожен образ за дайджестом — розгортання залишається відтворюваним.

2. 2

   Передача

   Перенесіть перевірений bundle і віддзеркалені образи до ізольованого контуру через схвалений носій (USB, кур'єр, приймальна зона).

3. 3

   Встановіть зі свого реєстру

   Вкажіть у .env змінну STELLA_REGISTRY на внутрішній реєстр і запустіть ./install.sh --offline. Дані бюлетенів і VEX постачаються окремо в складі Offline Kit — імпортуйте його командою stella offline import --bundle <kit>.tar.zst або покладіть у airgap-import/.

4 · Ліміти безкоштовного рівня

Ліцензія вільно дозволяє оцінювання, розробку і тестування, а також виробниче використання в межах 3 середовищ і 100 сканувань нових дайджестів за будь-які ковзні 24 години. На всіх рівнях використовується та сама збірка — ніщо не сховано за іншим двійковим файлом.

Понад ці ліміти потрібна комерційна ліцензія — див. ціни. Ліміти — умови ліцензії, а не обмеження середовища виконання у програмі.

5 · Підключіть свого CI

Ваш конвеєр може надати докази до того, як будь-яка ціль розгортання буде підключена. stella ci init генерує робочий процес для GitHub, GitLab, або Gitea; Кожна збірка потім сканує зображення і підписує атестацію збірки (DSSE?Dead Simple Signing Envelope – простий гнучкий стандарт для підпису довільних даних криптографічними підписами). Роз'єм розгортання не потрібен.

$ stella ci init --platform github --mode scan-attest
✓ Created: .github/workflows/stellaops-gate.yml

✓ 1 template(s) initialized successfully

Next steps:
  1. Review the generated workflow files
  2. Add required secrets (STELLAOPS_TOKEN, etc.)
  3. Commit and push to trigger the workflow

6 · Артефакти та перевірка

Звідки сьогодні беруться артефакти і як їх перевірити, перш ніж їм довіряти.

Перевірте перед першим запуском: імпортуйте Cosign?Інструмент підпису контейнерів проєкту Sigstore для підпису та верифікації образів та артефактів/PGP публічні ключі та перевірте підпис і маніфест кожного артефакта — пов'язані чи без розриву. Ключі верифікації →

Для розгляду закупівлі використовуйте Ліцензія і Ціноутворення як канонічні посилання на права та ліцензування.

7 · Ваше перше верифіковане просування

У свіжій інсталяції ще немає ні середовищ, ні релізів. Ці чотири кроки проводять один образ контейнера від реєстрації до просування й завершуються експортом рішення у вигляді однієї підписаної картки доказів.

1. 1

   Створіть середовища

   Опишіть шлях просування — dev, staging, production — і прив'яжіть до кожного середовища політику. Сьогодні лише в Консолі: команди CLI для цього кроку ще немає.

2. 2

   Зареєструйте реліз за дайджестом

   Додайте образ контейнера за його content digest. Stella сканує його й формує SBOM?Software Bill of Materials – повний перелік усіх пакетів та залежностей вашого ПЗ. Сьогодні лише в Консолі: команди CLI для цього кроку ще немає.

3. 3

   Надішліть просування

   Попросіть Stella перевести реліз у наступне середовище. Команда лише надсилає рішення — результат гейта й потрібні узгодження видно в Консолі.

4. 4

   Експортуйте картку доказів

   Запакуйте запечатаний пакет доказів в один підписаний файл. Без --output він записується як <pack-id>.evidence-card.json.

$ stella release promote rel-7829726 --to staging
$ stella evidence card export evp-2026-01-14-abc123 --output evidence-card.json

Обидва аргументи — непрозорі ідентифікатори, які створює продукт: ID релізу має вигляд rel-7829726, ID пакета доказів — evp-2026-01-14-abc123. Назва або версія релізу не розпізнаються. Обидва беріть із Консолі — команди CLI, що перелічує релізи, ще немає.