Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادثDocker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث

يعالج موضوع «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» مشكلة محددة: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وينطلق من عناصر فعلية هي Docker, BuildKit, SBOM, SPDX, attestation للوصول إلى قرار يمكن التحقق منه بدلا من وصف عام.

المشكلة العملية: Docker مع BuildKit

تظهر الصعوبة الحقيقية عندما يلتقي المسار الطبيعي بالصلاحيات والأخطاء وقيود الإنتاج.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c11 من SBOM ويعامل SPDX كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على attestation إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ Docker بإحداث الأثر المقصود حول BuildKit. بعد ذلك يراقب التشغيل الانتقال بين attestation و Docker، بينما يتحقق الأمن من أن BuildKit لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق Docker يعيد rollback الإعداد المرتبط بـ BuildKit ثم يشغل docker-sbom-ar-c11 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من SBOM. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى SPDX وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c12 من SPDX ويعامل attestation كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على Docker إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ BuildKit بإحداث الأثر المقصود حول SBOM. وتبقى الخلاصة محكومة بحدود Docker و SBOM؛ فما لا يثبته السيناريو docker-sbom-ar-c12 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل SPDX نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار attestation تتضمن fixture ‏docker-sbom-ar-c12 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى Docker.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c13 من attestation ويعامل Docker كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على BuildKit إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SBOM بإحداث الأثر المقصود حول SPDX. بعد ذلك يراقب التشغيل الانتقال بين BuildKit و SBOM، بينما يتحقق الأمن من أن SPDX لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق SBOM يعيد rollback الإعداد المرتبط بـ SPDX ثم يشغل docker-sbom-ar-c13 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من attestation. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى Docker وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c14 من Docker ويعامل BuildKit كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SBOM إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SPDX بإحداث الأثر المقصود حول attestation. وتبقى الخلاصة محكومة بحدود SBOM و attestation؛ فما لا يثبته السيناريو docker-sbom-ar-c14 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل Docker نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار BuildKit تتضمن fixture ‏docker-sbom-ar-c14 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى SBOM.

حالة تقنية لـ Docker ضمن Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث
لقطة سياقية لقسم «المشكلة العملية: Docker مع BuildKit»: حالة محلية منتجة فعليا للتحقق docker-sbom-ar.
نقطة دليل: توضح Docker أن Docker can generate SPDX SBOM attestations during BuildKit builds and provides local inspection workflows. ويُستخدم هذا المرجع لتأطير القسم «المشكلة العملية: Docker مع BuildKit» من دون أن يحل محل الاختبار المحلي. [S1]

حدود الثقة حول SBOM

التنفيذ المتين يفصل بين ما يقترحه النموذج وما يسمح به التطبيق وما يتحقق منه.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c21 من SPDX ويعامل attestation كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على Docker إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ BuildKit بإحداث الأثر المقصود حول SBOM. لاختبار attestation تتضمن fixture ‏docker-sbom-ar-c21 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى Docker. بعد ذلك يراقب التشغيل الانتقال بين Docker و BuildKit، بينما يتحقق الأمن من أن SBOM لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق BuildKit يعيد rollback الإعداد المرتبط بـ SBOM ثم يشغل docker-sbom-ar-c21 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من SPDX.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c22 من attestation ويعامل Docker كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على BuildKit إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SBOM بإحداث الأثر المقصود حول SPDX. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى Docker وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود BuildKit و SPDX؛ فما لا يثبته السيناريو docker-sbom-ar-c22 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل attestation نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c23 من Docker ويعامل BuildKit كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SBOM إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SPDX بإحداث الأثر المقصود حول attestation. لاختبار BuildKit تتضمن fixture ‏docker-sbom-ar-c23 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى SBOM. بعد ذلك يراقب التشغيل الانتقال بين SBOM و SPDX، بينما يتحقق الأمن من أن attestation لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق SPDX يعيد rollback الإعداد المرتبط بـ attestation ثم يشغل docker-sbom-ar-c23 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من Docker.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c24 من BuildKit ويعامل SBOM كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SPDX إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ attestation بإحداث الأثر المقصود حول Docker. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى SBOM وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود SPDX و Docker؛ فما لا يثبته السيناريو docker-sbom-ar-c24 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل BuildKit نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

