11.6. Supply chain

python:3.13-slim  ──►  sha256:a1b2...   (сегодня)
python:3.13-slim  ──►  sha256:9f8e...   (через неделю, после обновления)

FROM python:3.13-slim@sha256:a3ff2e57e2a1c0d3b4c5d6e7f8091a2b3c4d5e6f7089a1b2c3d4e5f60718293a

LABEL org.opencontainers.image.base.name="python:3.13-slim@sha256:a3ff..."

docker buildx build --provenance=true --sbom=true -t myapp:1.0 .

myapp:git-a3f8c91     ← неизменяемый, по коммиту
myapp:v1.2.3          ← неизменяемый, релизный
myapp:staging         ← изменяемый, указатель на текущий staging
myapp:latest          ← изменяемый, указатель на последний релиз

docker image inspect образ --format '{{index .RepoDigests 0}}'

mkdir -p /tmp/supply && cd /tmp/supply

echo "═══ текущий digest тега ═══"
docker pull -q python:3.13-slim > /dev/null 2>&1
docker image inspect python:3.13-slim --format '  тег:    python:3.13-slim' 
docker image inspect python:3.13-slim --format '  digest: {{index .RepoDigests 0}}' 2>/dev/null \
    || echo "  digest: (образ не из реестра)"

echo "═══ локальный идентификатор против digest реестра ═══"
docker image inspect python:3.13-slim --format '  Id (локальный):  {{.Id}}' | cut -c1-60
docker image inspect python:3.13-slim --format '  RepoDigests:     {{json .RepoDigests}}' | cut -c1-90

echo "═══ что произойдёт при обновлении тега ═══"
cat <<'TXT'
  Тег python:3.13-slim обновляется при каждом исправлении в Debian.
  Через неделю тот же тег даст другой digest — и другой набор пакетов.
  Сборка, «работавшая вчера», может перестать работать сегодня.
TXT

═══ текущий digest тега ═══
  тег:    python:3.13-slim
  digest: python@sha256:3f8a91c2e7d45b6a09fe1c3d8b27a4e5f60c9d1e2a3b4c5d6e7f8091a2b3c4d5e
═══ локальный идентификатор против digest реестра ═══
  Id (локальный):  sha256:9c4e2d1a8b7f6053e4d3c2b1a0bf503bb2243c39
  RepoDigests:     ["python@sha256:3f8a91c2e7d45b6a09fe1c3d8b27a4e5f60c9d1e2a3b4c5d6e7f8091a2"]
═══ что произойдёт при обновлении тега ═══
  Тег python:3.13-slim обновляется при каждом исправлении в Debian.
  Через неделю тот же тег даст другой digest — и другой набор пакетов.
  Сборка, «работавшая вчера», может перестать работать сегодня.

cd /tmp/supply
DIGEST="$(docker image inspect python:3.13-slim --format '{{index .RepoDigests 0}}' 2>/dev/null | cut -d@ -f2)"
printf '  используем digest: %s\n' "${DIGEST:-не получен}"

cat > Dockerfile.pinned <<EOF
# syntax=docker/dockerfile:1
# Базовый образ закреплён по digest: сборка воспроизводима
FROM python:3.13-slim@${DIGEST}

# Метка для аудита: видно, из чего собран образ
LABEL org.opencontainers.image.base.name="python:3.13-slim@${DIGEST}"
LABEL org.opencontainers.image.title="supply-demo"
LABEL org.opencontainers.image.version="1.0.0"

WORKDIR /app
RUN echo "приложение" > /app/marker.txt
CMD ["cat", "/app/marker.txt"]
EOF

docker build -q -f Dockerfile.pinned -t supply:pinned . > /dev/null

echo "═══ метки образа ═══"
docker image inspect supply:pinned --format '{{range $k, $v := .Config.Labels}}  {{$k}}: {{$v}}
{{end}}' | cut -c1-110

echo "═══ повторная сборка даёт тот же базовый слой ═══"
docker build -q -f Dockerfile.pinned -t supply:pinned2 . > /dev/null
base1="$(docker image inspect supply:pinned --format '{{index .RootFS.Layers 0}}')"
base2="$(docker image inspect supply:pinned2 --format '{{index .RootFS.Layers 0}}')"
printf '  базовый слой первой сборки:  %s\n' "$(echo "$base1" | cut -c1-32)"
printf '  базовый слой второй сборки:  %s\n' "$(echo "$base2" | cut -c1-32)"
[ "$base1" = "$base2" ] && echo "  ✓ совпадают" || echo "  ✗ различаются"
docker rmi -f supply:pinned2 > /dev/null 2>&1

