Garanta que cada implantação de produção seja rastreável e auditável para um commit de origem específico. Que prática você deve adotar?

Para garantir rastreabilidade e auditoria de implantações de produção para um commit de origem específico, a prática mais eficaz é fazer com que a tag da imagem de contêiner corresponda ao hash do commit do código-fonte. O hash do commit é um identificador único e imutável do estado exato do código-fonte em um determinado momento. Ao usar esse hash como tag da imagem, você cria um link direto e inquestionável entre a imagem implantada e o código que a gerou. Marcar commits com data/hora ou mensagens que linkam para a implantação são métodos menos robustos, pois são mais suscetíveis a erros manuais e não garantem uma ligação exata e imutável ao código. Usar a tag 'latest' é contraproducente para rastreabilidade, pois essa tag é mutável e não aponta para uma versão específica do código.