2. Imagem e Cadeia de Suprimentos

O seu código é uma parte pequena do que roda em produção: a imagem também contém uma distribuição Linux, um JRE e cerca de cem bibliotecas. A segurança da cadeia de suprimentos faz três perguntas sobre toda imagem antes que ela rode: o que há dentro dela? (um SBOM), ela contém vulnerabilidades conhecidas? (um scan) e ela foi mesmo construída pelo nosso pipeline, a partir deste commit? (proveniência). O job image do ci.yaml responde às três, nesta ordem:

flowchart LR
    build["build (carregada localmente)"] --> sarif["relatório do Trivy -> aba Security"]
    sarif --> gate{"portão do Trivy: CRITICAL com correção?"}
    gate -->|sim| fail[job falha, nada é publicado]
    gate -->|não| sbom["SBOM (Syft, SPDX)"]
    sbom --> push["push para ghcr.io (sha-<commit>, main)"]
    push --> prov["atesta a proveniência (Sigstore)"]
    prov --> attsbom["atesta o SBOM"]

O job está em .github/workflows/ci.yaml (mostrado completo no passo 1); esta página explica os seus steps.

Build, depois scan, depois push

Escanear antes do push significa que uma imagem vulnerável nunca é publicada. O portão é estreito de propósito: falhar em todo HIGH sem correção bloquearia todo o trabalho por problemas que ninguém consegue resolver hoje, e times aprendem a ignorar um portão que está sempre vermelho. O relatório completo continua listando essas vulnerabilidades.

Mantenha as dependências em dia

# Lab 11: keep dependencies and pinned actions up to date with reviewed pull requests.
version: 2
updates:
  - package-ecosystem: github-actions
    directory: /
    schedule:
      interval: weekly
  - package-ecosystem: maven
    directories: ["/services/*"]
    schedule:
      interval: weekly
  - package-ecosystem: docker
    directories: ["/services/*"]
    schedule:
      interval: weekly

O Dependabot abre um pull request quando uma action fixada, uma dependência Maven ou uma imagem base tem uma nova versão; o seu CI então testa a atualização como qualquer outra mudança.

Veja funcionar

Depois de um push para a main, abra Actions → CI → image (catalog). Você deve ver todos os steps verdes e, no fim, dois links de atestação. Depois:

• Packages (a página do seu perfil ou do repositório): boxoffice-catalog com as tags main e sha-…. Pacotes novos são privados; para o cluster local do passo 4, torne-o público (pacote → Package settings → Change visibility) ou crie um pull secret (o passo 4 mostra como).
• Security → Code scanning: os achados do Trivy, um alerta por vulnerabilidade.

• Verifique a proveniência a partir da sua máquina com a GitHub CLI:

  gh attestation verify oci://ghcr.io/<your-user>/boxoffice-catalog:main --owner <your-user>
  

  Você deve ver ✓ Verification succeeded! e o workflow, o commit e o runner que construíram a imagem. Qualquer mudança na imagem — mesmo de um byte — muda o seu digest, e a verificação falha.

Próximo: Portão de desempenho