Skip to main content
O MKA1 impõe uma cadeia de suprimentos determinística, onde toda imagem de contêiner é rastreável até um commit específico da origem, construída exclusivamente por pipelines CI automatizados e armazenada em registros privados que rejeitam artefatos externos.

​
O que está ativo

​
Marcação imutável de artefatos

Cada imagem de contêiner construída pela plataforma é marcada com o SHA do commit de origem do git. Isso cria um vínculo imutável e único entre o código-fonte e o binário implantado:
  • As imagens são enviadas para o Amazon ECR com tags de commit-SHA (por exemplo, sha-a1b2c3d), garantindo que cada artefato seja identificável de forma única.
  • Os repositórios ECR são configurados como registros privados restritos à conta AWS da organização.
  • Políticas de ciclo de vida do ECR impõem uma janela de retenção de 30 dias para imagens de commit-SHA, mantendo apenas a tag latest indefinidamente.

​
Pipeline CI/CD controlado

Todas as imagens de contêiner se originam de workflows do GitHub Actions — não são permitidos envios manuais de imagens:
  • Os workflows de implantação autenticam com a AWS via federação OIDC (sem credenciais de longa duração).
  • O GitHub Actions utiliza versões fixas de actions para builds reproduzíveis e determinísticos.
  • O Docker Buildx produz imagens multiplataforma a partir de um ambiente de build consistente.
  • A integridade das dependências é verificada durante os builds (por exemplo, go mod verify para módulos Go).
  • O acesso a módulos privados é controlado via PATs do GitHub com escopo restrito, em vez de credenciais amplas.

​
Obrigatoriedade de registro privado

As implantações no Kubernetes puxam imagens exclusivamente dos nossos registros privados Amazon ECR:
  • Todos os manifestos de serviços referenciam URIs de imagens ECR totalmente qualificadas dentro da conta AWS da organização.
  • Nenhum registro público ou de terceiros é referenciado em cargas de trabalho de produção.
  • A varredura nativa de vulnerabilidades do ECR está habilitada, fornecendo avaliação automatizada do conteúdo das imagens.

​
Gerenciamento de segredos e chaves

  • Todos os segredos são criptografados em repouso usando SOPS com uma chave AWS KMS gerenciada pelo cliente.
  • Segredos nunca são armazenados em texto puro no repositório ou em logs de CI.
  • O acesso ao cluster Kubernetes é governado por RBAC integrado ao IAM, restringindo quem pode interagir com cargas de trabalho e registros.

​
Como validamos

Validamos a cadeia de suprimentos por meio de revisão de infraestrutura como código e inspeção ao vivo do cluster. Rastreabilidade do código-fonte à imagem: Cada tag de imagem implantada mapeia para um commit SHA do git. Dado qualquer contêiner em execução, podemos identificar a revisão exata do código-fonte:
Verificação da origem do registro: Confirmamos que todas as cargas de trabalho em execução puxam exclusivamente do nosso ECR privado:
Auditoria do pipeline CI: As execuções de workflow do GitHub Actions são registradas e auditáveis, fornecendo um histórico completo de quem disparou cada build e qual commit produziu cada imagem.

​
Evidências

​
Imagem ECR com tag de commit-SHA

​
Pods do Kubernetes puxando do ECR privado

​
Workflow do GitHub Actions impondo builds apenas via CI