حالة تقنية لـ BuildKit ضمن Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث
لقطة سياقية لقسم «حدود الثقة حول SBOM»: حالة محلية منتجة فعليا للتحقق docker-sbom-ar.
نقطة دليل: توضح SLSA أن SLSA build levels progress from no guarantees to provenance, hosted signed builds and hardened build platforms. ويُستخدم هذا المرجع لتأطير القسم «حدود الثقة حول SBOM» من دون أن يحل محل الاختبار المحلي. [S2]

تجهيز الحالة الابتدائية والمتطلبات

نقطة البداية ليست ميزة جديدة، بل حد قرار يمكن ملاحظته وتدقيقه.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c31 من attestation ويعامل Docker كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على BuildKit إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SBOM بإحداث الأثر المقصود حول SPDX. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل attestation نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار Docker تتضمن fixture ‏docker-sbom-ar-c31 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى BuildKit. بعد ذلك يراقب التشغيل الانتقال بين BuildKit و SBOM، بينما يتحقق الأمن من أن SPDX لا يحصل على صلاحية ضمنية أو بيانات زائدة.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c32 من Docker ويعامل BuildKit كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SBOM إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SPDX بإحداث الأثر المقصود حول attestation. إذا فشل تحقق SPDX يعيد rollback الإعداد المرتبط بـ attestation ثم يشغل docker-sbom-ar-c32 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من Docker. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى BuildKit وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود SBOM و attestation؛ فما لا يثبته السيناريو docker-sbom-ar-c32 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c33 من BuildKit ويعامل SBOM كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SPDX إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ attestation بإحداث الأثر المقصود حول Docker. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل BuildKit نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار SBOM تتضمن fixture ‏docker-sbom-ar-c33 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى SPDX. بعد ذلك يراقب التشغيل الانتقال بين SPDX و attestation، بينما يتحقق الأمن من أن Docker لا يحصل على صلاحية ضمنية أو بيانات زائدة.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c34 من SBOM ويعامل SPDX كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على attestation إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ Docker بإحداث الأثر المقصود حول BuildKit. إذا فشل تحقق Docker يعيد rollback الإعداد المرتبط بـ BuildKit ثم يشغل docker-sbom-ar-c34 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من SBOM. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى SPDX وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود attestation و BuildKit؛ فما لا يثبته السيناريو docker-sbom-ar-c34 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.

حالة تقنية لـ SBOM ضمن Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث
لقطة سياقية لقسم «تجهيز الحالة الابتدائية والمتطلبات»: حالة محلية منتجة فعليا للتحقق docker-sbom-ar.
  1. الخطوة 1 — اضبط Docker ثم نفذ التحقق docker-sbom-ar-step-1 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  2. الخطوة 2 — اضبط BuildKit ثم نفذ التحقق docker-sbom-ar-step-2 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  3. الخطوة 3 — اضبط SBOM ثم نفذ التحقق docker-sbom-ar-step-3 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  4. الخطوة 4 — اضبط SPDX ثم نفذ التحقق docker-sbom-ar-step-4 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  5. الخطوة 5 — اضبط attestation ثم نفذ التحقق docker-sbom-ar-step-5 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.
  6. الخطوة 6 — اضبط Docker ثم نفذ التحقق docker-sbom-ar-step-6 واحتفظ بالنتيجة القابلة للملاحظة قبل الانتقال.

ثلاثة أعطال وتصحيحها

  • رفض المدخل بعد تنفيذ الأثر: انقل التحقق إلى ما قبل الفعل الخارجي.
  • غياب الدليل: سجل معرّف قرار من دون تخزين السر.
  • رجوع جزئي: أعد الإعداد والصلاحية معا ثم أعد اختبار fixture المرجعية.
نقطة دليل: توضح Docker أن Docker BuildKit can attach SBOM and provenance attestations so consumers can inspect image contents and build origin. ويُستخدم هذا المرجع لتأطير القسم «تجهيز الحالة الابتدائية والمتطلبات» من دون أن يحل محل الاختبار المحلي. [S3]

