From a168a3c7e689ad258bbdbaccac1b58ed59d76731 Mon Sep 17 00:00:00 2001 From: wbsong111 Date: Mon, 3 Aug 2026 11:25:20 +0900 Subject: [PATCH] =?UTF-8?q?docs(image-authoring):=20CoverageProbe=20cov=3D?= =?UTF-8?q?=20=ED=99=95=EC=9D=B8=20=EC=A7=80=EC=8B=9C=20=EC=A0=9C=EA=B1=B0?= =?UTF-8?q?=20+=20Dockerfile=20=EA=B2=BD=EB=A1=9C=20=EC=A3=BC=EC=84=9D=20?= =?UTF-8?q?=EC=A0=95=EC=A0=95?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit scan-sbom.sh 에 커버리지 자가진단이 없는데도 체크리스트가 cov= 확인을 지시해 같은 문서 104-106줄과 모순됐다. 실제 동작(findings 0건 시 보수적 실패)과 판단 방법으로 교체. Dockerfile 헤더 주석의 doc/scripts/ 경로도 scripts/pipeline/ 로 갱신(경로 이전 시 누락됨). Co-Authored-By: Claude Sonnet 5 --- .claude/image-authoring.md | 7 +++++-- scripts/pipeline/Dockerfile | 4 ++-- 2 files changed, 7 insertions(+), 4 deletions(-) diff --git a/.claude/image-authoring.md b/.claude/image-authoring.md index a6d54ba..f0733ac 100644 --- a/.claude/image-authoring.md +++ b/.claude/image-authoring.md @@ -87,8 +87,11 @@ security-catalog 는 자체 빌드 이미지의 최종 런타임 베이스로 SU ```sh IMAGE= BASE_OS= bash scripts/build/build-hardened-image.sh /tmp/out ``` - `cve-gate.md` 로 실효 C/H 0 확인. 커버리지 자가진단(`cov=`)이 `ok` 인지도 확인 — - 패키지가 적은 이미지(최소 베이스 등)는 "데이터 없음"으로 오판될 위험이 있다 + `cve-gate.md` 로 실효 C/H 0 확인. **dip-catalog 의 `scan-sbom.sh` 는 커버리지 + 자가진단(`CoverageProbe`)이 없다** — 패키지가 적은 이미지(최소 베이스 등)는 findings + 전 심각도 0건이라는 이유만으로 게이트가 "데이터 커버리지 이상"으로 실패할 수 있다. + 진짜 0건인지 스캐너 데이터 부재인지는 사람이 `trivy-reports/.json`(OS/패키지 수)을 + 보고 직접 판단한다(`doc/sbom-pipeline.md` 참고) 5. **게이트 PASS 는 "동작한다" 를 증명하지 않는다.** CVE 스캐너는 CVE 와 무관한 런타임 요구사항(예: 오퍼레이터가 자신의 파일 레이아웃에 의존하는 것)을 전혀 보지 못한다. 실제 배포 검증을 반드시 한다 — 자동화된 배포 테스트 절차는 아직 없으므로 해당 차트를 diff --git a/scripts/pipeline/Dockerfile b/scripts/pipeline/Dockerfile index 248671a..b232fee 100644 --- a/scripts/pipeline/Dockerfile +++ b/scripts/pipeline/Dockerfile @@ -2,7 +2,7 @@ # SBOM 파이프라인 실행 이미지 # # .github/workflows/sbom.yml 의 `container:` (Repo Variable SBOM_PIPELINE_IMAGE) -# 로 사용되는 이미지. doc/scripts/*.sh 를 컨테이너 내부에서 직접 실행한다. +# 로 사용되는 이미지. scripts/pipeline/*.sh 를 컨테이너 내부에서 직접 실행한다. # 상세: doc/sbom-pipeline.md # # 도구: helm(v3) + trivy + python3 + bash + git @@ -12,7 +12,7 @@ # # 빌드 & 푸시 (amd64 필수 — GitHub 러너가 amd64): # docker buildx build --platform linux/amd64 \ -# -t docker.io//sbom-pipeline:latest -f doc/scripts/Dockerfile --push doc/scripts +# -t docker.io//sbom-pipeline:latest -f scripts/pipeline/Dockerfile --push scripts/pipeline # # 이후: gh variable set SBOM_PIPELINE_IMAGE --body docker.io//sbom-pipeline:latest # ============================================================================= FROM debian:stable-slim