Trả lời nhanh: Docker image digest SBOM chỉ nên được bật sau khi đã xác định principal, boundary và đường deny. Bài này đưa cấu hình/lệnh có thể chạy ở staging, cách kiểm tra output và điều kiện revoke/rollback; thay hostname, version và quyền bằng giá trị của hệ thống thật.
Phạm vi: Bài áp dụng cho Tag mutable vs digest trong môi trường staging/standalone. Kiểm tra Nginx/Docker/OS/database và phiên bản CLI thực tế trước khi chạy; không đưa credential thật vào lệnh, log hay artifact.
Tín hiệu cần đối chiếu: Tag mutable vs digest; SBOM là gì; ký image; mối đe dọa; cấu hình/lệnh; output kỳ vọng; rollback/thu hồi
Tag mutable vs digest — thao tác và bằng chứng
A tag such as :2026.08 is mutable; a digest (sha256:…) is the immutable subject that CI and the deploy manifest must pin. Resolve it once with `docker image inspect ghcr.io/acme/api:2026.08 –format '{{index .RepoDigests 0}}'`, then compare that value with the digest in the deployment diff. A threat model should name who can retag the repository and whether the registry permits force-push. Expected evidence is one digest in the manifest and the same digest in the runtime inspect output; a tag-only manifest is a policy failure. Docker—Content trust
Do not call an image reproducible just because the pull exited 0: registry mirrors, platform architecture and `latest` can change the bytes. Record engine version, platform (`linux/amd64` or `linux/arm64`), repository and timestamp. If the resolved digest differs from the approved one, stop promotion, keep the old digest serving and revoke a compromised publisher token before cleanup. (docker-image-digest-sbom-ky-supply-chain · outline 1)
Với Tag mutable vs digest, ghi lại input và phiên bản CLI trước khi chạy; sau đó đối chiếu từng tín hiệu mối đe dọa, cấu hình/lệnh, output kỳ vọng, rollback/thu hồi, Tag mutable vs digest, SBOM là gì, ký image trong stdout, stderr hoặc log audit. Kết quả đạt phải chỉ ra trạng thái và phạm vi tài nguyên; kết quả lỗi phải có chuỗi nhận diện để người trực ca biết bước khoanh vùng kế tiếp. Gắn transcript với docker-image-digest-sbom-ky-supply-chain, commit/config hash, owner và timestamp. Không dùng exit code đơn độc làm bằng chứng. Che token, private key, cookie và PII trước khi lưu artifact; giữ bản raw trong kho có quyền hạn nếu incident yêu cầu.
SBOM là gì — thao tác và bằng chứng
An SBOM is a machine-readable inventory of packages and versions, not a vulnerability verdict. Generate it against the pinned subject (`docker sbom ghcr.io/acme/api@sha256:REDACTED`) and store the subject digest beside the CycloneDX/SPDX artifact. Review whether the scanner captures OS packages and application dependencies; a zero-result report can also mean the scanner could not read the layer. Expected output includes package count, format and subject digest. Docker—Content trust
Compare two SBOMs only when scanner version and image digest are recorded. A package disappearing after a base-image rebuild is evidence to investigate, not proof that the CVE is fixed. Redact private registry paths and tokens from CI logs; keep the full artifact in access-controlled storage and publish only a summary. (docker-image-digest-sbom-ky-supply-chain · outline 2)
Một lần kiểm tra SBOM là gì chỉ có giá trị khi lặp lại được. Chốt workload, hostname, digest hoặc schema, rồi chạy lệnh tương ứng với docker-image-digest-sbom-ky-supply-chain. Đối chiếu các tín hiệu bắt buộc (mối đe dọa, cấu hình/lệnh, output kỳ vọng, rollback/thu hồi, Tag mutable vs digest, SBOM là gì, ký image) với expected output và error signature; nếu thiếu dữ liệu, ghi unknown. So sánh baseline trước/sau trong cùng cửa sổ và nêu rõ điều gì không được suy ra từ phép đo. Artifact thay đổi cần ghi config diff đã redact, người chịu trách nhiệm và thời điểm hết hạn exception trước khi promote.
