运维与部署
在任何地方部署。证明一切。
利用摘要识别的伪造品，在 Docker、Compose、SSH 和 WinRM 上部署。无代理运行时和支持离线的工作流程能让你的环境保持控制。
这对您的业务意味着什么
部署到任何 Linux 或 Windows 服务器，无需 Kubernetes、代理或云依赖。Stella 处理回滚、金丝雀晋级和每个目标的证据导出。
您在此处操作的
每个可发布工件的生成SBOM、漏洞匹配和VEX处理。
静态、清单和运行时分析，以将可利用的风险与理论风险分开。
通过具有完全可追溯性的策略门在环境之间移动映像。
A/B 测试、canary、blue/green 部署，以及跨目标的即时 rollback。
Decision Capsules保存政策输入、批准和判定，以便后续验证。
air-gapped 站点通过签名更新套件保持发布控制，无需互联网访问。
非 Kubernetes 优先
大多数 CD 工具将非 Kubernetes 视为事后考虑。Stella 将其作为主要用例——所有目标均为按设计无代理。
直接向 Docker 主机部署容器。
多容器应用部署。
和 Fargate 任务部署。
作业部署和更新。
通过 SSH 的 Linux/Unix 目标。
通过 WinRM 的 Windows 目标。
Scripted (.NET 10) targets are also supported: custom deployment logic runs through the.NET scripting engine when a rollout does not fit the built-in target types.
所有定价层级均支持无限部署目标
digest-first 发布身份
每个版本都由其内容摘要标识，而不是可变标签。这保证了扫描的内容就是部署的内容，审核的内容就是实际运行的内容。
摘要钉制防止安全分析、审批和运行时部署之间的漂移。
每次升级都会在签名证明中记录源摘要、策略版本和批准证据。
部署模式
将一定比例的流量路由到新版本。在提交之前比较指标。
首先部署到一小部分目标。运行状况检查失败时自动回滚。
并行运行新旧版本。准备好后自动切换流量。
恢复到任何以前的摘要验证版本。向前和向后保留证据线索。
无失控的离线操作
核心决策无需外部依赖即可工作。漏洞源和证据验证完全在您的边界内运行。
包含气隙操作所需一切的签名包。
- → 来自 33+ 来源的漏洞源
- → 所有组件的容器镜像
- → 来源数据和SBOM
- → 用于高效传输的增量更新
每个操作都在主权网络内工作。
- → 本地漏洞数据库
- → 离线签名验证
- → 无需网络的确定性重放
- → 没有强制遥测（仅选择加入）
$ stella offline import --bundle stella-ouk-2026-01-20.tar.zst --verify-dsse --verify-rekor
主权加密配置文件
用于区域合规的可插拔加密配置文件。选择您的算法而无需更改工作流。
FIPS联邦信息处理标准 - 美国政府用于安全系统的加密标准 · SM2中国国家公钥密码标准（商密套件的一部分），受监管行业必需 · eIDAS电子身份认证和信任服务 - 欧盟电子签名和信任服务法规 · PQC后量子密码学 - 设计用于抵抗量子计算机攻击的加密算法
| 配置文件 | 算法 | 用例 |
|---|---|---|
| 默认 | Ed25519，ECDSA P-256，SHA-256 | 标准部署 |
FIPS联邦信息处理标准 - 美国政府用于安全系统的加密标准 140-2/3（对齐） | ECDSA P-384, SHA-384 | 美国联邦 / FedRAMP |
SM2中国国家公钥密码标准（商密套件的一部分），受监管行业必需/SM3 | SM2中国国家公钥密码标准（商密套件的一部分），受监管行业必需，SM3 | 中国国家标准 |
eIDAS电子身份认证和信任服务 - 欧盟电子签名和信任服务法规 | RSA-PSS, ECDSA (QES) | eIDAS电子身份认证和信任服务 - 欧盟电子签名和信任服务法规兼容签名 |
| 量子后准备评估（库存，非签名） | 详见CBOM分析 → | |
用于密钥存储和签名操作的硬件安全模块。
使用多种算法签名同一制品，以实现跨司法管辖区合规。
基础设施集成
部署的密钥注入。
服务注册表集成。
连接云端或本地部署的标准OCI注册表。
GitHub、GitLab、Bitbucket 触发器。
Slack、Teams、电子邮件、PagerDuty、OpsGenie。
自定义连接器和工作流步骤。
平台要求
- → Ubuntu 20.04、22.04、24.04 LTS
- → RHEL/CentOS 8，9
- → Debian 11，12
- → 亚马逊Linux 2，2023
- → Windows Server 2019，2022
- → 阿尔卑斯 3.18+（集装箱）
- → Docker Hub
- → AWS ECR (incl. ECR Public)
- → Google Artifact Registry / GCR
- → Azure Container Registry
- → GitHub Container Registry
- → Harbor, Nexus, JFrog Artifactory
- → 任何
OCI开放容器计划 — 容器镜像格式和注册中心的行业标准兼容仓库
- → 每个实例最多 100 个环境
- → 每个环境最多 1,000 个目标
- → 50 个并发部署
- → 支持每月 10,000+ 次扫描
更大规模请联系销售
最低要求
4 vCPU、16 GB 内存、50 GB 存储。Docker Engine 23.0+ 与 Compose v2。这是生产环境的起点，而非可运行的最小配置——超出部分的余量随环境数量与扫描量增长。
面向更大规模的余量
8 vCPU、16 GB 内存与 200 GB SSD 在实测的 4 vCPU / 16 GiB 基线之上留有余量。这是针对更大单实例的建议，而不是集群配置。
部署架构
用于评估和小型团队的 Docker Compose。
- 4 vCPU、16 GiB 内存——可运行整套服务
- PostgreSQL 16+，Valkey 8.0+
- 50 GiB SSD for cache and evidence
Stella Ops 控制平面位于输入（CI/CD、镜像仓库、feeds）与输出（部署目标、审计系统）之间。证据在其中流转，并在每一步被封存。
生产经营尽职调查
在生产上线之前，使用此清单确定运维工作的范围。从与你的环境规模相符的拓扑开始，再逐步强化。
| 拓扑结构 | 控制平面 | 数据平面 | 典型用途 |
|---|---|---|---|
| 交付的 bundle | 具有一个工作池的单节点服务 | 单个 Postgres、单个对象存储、单个队列/缓存 | 评估和政策调整 |
为 Postgres 和证据对象存储定义 RPO/RTO。通过签名的胶囊重放来验证恢复，而不仅仅是服务运行状况检查。
通过非生产和生产之间的摘要来促进平台更新。保留最后已知的良好摘要和操作手册以实现快速回滚。
跟踪每次升级的变更窗口、批准者和导出的证据包，以便采购和审计团队可以验证操作纪律。
Self-serve diagnostics are built in. stella doctor runs 110+ checks across 16 domains: connectivity, permissions, registry access, configuration, and license status. Most problems are resolved from its output without a support ticket, and Doctor is available on every tier including Free.
准备好主权部署了吗？
从安装指南或离线套件开始。