  используем digest: sha256:3f8a91c2e7d45b6a09fe1c3d8b27a4e5f60c9d1e2a3b4c5d6e7f8091a2b3c4d5e
═══ метки образа ═══
  org.opencontainers.image.base.name: python:3.13-slim@sha256:3f8a91c2e7d45b6a09fe1c3d8b2
  org.opencontainers.image.title: supply-demo
  org.opencontainers.image.version: 1.0.0
═══ повторная сборка даёт тот же базовый слой ═══
  базовый слой первой сборки:  sha256:a1b2c3d4e5f60718293a4b5c
  базовый слой второй сборки:  sha256:a1b2c3d4e5f60718293a4b5c
  ✓ совпадают

cd /tmp/supply
echo "═══ доступные инструменты ═══"
docker scout version > /dev/null 2>&1 && echo "  docker scout: есть" || echo "  docker scout: не установлен"

echo "═══ сканирование через Trivy (запускается как container) ═══"
docker run --rm \
    -v /var/run/docker.sock:/var/run/docker.sock \
    -v "$HOME/.cache/trivy:/root/.cache/trivy" \
    aquasec/trivy:latest image --severity HIGH,CRITICAL --format table \
    python:3.13-slim 2>/dev/null | head -25 | sed 's/^/  /' \
    || echo "  (Trivy недоступен — нужен доступ к сети и сокету Docker)"

═══ доступные инструменты ═══
  docker scout: есть
═══ сканирование через Trivy (запускается как container) ═══
  python:3.13-slim (debian 13.2)
  ==============================
  Total: 4 (HIGH: 4, CRITICAL: 0)
  
  ┌──────────────┬────────────────┬──────────┬──────────────┬───────────────┬─────────┐
  │   Library    │ Vulnerability  │ Severity │    Status    │Installed Ver. │ Fixed   │
  ├──────────────┼────────────────┼──────────┼──────────────┼───────────────┼─────────┤
  │ libsqlite3-0 │ CVE-2025-29087 │ HIGH     │ affected     │ 3.46.1-1      │         │
  │ perl-base    │ CVE-2023-31484 │ HIGH     │ affected     │ 5.40.1-3      │         │
  │ zlib1g       │ CVE-2023-45853 │ HIGH     │ will_not_fix │ 1:1.3.dev-1   │         │
  │ libpam0g     │ CVE-2025-6020   │ HIGH     │ fixed        │ 1.7.0-3       │ 1.7.0-4 │
  └──────────────┴────────────────┴──────────┴──────────────┴───────────────┴─────────┘

cd /tmp/supply
echo "═══ сравнение старого и нового базового образа ═══"
cat <<'TXT'
  Приём: сравнить число уязвимостей до и после обновления.
    docker pull python:3.13-slim
    trivy image --severity HIGH,CRITICAL python:3.13-slim
  Обычно обновление базового образа закрывает большинство находок,
  потому что подавляющая их часть — в системных пакетах, а не в вашем коде.
TXT

echo "═══ откуда берутся уязвимости ═══"
docker run --rm python:3.13-slim sh -c '
    printf "  системных пакетов Debian: %s\n" "$(dpkg -l 2>/dev/null | grep -c "^ii")"
    printf "  пакетов Python:           %s\n" "$(pip list --format=freeze 2>/dev/null | wc -l)"
'