ký image — thao tác và bằng chứng
Signing binds an identity to the digest, not to a mutable tag. Sign after the final image is pushed (`cosign sign –yes ghcr.io/acme/api@sha256:REDACTED`) and capture the certificate identity/issuer in the attestation record. The threat is a build job that can sign arbitrary images; restrict the OIDC identity to the repository and protected branch. Expected verification names the same digest and returns exit=0. Docker—Content trust
A `no signatures found` or subject-mismatch error is a hard deny. Never solve it by signing the tag or disabling verification in CI. Keep the last verified digest and rotate the signing identity if an untrusted runner had access; rollback is a promotion decision, not deletion of forensic evidence. (docker-image-digest-sbom-ky-supply-chain · outline 3)
Đừng gộp ký image vào một checklist chung. Tạo một phép thử nhỏ có điều kiện, ghi command, exit code, metric và log line riêng cho docker-image-digest-sbom-ky-supply-chain. Các marker mối đe dọa, cấu hình/lệnh, output kỳ vọng, rollback/thu hồi, Tag mutable vs digest, SBOM là gì, ký image phải xuất hiện ở đúng section để người đọc có thể truy từ claim tới evidence. Khi kết quả không khớp expected (digest subject phải khớp image, SBOM/provenance tồn tại và cosign verify exit=0; no signature chặn promote.), dừng rollout/restore, giữ hiện trường và mở issue thay vì sửa nhiều biến cùng lúc. Artifact công khai chỉ chứa giá trị đã che và hash kiểm chứng.
verify ở CI — thao tác và bằng chứng
In CI, verify before deploy: `cosign verify ghcr.io/acme/api@sha256:REDACTED` followed by an SBOM subject check. Gate on identity, issuer and digest, while allowing an explicit, expiring exception for an unfixed non-exploitable package. The pipeline artifact should show `verify exit=0`, policy decision and ticket ID; it must not dump the full token or registry response. Docker—Content trust
Test both paths in a disposable repository: a valid signature passes and an altered digest returns `no matching signatures`. Keep the verification tool version pinned. If the gate fails, stop the rollout and route traffic to the previous approved digest; do not let a retry silently fetch a new tag. (docker-image-digest-sbom-ky-supply-chain · outline 4)
Trong runbook của docker-image-digest-sbom-ky-supply-chain, verify ở CI là điểm quyết định: allow/deny, ready/not-ready, pass/fail hoặc baseline/regression. Định lượng bằng tín hiệu mối đe dọa, cấu hình/lệnh, output kỳ vọng, rollback/thu hồi, Tag mutable vs digest, SBOM là gì, ký image, ghi phiên bản và phạm vi áp dụng, rồi nêu ngưỡng chuyển sang rollback. Một output xanh nhưng dependency hoặc health đỏ vẫn là fail. Sau khi sửa, chạy lại cùng lệnh và lưu kết quả cạnh config hash; revoke/rotate credential trước khi dọn mọi bản sao chứa secret.
cập nhật base — thao tác và bằng chứng
Updating the base image is a new supply-chain input. Rebuild with a pinned base digest, regenerate the SBOM and rerun the signature/provenance checks; compare package diffs and startup smoke tests. Record the builder, Dockerfile commit, target platform and CVE scanner version. A changed libc/OpenSSL ABI can break an application even when the vulnerability count falls. Docker—Content trust
Promote the rebuild through a canary and compare error rate, p95 and image size with the old digest. If an ABI or package regression appears, keep the old digest and open a remediation issue; do not pin back to a tag that can move underneath the rollback. (docker-image-digest-sbom-ky-supply-chain · outline 5)
Với cập nhật base, ghi lại input và phiên bản CLI trước khi chạy; sau đó đối chiếu từng tín hiệu mối đe dọa, cấu hình/lệnh, output kỳ vọng, rollback/thu hồi, Tag mutable vs digest, SBOM là gì, ký image trong stdout, stderr hoặc log audit. Kết quả đạt phải chỉ ra trạng thái và phạm vi tài nguyên; kết quả lỗi phải có chuỗi nhận diện để người trực ca biết bước khoanh vùng kế tiếp. Gắn transcript với docker-image-digest-sbom-ky-supply-chain, commit/config hash, owner và timestamp. Không dùng exit code đơn độc làm bằng chứng. Che token, private key, cookie và PII trước khi lưu artifact; giữ bản raw trong kho có quyền hạn nếu incident yêu cầu.