تنفيذ الإجراء وملاحظة النتيجة

التصميم القابل للتشغيل يوضح من يقرر، وما الدليل المتاح، وما الذي يمكن الرجوع عنه.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c41 من Docker ويعامل BuildKit كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SBOM إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SPDX بإحداث الأثر المقصود حول attestation. وتبقى الخلاصة محكومة بحدود SBOM و attestation؛ فما لا يثبته السيناريو docker-sbom-ar-c41 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل Docker نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار BuildKit تتضمن fixture ‏docker-sbom-ar-c41 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى SBOM.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c42 من BuildKit ويعامل SBOM كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SPDX إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ attestation بإحداث الأثر المقصود حول Docker. بعد ذلك يراقب التشغيل الانتقال بين SPDX و attestation، بينما يتحقق الأمن من أن Docker لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق attestation يعيد rollback الإعداد المرتبط بـ Docker ثم يشغل docker-sbom-ar-c42 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من BuildKit. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى SBOM وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c43 من SBOM ويعامل SPDX كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على attestation إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ Docker بإحداث الأثر المقصود حول BuildKit. وتبقى الخلاصة محكومة بحدود attestation و BuildKit؛ فما لا يثبته السيناريو docker-sbom-ar-c43 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل SBOM نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار SPDX تتضمن fixture ‏docker-sbom-ar-c43 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى attestation.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c44 من SPDX ويعامل attestation كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على Docker إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ BuildKit بإحداث الأثر المقصود حول SBOM. بعد ذلك يراقب التشغيل الانتقال بين Docker و BuildKit، بينما يتحقق الأمن من أن SBOM لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق BuildKit يعيد rollback الإعداد المرتبط بـ SBOM ثم يشغل docker-sbom-ar-c44 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من SPDX. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى attestation وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

حالة تقنية لـ SPDX ضمن Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث
لقطة سياقية لقسم «تنفيذ الإجراء وملاحظة النتيجة»: حالة محلية منتجة فعليا للتحقق docker-sbom-ar.
نقطة دليل: توضح Kubernetes أن Kubernetes application guidance covers secure workload practices from the developer perspective. ويُستخدم هذا المرجع لتأطير القسم «تنفيذ الإجراء وملاحظة النتيجة» من دون أن يحل محل الاختبار المحلي. [S4]

حالات الفشل والإشارات وطريقة التشخيص

تظهر الصعوبة الحقيقية عندما يلتقي المسار الطبيعي بالصلاحيات والأخطاء وقيود الإنتاج.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c51 من BuildKit ويعامل SBOM كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SPDX إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ attestation بإحداث الأثر المقصود حول Docker. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى SBOM وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود SPDX و Docker؛ فما لا يثبته السيناريو docker-sbom-ar-c51 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل BuildKit نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c52 من SBOM ويعامل SPDX كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على attestation إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ Docker بإحداث الأثر المقصود حول BuildKit. لاختبار SPDX تتضمن fixture ‏docker-sbom-ar-c52 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى attestation. بعد ذلك يراقب التشغيل الانتقال بين attestation و Docker، بينما يتحقق الأمن من أن BuildKit لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق Docker يعيد rollback الإعداد المرتبط بـ BuildKit ثم يشغل docker-sbom-ar-c52 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من SBOM.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c53 من SPDX ويعامل attestation كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على Docker إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ BuildKit بإحداث الأثر المقصود حول SBOM. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى attestation وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود Docker و SBOM؛ فما لا يثبته السيناريو docker-sbom-ar-c53 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل SPDX نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c54 من attestation ويعامل Docker كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على BuildKit إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SBOM بإحداث الأثر المقصود حول SPDX. لاختبار Docker تتضمن fixture ‏docker-sbom-ar-c54 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى BuildKit. بعد ذلك يراقب التشغيل الانتقال بين BuildKit و SBOM، بينما يتحقق الأمن من أن SPDX لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق SBOM يعيد rollback الإعداد المرتبط بـ SPDX ثم يشغل docker-sbom-ar-c54 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من attestation.

حالة تقنية لـ attestation ضمن Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث
لقطة سياقية لقسم «حالات الفشل والإشارات وطريقة التشخيص»: حالة محلية منتجة فعليا للتحقق docker-sbom-ar.
نقطة دليل: توضح Kubernetes أن Pod Security Admission can enforce privileged, baseline or restricted policy levels and supports warn and audit modes for staged adoption. ويُستخدم هذا المرجع لتأطير القسم «حالات الفشل والإشارات وطريقة التشخيص» من دون أن يحل محل الاختبار المحلي. [S5]

