APRENDER. PRATICAR. EVOLUIR.Ler o estado efetivo da imagem
Um Pod criado com uma tag comum e sem imagePullPolicy pode receber IfNotPresent por default. Mudar depois a tag para latest não recalcula automaticamente esse campo. Consulta o objeto efetivo e define a intenção na configuração. Always também não implica transferir novamente todos os bytes: o runtime pode reutilizar conteúdo já disponível para o digest resolvido. Regista o digest e a política usada no diagnóstico. Estas distinções ajudam a explicar por que uma expectativa sobre o nome da tag não corresponde ao comportamento observado durante uma recuperação.
Manter secrets fora das saídas do build
Um secret mount entrega temporariamente uma credencial à instrução de build. Isso não impede o comando de a imprimir ou copiar para um resultado persistente. No caso fictício, o token aparece num log CI partilhado apesar de a montagem ter terminado. A resposta deve tratar a credencial, o acesso à cópia e a correção do comando, com preservação adequada da evidência. Não copies o valor para o ticket de incidente. O scan de vulnerabilidades da imagem responde a outra pergunta e não prova que uma credencial divulgada deixou de poder ser usada.
Interpretar filtros e afirmações de proveniência
Um relatório que passa de seis findings para zero sem alterar a imagem merece comparação das opções usadas. O filtro ignore-unfixed pode ocultar resultados sem correção disponível; não repara os componentes. Analisa também a fonte de severidade, a distribuição e o pacote antes de comparar ferramentas. Numa attestation, verificar assinatura do builder aprovado confirma uma parte da confiança, mas as afirmações ainda precisam de cumprir a política da organização. O gestor técnico deve pedir evidência para cada gate e não aceitar uma única palavra, como verificado, como aprovação de todas as dimensões.
Reconstruir pedidos a partir das etapas
Um pedido de API pode produzir vários eventos de auditoria. Agrupa etapas pelo auditID antes de contar tentativas e considera o resultado, o principal, o recurso e o intervalo. RequestReceived demonstra receção, não sucesso. Um watch pode apresentar ResponseStarted enquanto a resposta continua aberta. No exercício, seis linhas, incluindo duplicados de exportação, pertencem a dois pedidos: um patch termina com 200 e outro com 403. O relatório deve preservar esta diferença. Uma análise agregada pode ajudar a gestão, mas precisa de permanecer ligada aos registos originais para permitir investigação e revisão.
Verificar a cobertura antes de concluir
O processo da API pode continuar saudável enquanto o destino de auditoria falha. Um aumento de erros de exportação exige delimitar o intervalo e procurar fontes complementares, em vez de afirmar cobertura integral. Define quem verifica recolha, entrega, retenção e acesso aos registos. Se faltam eventos finais, classifica o resultado como não confirmado no conjunto disponível. Mantém a cronologia da investigação separada das hipóteses ainda por provar. Numa reunião com gestão, explica qual operação está demonstrada, qual permanece incerta e que evidência pode resolver a incerteza.
Fechar a release e entregar recuperação reproduzível
Relaciona digest, configuração de pull, resultado do scan com opções explícitas, attestation avaliada e ausência de divulgação no novo build. Depois confirma a operação útil e a recolha de auditoria necessária ao serviço. Se o incidente envolveu uma credencial, a recuperação tem de abranger a credencial e não apenas o artefacto. No handover, inclui donos, critérios de interrupção, alternativas aprovadas e exemplos de consulta sem valores secretos. Os modelos deste percurso ajudam a raciocinar sobre evidência; não executam Cosign, Trivy, um build Docker ou um cluster Kubernetes real.
Seis linhas de auditoria representam dois pedidos, um deles recusado. Corrigir a contagem muda o impacto comunicado à gestão sem eliminar evidência.
Armadilhas comuns
Assumir que latest altera a policy; tratar filtro como correção; confundir assinatura com conformidade; contar etapas como alterações; ocultar lacunas de auditoria.
Tópicos relacionados: Supply chain e secrets · Auditoria e comunicação de incidentes
A decisão de release depende de evidência com âmbito claro sobre o artefacto, as credenciais e os pedidos realmente observados.
Referência: Container images · Kubernetes v1.35; current six-domain CKS outline