incident rollback — thao tác và bằng chứng
During an incident, freeze the exact digest, registry access log and SBOM before removing anything. Search image history and CI artifacts for the digest, then revoke the publisher/signing credential if scope is uncertain. Expected containment is that the exposed subject can no longer be pulled by unauthorised identities and the replacement digest passes verify. Docker—Content trust
Rollback means serving the last verified digest, not restoring an image that contained the leaked key or vulnerable layer. Record detection, containment, rotation and redeploy timestamps. After the clean image is healthy, quarantine the old subject and preserve a redacted forensic copy for post-incident review. (docker-image-digest-sbom-ky-supply-chain · outline 6)
Một lần kiểm tra incident rollback chỉ có giá trị khi lặp lại được. Chốt workload, hostname, digest hoặc schema, rồi chạy lệnh tương ứng với docker-image-digest-sbom-ky-supply-chain. Đối chiếu các tín hiệu bắt buộc (mối đe dọa, cấu hình/lệnh, output kỳ vọng, rollback/thu hồi, Tag mutable vs digest, SBOM là gì, ký image) với expected output và error signature; nếu thiếu dữ liệu, ghi unknown. So sánh baseline trước/sau trong cùng cửa sổ và nêu rõ điều gì không được suy ra từ phép đo. Artifact thay đổi cần ghi config diff đã redact, người chịu trách nhiệm và thời điểm hết hạn exception trước khi promote.
Recipe lệnh/config cho docker-image-digest-sbom-ky-supply-chain
Chạy ở staging cho Docker image digest SBOM với hostname, path và digest đã thay bằng giá trị không nhạy cảm. Lưu exit code cùng stdout/stderr đã redact và gắn artifact với docker-image-digest-sbom-ky-supply-chain.
docker image inspect ghcr.io/acme/api:2026.08 --format '{{index .RepoDigests 0}}'
docker sbom ghcr.io/acme/api@sha256:REDACTED
cosign verify ghcr.io/acme/api@sha256:REDACTED
provenance sha256 digestExpected output và error signature — docker-image-digest-sbom-ky-supply-chain
digest subject phải khớp image, SBOM/provenance tồn tại và cosign verify exit=0; no signature chặn promote. Đối chiếu thêm version, timestamp, health/readiness và log liên quan; output minh họa không phải kết quả production.
Rollback và stop boundary của docker-image-digest-sbom-ky-supply-chain
Dừng promote docker-image-digest-sbom-ky-supply-chain khi quyền deny/allow hoặc audit không khớp threat model. Revoke/rotate credential đã lộ, giữ config hash và log, rồi khôi phục revision được owner xác nhận.
Failure mode cần tránh ở Tag mutable vs digest
- Tag mutable vs digest: thay đổi nhiều biến cùng lúc nên không biết nguyên nhân.
- Tag mutable vs digest: đọc exit code nhưng bỏ qua health, dependency hoặc error signature.
- Tag mutable vs digest: lưu secret/PII trong log, image layer, backup hoặc ảnh chụp.
- Tag mutable vs digest: rollback nhầm failure domain làm blast radius lớn hơn.
Đọc tiếp trong cùng cụm Linux/DevOps — docker-image-digest-sbom-ky-supply-chain
docker compose secrets production và ubuntu server update checklist bao mat production 2026
Nguồn chính thức cho docker-image-digest-sbom-ky-supply-chain
Docker—Content trust; Docker—Build attestations
FAQ theo đúng chủ đề Docker image digest SBOM
Tag mutable vs digest áp dụng cho phiên bản nào?
Kiểm tra version/tool và topology trước khi áp dụng Tag mutable vs digest. Chạy recipe ở trên trong staging; nếu expected/error signature khác, dừng và cập nhật runbook thay vì copy nguyên lệnh.
SBOM là gì áp dụng cho phiên bản nào?
Kiểm tra version/tool và topology trước khi áp dụng SBOM là gì. Chạy recipe ở trên trong staging; nếu expected/error signature khác, dừng và cập nhật runbook thay vì copy nguyên lệnh.
ký image áp dụng cho phiên bản nào?
Kiểm tra version/tool và topology trước khi áp dụng ký image. Chạy recipe ở trên trong staging; nếu expected/error signature khác, dừng và cập nhật runbook thay vì copy nguyên lệnh.
verify ở CI áp dụng cho phiên bản nào?
Kiểm tra version/tool và topology trước khi áp dụng verify ở CI. Chạy recipe ở trên trong staging; nếu expected/error signature khác, dừng và cập nhật runbook thay vì copy nguyên lệnh.
Cập nhật docker-image-digest-sbom-ky-supply-chain: 08/09/2026. Nội dung là runbook tham khảo; phải kiểm tra phiên bản, nguồn chính thức và rollback trong môi trường thật trước khi áp dụng. Safety boundary: Không thay thế tư vấn chuyên môn; kiểm tra tình huống thực tế trước khi áp dụng.