Blocco B · La filiera automatizzata — Modulo 10 di 16

Qualità e sicurezza

i cancelli della pipeline

Obiettivi di oggi

hadolint sui Dockerfile; Trivy sulle immagini; SBOM come inventario
La policy dell'Ente: cosa blocca, cosa traccia, chi deroga

Da dove vengono le vulnerabilità

Base image (pacchetti di sistema) — la maggioranza
Dipendenze applicative (pip, npm…)
Il TUO codice — la minoranza, ma la più tua

Per questo si scandisce l'IMMAGINE (ciò che va in produzione), non solo il codice.

La policy dell'Ente

Severità	Effetto in pipeline	Chi decide eccezioni
CRITICAL	blocca (exit-code 1)	referente sicurezza, con piano di rientro
HIGH	tracciata nel report	rientro nel rebuild periodico

Il gate è automatico e uguale per tutti (fornitori inclusi)
La deroga è umana, motivata, tracciata — mai silenziosa

SBOM: l'inventario dei componenti

Elenco leggibile a macchina di TUTTO ciò che sta in un'immagine (CycloneDX)
Scenario "log4j": esce una CVE grave → interroghi le SBOM → sai in minuti QUALI servizi sono esposti
La pipeline la produce a ogni build e la conserva come artefatto

Laboratorio (2h)

hadolint in lint; stage scan con Trivy (HIGH informativo, CRITICAL bloccante)
SBOM come artefatto; lettura dei report
Provoca un errore hadolint; discussione "caso log4j" con la SBOM alla mano

Riepilogo e prossimo passo

Un'immagine pubblicata ora è: testata, scandita, inventariata
Ma il deploy è ancora manuale…
Modulo 11: la pipeline arriva fino al server di staging

← portale · frecce/click per navigare · F = schermo intero · Ctrl+P = PDF