═══ сравнение старого и нового базового образа ═══
  Приём: сравнить число уязвимостей до и после обновления.
    docker pull python:3.13-slim
    trivy image --severity HIGH,CRITICAL python:3.13-slim
  Обычно обновление базового образа закрывает большинство находок,
  потому что подавляющая их часть — в системных пакетах, а не в вашем коде.
═══ откуда берутся уязвимости ═══
  системных пакетов Debian: 97
  пакетов Python:           3

cd /tmp/supply
echo "═══ получение SBOM через Syft ═══"
docker run --rm \
    -v /var/run/docker.sock:/var/run/docker.sock \
    anchore/syft:latest python:3.13-slim -o spdx-json 2>/dev/null \
    > sbom.json || echo "  (Syft недоступен)"

if [ -s sbom.json ]; then
    python3 - <<'PY'
import json
from collections import Counter

with open("sbom.json") as f:
    sbom = json.load(f)

packages = sbom.get("packages", [])
print(f"  формат:     {sbom.get('spdxVersion', '?')}")
print(f"  компонентов: {len(packages)}")

kinds = Counter()
for p in packages:
    refs = p.get("externalRefs", [])
    purl = next((r["referenceLocator"] for r in refs
                 if r.get("referenceType") == "purl"), "")
    kind = purl.split("/")[0].replace("pkg:", "") if purl else "прочее"
    kinds[kind] += 1
for kind, n in kinds.most_common(5):
    print(f"    {kind:<12} {n}")
PY
else
    cat <<'TXT'
  SBOM не получен. Команда для справки:
    docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
      anchore/syft:latest ОБРАЗ -o spdx-json > sbom.json
TXT
fi

═══ получение SBOM через Syft ═══
  формат:     SPDX-2.3
  компонентов: 104
    deb          97
    pypi         4
    binary       3

cd /tmp/supply
if [ -s sbom.json ]; then
    cat > find-component.py <<'PY'
"""Поиск компонента в SBOM — то, ради чего SBOM и хранят."""
import json
import sys

target = sys.argv[1] if len(sys.argv) > 1 else "zlib"

with open("sbom.json") as f:
    sbom = json.load(f)

found = [p for p in sbom.get("packages", [])
         if target.lower() in p.get("name", "").lower()]

if not found:
    print(f"  '{target}' не найден в образе")
else:
    print(f"  найдено совпадений: {len(found)}")
    for p in found[:5]:
        print(f"    {p.get('name')} {p.get('versionInfo', '?')}")
PY
    for comp in zlib openssl requests; do
        echo "  поиск '$comp':"
        python3 find-component.py "$comp" | sed 's/^/  /'
    done
else
    echo "  (SBOM отсутствует, пример пропущен)"
fi

  поиск 'zlib':
    найдено совпадений: 1
      zlib1g 1:1.3.dev-1
  поиск 'openssl':
    найдено совпадений: 2
      libssl3 3.5.1-1
      openssl 3.5.1-1
  поиск 'requests':
    'requests' не найден в образе

cd /tmp/supply
echo "═══ сборка с provenance и SBOM ═══"
docker buildx build --provenance=true --sbom=true \
    -f Dockerfile.pinned -t supply:attested --load . > /dev/null 2>&1 \
    && echo "  собрано с attestations" \
    || echo "  (--load не поддерживает attestations; нужен push в реестр)"

cat <<'TXT'

  Замечание: attestations прикладываются к образу в РЕЕСТРЕ.
  При сборке с --load они теряются — нужен push:

    docker buildx build --provenance=true --sbom=true \
      -t registry.example.com/myapp:1.0 --push .

  Просмотр после публикации:

    docker buildx imagetools inspect registry.example.com/myapp:1.0 \
      --format '{{ json .Provenance }}'
TXT

echo "═══ что содержит provenance ═══"
cat <<'TXT'
  buildType       чем собрано (BuildKit и версия)
  invocation      параметры сборки, включая build args
  materials       из чего собрано: базовый образ по digest, источники
  metadata        когда начата и завершена, воспроизводима ли
TXT

═══ сборка с provenance и SBOM ═══
  (--load не поддерживает attestations; нужен push в реестр)

  Замечание: attestations прикладываются к образу в РЕЕСТРЕ.
  При сборке с --load они теряются — нужен push:

    docker buildx build --provenance=true --sbom=true \
      -t registry.example.com/myapp:1.0 --push .

