Blocco B · La filiera automatizzata — Modulo 10 di 16
Qualità e sicurezza
i cancelli della pipeline
Obiettivi di oggi
- hadolint sui Dockerfile; Trivy sulle immagini; SBOM come inventario
- La policy dell'Ente: cosa blocca, cosa traccia, chi deroga
Da dove vengono le vulnerabilità
- Base image (pacchetti di sistema) — la maggioranza
- Dipendenze applicative (pip, npm…)
- Il TUO codice — la minoranza, ma la più tua
Per questo si scandisce l'IMMAGINE (ciò che va in produzione), non solo il codice.
La policy dell'Ente
| Severità | Effetto in pipeline | Chi decide eccezioni |
|---|
| CRITICAL | blocca (exit-code 1) | referente sicurezza, con piano di rientro |
| HIGH | tracciata nel report | rientro nel rebuild periodico |
- Il gate è automatico e uguale per tutti (fornitori inclusi)
- La deroga è umana, motivata, tracciata — mai silenziosa
SBOM: l'inventario dei componenti
- Elenco leggibile a macchina di TUTTO ciò che sta in un'immagine (CycloneDX)
- Scenario "log4j": esce una CVE grave → interroghi le SBOM → sai in minuti QUALI servizi sono esposti
- La pipeline la produce a ogni build e la conserva come artefatto
Laboratorio (2h)
- hadolint in lint; stage scan con Trivy (HIGH informativo, CRITICAL bloccante)
- SBOM come artefatto; lettura dei report
- Provoca un errore hadolint; discussione "caso log4j" con la SBOM alla mano
Riepilogo e prossimo passo
- Un'immagine pubblicata ora è: testata, scandita, inventariata
- Ma il deploy è ancora manuale…
- Modulo 11: la pipeline arriva fino al server di staging