安装Stella Ops

1 · 开始前的检查清单

2 ·使用 Docker Compose 安装

1. 1

   解压 bundle

   解压发布归档并进入目录。release-manifest.yaml 记录权威版本——若与文件名不符，以清单为准。

2. 2

   运行前验证

   用 Cosign?Sigstore项目的容器签名工具，用于签署和验证容器镜像和制品 检查清单签名，然后运行 tools/verify-bundle.py 验证每个文件哈希和每个镜像 digest。安装脚本每次运行都会重新核对校验和，发现不符即停止。

3. 3

   运行安装器

   ./install.sh（或 .\install.ps1）验证 bundle、生成所有密钥和证书、拉取镜像、启动技术栈并等待收敛。首次启动会拉取数 GB 并执行数据库迁移——十到二十分钟属正常。

4. 4

   登录

   打开 https://127.0.0.1:8443/，以 admin 身份用安装器仅显示一次的密码登录——不存在默认密码。网关使用自签名证书，浏览器会警告一次。首次登录后请修改密码。

$ curl -fsSLO https://get.stella-ops.org/releases/v1.0.0-RC1/stellaops-bundle-v1.0.0-RC1.tar.gz
$ curl -fsSL https://get.stella-ops.org/releases/v1.0.0-RC1/SHA256SUMS \
    | sha256sum --check --ignore-missing
$ tar xzf stellaops-bundle-v1.0.0-RC1.tar.gz && cd stellaops-bundle-v1.0.0-RC1
$ cosign verify-blob --insecure-ignore-tlog=true --key release-signing.pub \
    --signature release-manifest.yaml.sig release-manifest.yaml
$ python tools/verify-bundle.py --require-signature --require-digests
$ ./install.sh
  Console    https://127.0.0.1:8443/
  Username   admin
  Password   <generated, shown once>

想自己执行每一步？将 .env.example 复制为 .env 并替换所有 CHANGE_ME 和 GENERATED_ 值——技术栈在缺少密钥时会拒绝启动，而不是退回默认值。然后依次执行 docker compose pull、docker compose up -d 和 docker compose ps，直到所有服务报告 healthy。

3 ·离线安装（空气间隙）

技术栈启动时不发起任何第三方网络调用——所需的一切都在镜像和 bundle 的 config/ 目录里。无互联网环境安装步骤：

1. 1

   同步镜像

   在联网主机上，将 release-manifest.yaml 中记录的镜像 digest 同步到内部镜像仓库，或用 docker save 导出为归档。docker-compose.pinned.yml 按 digest 固定每个镜像，部署保持可复现。

2. 2

   传输

   通过批准的介质（USB、快递、投递箱）将已验证的 bundle 和同步的镜像转移到隔离站点。

3. 3

   指向你的仓库安装

   将 .env 中的 STELLA_REGISTRY 指向内部镜像仓库，运行 ./install.sh --offline。安全公告和 VEX 数据通过 Offline Kit 单独交付——用 stella offline import --bundle <kit>.tar.zst 导入，或放入 airgap-import/ 目录。

4 · 免费层级限制

许可证允许自由进行评估、开发和测试，并允许在 3 个环境和任意滚动 24 小时内 100 次新 digest 扫描范围内的生产使用。所有层级使用同一构建——没有任何功能藏在不同的二进制文件后面。

超出这些限制需要商业许可证——见定价。限制是许可证条款，不是软件中的运行时限制。

5 ·连接你的人工耳蜗

您的流水线可以在连接任何部署目标之前产生证据。stella ci init 生成 GitHub、GitLab 或 Gitea（GitLab）的工作流程;每个构建随后扫描镜像并签署构建证明（DSSE?Dead Simple Signing Envelope - 用于以加密签名签署任意数据的简单灵活标准）。不需要部署连接器。

$ stella ci init --platform github --mode scan-attest
✓ Created: .github/workflows/stellaops-gate.yml

✓ 1 template(s) initialized successfully

Next steps:
  1. Review the generated workflow files
  2. Add required secrets (STELLAOPS_TOKEN, etc.)
  3. Commit and push to trigger the workflow

6 ·工件与验证

如今制品的来源，以及如何在信任它们之前验证它们。

首次运行前验证：导入Cosign?Sigstore项目的容器签名工具，用于签署和验证容器镜像和制品/PGP公钥，检查每个制品的签名和清单——无论是连接还是空隔离。 验证密钥 →

对于采购审核，请使用 执照 和 定价 作为规范的权利和许可参考。

7 · 你的第一次已验证推进

全新安装里还没有任何环境和发布。以下四步把一个容器镜像从登记走到推进，并以将该决策导出为一张已签名的证据卡收尾。

1. 1

   创建你的环境

   定义推进路径——dev、staging、production——并为每个环境挂上一条策略。目前仅限控制台：这一步还没有对应的 CLI 命令。

2. 2

   按摘要登记一个发布

   按内容摘要添加一个容器镜像。Stella 会扫描它并生成 SBOM?软件物料清单 - 软件中所有软件包和依赖项的完整列表。目前仅限控制台：这一步还没有对应的 CLI 命令。

3. 3

   提交推进

   让 Stella 把该发布推到下一个环境。命令只负责提交决策——闸门结果以及仍需的审批会显示在控制台里。

4. 4

   导出证据卡

   把一个已封存的证据包打包成一个已签名的文件。不带 --output 时，文件写为 <pack-id>.evidence-card.json。

$ stella release promote rel-7829726 --to staging
$ stella evidence card export evp-2026-01-14-abc123 --output evidence-card.json

两个参数都是产品生成的不透明标识符：发布 ID 形如 rel-7829726，证据包 ID 形如 evp-2026-01-14-abc123。发布名称或版本号无法解析。两者都从控制台里取——目前还没有列出发布的 CLI 命令。