  Просмотр после публикации:

    docker buildx imagetools inspect registry.example.com/myapp:1.0 \
      --format '{{ json .Provenance }}'
═══ что содержит provenance ═══
  buildType       чем собрано (BuildKit и версия)
  invocation      параметры сборки, включая build args
  materials       из чего собрано: базовый образ по digest, источники
  metadata        когда начата и завершена, воспроизводима ли

cd /tmp/supply
mkdir -p registry-sim && cd registry-sim

cat > tag-scheme.sh <<'SH'
#!/usr/bin/env bash
# Схема тегирования: неизменяемые теги плюс изменяемые указатели.
set -uo pipefail

COMMIT="${1:-a3f8c91}"
VERSION="${2:-1.2.3}"
IMAGE="supply-demo"

cat > /tmp/supply/registry-sim/Dockerfile <<EOF
FROM alpine:3.21
RUN echo "версия $VERSION, коммит $COMMIT" > /VERSION
CMD ["cat", "/VERSION"]
EOF

docker build -q -t "$IMAGE:git-$COMMIT" /tmp/supply/registry-sim > /dev/null

# Неизменяемые теги — оба указывают на один образ
docker tag "$IMAGE:git-$COMMIT" "$IMAGE:v$VERSION"
# Изменяемые указатели — для удобства человека
docker tag "$IMAGE:git-$COMMIT" "$IMAGE:latest"

printf '  собрано и помечено:\n'
docker images --format '    {{.Repository}}:{{.Tag}} → {{.ID}}' | grep "^    $IMAGE:" | sort
SH
chmod +x tag-scheme.sh

echo "═══ выпуск 1.2.3 ═══"
./tag-scheme.sh a3f8c91 1.2.3
printf '  что отвечает latest: %s\n' "$(docker run --rm supply-demo:latest)"

echo "═══ выпуск 1.2.4 ═══"
./tag-scheme.sh b7e2f14 1.2.4
printf '  что отвечает latest: %s\n' "$(docker run --rm supply-demo:latest)"

echo "═══ откат ═══"
printf '  по latest — куда откатываться, неизвестно\n'
printf '  по неизменяемому тегу v1.2.3: %s\n' "$(docker run --rm supply-demo:v1.2.3)"
printf '  по коммиту git-a3f8c91:        %s\n' "$(docker run --rm supply-demo:git-a3f8c91)"

echo "═══ проверка неизменяемости ═══"
id_123="$(docker image inspect supply-demo:v1.2.3 --format '{{.Id}}')"
id_124="$(docker image inspect supply-demo:v1.2.4 --format '{{.Id}}')"
id_latest="$(docker image inspect supply-demo:latest --format '{{.Id}}')"
printf '  v1.2.3: %s\n' "$(echo "$id_123" | cut -c8-24)"
printf '  v1.2.4: %s\n' "$(echo "$id_124" | cut -c8-24)"
printf '  latest: %s (совпадает с %s)\n' "$(echo "$id_latest" | cut -c8-24)" \
    "$([ "$id_latest" = "$id_124" ] && echo v1.2.4 || echo v1.2.3)"

docker rmi -f supply-demo:latest supply-demo:v1.2.3 supply-demo:v1.2.4 \
    supply-demo:git-a3f8c91 supply-demo:git-b7e2f14 > /dev/null 2>&1
cd /tmp/supply

═══ выпуск 1.2.3 ═══
  собрано и помечено:
    supply-demo:git-a3f8c91 → sha256:8f3a2c1e
    supply-demo:latest → sha256:8f3a2c1e
    supply-demo:v1.2.3 → sha256:8f3a2c1e
  что отвечает latest: версия 1.2.3, коммит a3f8c91
═══ выпуск 1.2.4 ═══
  собрано и помечено:
    supply-demo:git-b7e2f14 → sha256:2d9e4f71
    supply-demo:latest → sha256:2d9e4f71
    supply-demo:v1.2.4 → sha256:2d9e4f71
  что отвечает latest: версия 1.2.4, коммит b7e2f14
═══ откат ═══
  по latest — куда откатываться, неизвестно
  по неизменяемому тегу v1.2.3: версия 1.2.3, коммит a3f8c91
  по коммиту git-a3f8c91:        версия 1.2.3, коммит a3f8c91
═══ проверка неизменяемости ═══
  v1.2.3: 8f3a2c1e
  v1.2.4: 2d9e4f71
  latest: 2d9e4f71 (совпадает с v1.2.4)

cd /tmp/supply
cat > image-policy.sh <<'SH'
#!/usr/bin/env bash
# Проверка политики: закрепление, метки, отсутствие изменяемых тегов в FROM.
set -uo pipefail

