Docker: multi-arch signed OCI images with SBOM

Open
  • Is something wrong?
#208 2 comments 0 reactions 0 assignees View on GitHub

Maintainers usually reply within 1 day

Nobody has claimed this yet.

Assessment

Difficulty
5/5
Estimated time
Over a week
Newbie friendliness
8/100
Issue type
Feature
Clarity
Needs clarification
Activity status
Active
Tech stack
docker, github-actions
Domain
devops, security

Research direction

The issue is a design plan, not a code change. Start by reading its blocking prerequisites: DK-06, #180, and #181/#185/#186, which the issue asks you to check. The first step is documenting the current state, affected files, architecture and risks, then getting maintainer approval, since the issue says implementation must wait for that. Done means an approved plan and one reviewable PR with green CI and documented rollback.

Written by the indexing model from the issue text.

Description

area:docker area:release priority:P3 type:maintenance

Ziel und Umfang

Separate, explizit freigegebene OCI-Publishing-Pipeline; immutable Digests, signierte Images (Sigstore/cosign), Provenance/Attestations, SBOM, Scanner, gepinnte Actions, Least-Privilege-OIDC, keine Secrets in Layern; Multi-Arch-Manifest; Release-Kanäle.

Priorität und Abhängigkeiten

  • Priorität: P1
  • Vorbedingungen: DK-06, #180 (zusätzlich #181/#185/#186 prüfen) (DK-Referenzen sind Titel dieser Reihe; nach Erstellung durch konkrete Issue-Links auflösbar)
  • Phase: A – lokaler Containerbetrieb

Sicherheitsregeln

  • Vor Umsetzung Ist-Zustand, betroffene Dateien, Architektur und Risiken dokumentieren; Freigabe einholen.
  • Ein kleiner, eigenständig reviewbarer PR; keine ungeplanten Refactorings.
  • Kein offener Netzwerkport, keine automatische Remote-Freigabe, kein stiller unsicherer Fallback.
  • Keine privaten Schlüssel, Passphrasen oder Tokens in Images, Logs, CLI-Argumenten oder Build-Layern.
  • Windows-/Debian-/ARM64-Pakete, bestehende CLI/API, Schlüsselcontainer und .pqkf v1/v2 bleiben kompatibel.

Tests und Akzeptanzkriterien

Signatur-/Attestation-/SBOM-Verifikation und Negativtest manipuliertes Image; Scanner-Gate, Registry-Rechte, kein Push aus untrusted PRs; DE/EN Install-/Rollback-Anleitung.

  • Positiv-, Negativ-, Manipulations-, Fehler-/Abbruch- und Regressionstests passend zum Scope dokumentiert und grün.
  • CI: fmt, clippy, tests, Security-/Dependency-Checks; Zielplattformen soweit einschlägig.
  • Dokumentation und Bedrohungsmodell auf Deutsch und Englisch aktualisiert.

Definition of Done

  • Architektur-/Implementierungsplan vor Änderung freigegeben.
  • Genau ein unabhängiger PR mit Review und grüner CI.
  • Bestehende Daten und Installationswege nachweislich nutzbar.
  • Rollback getestet; Release-Notes und Einschränkungen dokumentiert.

Rollback

Release-Tag zurückziehen/deprecaten und auf vorherigen Digest pinnen; keine Datenmigration.

Reihe: DK-07 von 12. Verwandt: #95, #104; Docker ist ergänzend zu bestehenden Core-/Daemon-Issues, kein Ersatz.

Dominant language
Rust
Stars
0
Forks
0
Avg merge
1h 22m
Merged PRs (30d)
72

Getting set up

First steps

  1. Read the whole issue, then the project's contributing guide.
  2. Comment on the issue to say you are picking it up — it saves two people doing the same work.
  3. Fork the repository and make your change on a branch.
  4. Open a pull request that references the issue number.

More from SpecterAoD/pqkeep

All issues in SpecterAoD/pqkeep

Similar issues

More Rust issues

Get new issues in your inbox

A short digest of beginner-friendly GitHub issues.