نشر تدريجي وخطة رجوع

التنفيذ المتين يفصل بين ما يقترحه النموذج وما يسمح به التطبيق وما يتحقق منه.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c61 من SBOM ويعامل SPDX كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على attestation إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ Docker بإحداث الأثر المقصود حول BuildKit. إذا فشل تحقق Docker يعيد rollback الإعداد المرتبط بـ BuildKit ثم يشغل docker-sbom-ar-c61 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من SBOM. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى SPDX وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود attestation و BuildKit؛ فما لا يثبته السيناريو docker-sbom-ar-c61 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c62 من SPDX ويعامل attestation كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على Docker إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ BuildKit بإحداث الأثر المقصود حول SBOM. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل SPDX نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار attestation تتضمن fixture ‏docker-sbom-ar-c62 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى Docker. بعد ذلك يراقب التشغيل الانتقال بين Docker و BuildKit، بينما يتحقق الأمن من أن SBOM لا يحصل على صلاحية ضمنية أو بيانات زائدة.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c63 من attestation ويعامل Docker كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على BuildKit إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SBOM بإحداث الأثر المقصود حول SPDX. إذا فشل تحقق SBOM يعيد rollback الإعداد المرتبط بـ SPDX ثم يشغل docker-sbom-ar-c63 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من attestation. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى Docker وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود BuildKit و SPDX؛ فما لا يثبته السيناريو docker-sbom-ar-c63 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c64 من Docker ويعامل BuildKit كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SBOM إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SPDX بإحداث الأثر المقصود حول attestation. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل Docker نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار BuildKit تتضمن fixture ‏docker-sbom-ar-c64 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى SBOM. بعد ذلك يراقب التشغيل الانتقال بين SBOM و SPDX، بينما يتحقق الأمن من أن attestation لا يحصل على صلاحية ضمنية أو بيانات زائدة.

حالة تقنية لـ Docker ضمن Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث
لقطة سياقية لقسم «نشر تدريجي وخطة رجوع»: حالة محلية منتجة فعليا للتحقق docker-sbom-ar.
نقطة دليل: توضح Kubernetes أن Kubernetes policy objects include NetworkPolicies for traffic controls and admission mechanisms for validating or mutating API requests. ويُستخدم هذا المرجع لتأطير القسم «نشر تدريجي وخطة رجوع» من دون أن يحل محل الاختبار المحلي. [S6]

معايير قرار الإنتاج

نقطة البداية ليست ميزة جديدة، بل حد قرار يمكن ملاحظته وتدقيقه.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c71 من SPDX ويعامل attestation كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على Docker إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ BuildKit بإحداث الأثر المقصود حول SBOM. بعد ذلك يراقب التشغيل الانتقال بين Docker و BuildKit، بينما يتحقق الأمن من أن SBOM لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق BuildKit يعيد rollback الإعداد المرتبط بـ SBOM ثم يشغل docker-sbom-ar-c71 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من SPDX. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى attestation وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c72 من attestation ويعامل Docker كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على BuildKit إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SBOM بإحداث الأثر المقصود حول SPDX. وتبقى الخلاصة محكومة بحدود BuildKit و SPDX؛ فما لا يثبته السيناريو docker-sbom-ar-c72 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل attestation نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار Docker تتضمن fixture ‏docker-sbom-ar-c72 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى BuildKit.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c73 من Docker ويعامل BuildKit كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SBOM إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SPDX بإحداث الأثر المقصود حول attestation. بعد ذلك يراقب التشغيل الانتقال بين SBOM و SPDX، بينما يتحقق الأمن من أن attestation لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق SPDX يعيد rollback الإعداد المرتبط بـ attestation ثم يشغل docker-sbom-ar-c73 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من Docker. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى BuildKit وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c74 من BuildKit ويعامل SBOM كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SPDX إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ attestation بإحداث الأثر المقصود حول Docker. وتبقى الخلاصة محكومة بحدود SPDX و Docker؛ فما لا يثبته السيناريو docker-sbom-ar-c74 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل BuildKit نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار SBOM تتضمن fixture ‏docker-sbom-ar-c74 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى SPDX.

