Stellen Sie sicher, dass jede Produktionsbereitstellung zu einem bestimmten Quell-Commit nachverfolgbar und auditierbar ist. Welche Vorgehensweise sollten Sie anwenden?

Um die Nachverfolgbarkeit und Auditierbarkeit jeder Produktionsbereitstellung zu einem bestimmten Quell-Commit zu gewährleisten, ist es entscheidend, den Container-Image-Tag mit dem Source-Code-Commit-Hash abzugleichen. Dies schafft eine direkte, unveränderliche Verbindung zwischen dem bereitgestellten Artefakt (dem Container-Image) und dem genauen Quellcode, aus dem es erstellt wurde. Dadurch kann bei Problemen oder Audits präzise nachvollzogen werden, welche Codebasis in Produktion ist. Das bloße Hinzufügen von Datum und Uhrzeit zu Commits oder einer Commit-Nachricht, die auf die Bereitstellung verweist, bietet keine automatisierte, kryptografisch sichere Verbindung. Das Taggen von Commits mit 'latest' ist kontraproduktiv, da es die Nachverfolgbarkeit zu einer spezifischen Version verhindert und immer auf den neuesten Stand verweist, ohne die Historie zu bewahren.