DOCKERFILE="${1:-Dockerfile}"
IMAGE="${2:-}"
fail=0
ok()  { printf '  ✓ %s\n' "$1"; }
no()  { printf '  ✗ %s\n' "$1"; fail=1; }

printf '\nПроверка %s\n' "$DOCKERFILE"

# 1. Базовые образы закреплены по digest
unpinned=0
while read -r line; do
    case "$line" in
        *@sha256:*) ;;
        *scratch*)  ;;
        *) unpinned=$((unpinned + 1)); printf '      не закреплён: %s\n' "$line" ;;
    esac
done < <(grep -iE '^\s*FROM ' "$DOCKERFILE" 2>/dev/null)
[ "$unpinned" -eq 0 ] && ok "все FROM закреплены по digest" \
    || no "не закреплено образов: $unpinned"

# 2. Нет тега latest
grep -iqE '^\s*FROM .*:latest' "$DOCKERFILE" 2>/dev/null \
    && no "используется тег latest" || ok "тег latest не используется"

# 3. Метки OCI
for label in "org.opencontainers.image.base.name" "org.opencontainers.image.version"; do
    grep -q "$label" "$DOCKERFILE" 2>/dev/null \
        && ok "метка $label задана" || no "метка $label отсутствует"
done

# 4. Секреты не через ARG
grep -iqE '^\s*ARG .*(TOKEN|SECRET|PASSWORD|KEY)' "$DOCKERFILE" 2>/dev/null \
    && no "секрет через ARG — попадёт в историю" || ok "секретов в ARG нет"

# 5. Если образ указан — проверить метки в собранном
if [ -n "$IMAGE" ] && docker image inspect "$IMAGE" > /dev/null 2>&1; then
    base="$(docker image inspect "$IMAGE" \
        --format '{{index .Config.Labels "org.opencontainers.image.base.name"}}' 2>/dev/null)"
    case "$base" in
        *@sha256:*) ok "метка base.name содержит digest" ;;
        ""|"<no value>") no "метка base.name пуста в собранном образе" ;;
        *) no "метка base.name без digest: $base" ;;
    esac
fi

exit "$fail"
SH
chmod +x image-policy.sh

echo "═══ закреплённый Dockerfile ═══"
./image-policy.sh Dockerfile.pinned supply:pinned

echo
echo "═══ незакреплённый — для сравнения ═══"
cat > Dockerfile.loose <<'EOF'
FROM python:latest
ARG API_TOKEN
RUN echo "сборка"
CMD ["true"]
EOF
./image-policy.sh Dockerfile.loose || true

═══ закреплённый Dockerfile ═══

Проверка Dockerfile.pinned
  ✓ все FROM закреплены по digest
  ✓ тег latest не используется
  ✓ метка org.opencontainers.image.base.name задана
  ✓ метка org.opencontainers.image.version задана
  ✓ секретов в ARG нет
  ✓ метка base.name содержит digest

═══ незакреплённый — для сравнения ═══

Проверка Dockerfile.loose
      не закреплён: FROM python:latest
  ✗ не закреплено образов: 1
  ✗ используется тег latest
  ✗ метка org.opencontainers.image.base.name отсутствует
  ✗ метка org.opencontainers.image.version отсутствует
  ✗ секрет через ARG — попадёт в историю

docker rmi -f supply:pinned > /dev/null 2>&1
cd /tmp && rm -rf /tmp/supply

docker pull -q alpine:3.21 > /dev/null
docker image inspect alpine:3.21 --format 'RepoDigests: {{json .RepoDigests}}'
docker image inspect alpine:3.21 --format 'Id: {{.Id}}'
echo "Тег alpine:3.21 сегодня указывает на этот digest; через месяц может на другой."