نقطة دليل: توضح Mozilla أن CSP can reduce script-injection risk, and Trusted Types can constrain dangerous DOM injection sinks to typed values created by approved policies. ويُستخدم هذا المرجع لتأطير القسم «معايير قرار الإنتاج» من دون أن يحل محل الاختبار المحلي. [S7]

ضوابط تستمر بعد الإطلاق

التصميم القابل للتشغيل يوضح من يقرر، وما الدليل المتاح، وما الذي يمكن الرجوع عنه.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c81 من attestation ويعامل Docker كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على BuildKit إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SBOM بإحداث الأثر المقصود حول SPDX. لاختبار Docker تتضمن fixture ‏docker-sbom-ar-c81 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى BuildKit. بعد ذلك يراقب التشغيل الانتقال بين BuildKit و SBOM، بينما يتحقق الأمن من أن SPDX لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق SBOM يعيد rollback الإعداد المرتبط بـ SPDX ثم يشغل docker-sbom-ar-c81 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من attestation.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c82 من Docker ويعامل BuildKit كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SBOM إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SPDX بإحداث الأثر المقصود حول attestation. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى BuildKit وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود SBOM و attestation؛ فما لا يثبته السيناريو docker-sbom-ar-c82 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل Docker نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c83 من BuildKit ويعامل SBOM كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SPDX إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ attestation بإحداث الأثر المقصود حول Docker. لاختبار SBOM تتضمن fixture ‏docker-sbom-ar-c83 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى SPDX. بعد ذلك يراقب التشغيل الانتقال بين SPDX و attestation، بينما يتحقق الأمن من أن Docker لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق attestation يعيد rollback الإعداد المرتبط بـ Docker ثم يشغل docker-sbom-ar-c83 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من BuildKit.

في «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» يبدأ السيناريو docker-sbom-ar-c84 من SBOM ويعامل SPDX كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على attestation إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ Docker بإحداث الأثر المقصود حول BuildKit. هذه الدقة تجعل «Docker SBOM: دليل مكونات الصورة الذي تحتاجه وقت الحادث» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى SPDX وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود attestation و BuildKit؛ فما لا يثبته السيناريو docker-sbom-ar-c84 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: توليد SBOM بتنسيق SPDX أثناء build وفحصه وربطه بإصدار الصورة كي يصبح قابلا للاستخدام عند ظهور ثغرة. وهي تجعل SBOM نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.

نقطة دليل: توضح Mozilla أن The trusted-types CSP directive allowlists policy names and became broadly available across current browsers in 2026. ويُستخدم هذا المرجع لتأطير القسم «ضوابط تستمر بعد الإطلاق» من دون أن يحل محل الاختبار المحلي. [S8]

قائمة تحقق تشغيلية

  • الضابط المتعلق بـ Docker يملك مدخلا وقاعدة وسلوك رفض ودليلا.
  • الضابط المتعلق بـ BuildKit يملك مدخلا وقاعدة وسلوك رفض ودليلا.
  • الضابط المتعلق بـ SBOM يملك مدخلا وقاعدة وسلوك رفض ودليلا.
  • الضابط المتعلق بـ SPDX يملك مدخلا وقاعدة وسلوك رفض ودليلا.
  • الضابط المتعلق بـ attestation يملك مدخلا وقاعدة وسلوك رفض ودليلا.

المصادر ونقاط التحكم

  1. [S1] SBOM attestations - Docker Docs — Docker can generate SPDX SBOM attestations during BuildKit builds and provides local inspection workflows. source
  2. [S2] SLSA Build Track Basics — SLSA build levels progress from no guarantees to provenance, hosted signed builds and hardened build platforms. source
  3. [S3] Build attestations - Docker Docs — Docker BuildKit can attach SBOM and provenance attestations so consumers can inspect image contents and build origin. source
  4. [S4] Application Security Checklist - Kubernetes — Kubernetes application guidance covers secure workload practices from the developer perspective. source
  5. [S5] Enforce Pod Security Standards by Configuring the Built-in Admission Controller — Pod Security Admission can enforce privileged, baseline or restricted policy levels and supports warn and audit modes for staged adoption. source
  6. [S6] Policies - Kubernetes — Kubernetes policy objects include NetworkPolicies for traffic controls and admission mechanisms for validating or mutating API requests. source
  7. [S7] Content Security Policy (CSP) - MDN — CSP can reduce script-injection risk, and Trusted Types can constrain dangerous DOM injection sinks to typed values created by approved policies. source
  8. [S8] Content-Security-Policy: trusted-types directive — The trusted-types CSP directive allowlists policy names and became broadly available across current browsers in 2026. source
  9. [S9] Content-Security-Policy: require-trusted-types-for directive — require-trusted-types-for can make DOM XSS sinks reject raw strings and accept trusted typed values instead. source
  10. [S10] RFC 9700: Best Current Practice for OAuth 2.0 Security — RFC 9700 updates OAuth 2.0 security practice, including exact redirect URI matching and avoiding open redirectors and insecure legacy patterns. source
Publicité