Assicurati che ogni deployment di produzione sia tracciabile e verificabile fino a uno specifico commit sorgente. Quale pratica dovresti adottare?

La corrispondenza tra il tag dell'immagine del container e l'hash del commit del codice sorgente è la pratica più efficace per garantire la tracciabilità e la verificabilità di ogni deployment di produzione. Questo crea un collegamento immutabile tra il codice sorgente specifico e l'artefatto deployato, permettendo di risalire esattamente alla versione del codice utilizzata in produzione. Richiedere agli sviluppatori di taggare i commit con data/ora o messaggi generici non garantisce un collegamento diretto e univoco al deployment. L'uso del tag 'latest' è problematico perché è mutevole e non identifica una versione specifica e immutabile del codice, rendendo impossibile la tracciabilità.