https://this-is-fine.io/tags/sbom/Recent content in Sbom on FuchsbauHugode-DEFri, 09 Oct 2026 16:00:00 +0200https://this-is-fine.io/posts/20261009-radicle-ci-broker-supply-chain/Fri, 09 Oct 2026 16:00:00 +0200https://this-is-fine.io/posts/20261009-radicle-ci-broker-supply-chain/<p>Der erste grüne Build ist ein gutes Gefühl. Für eine eigene CI ist er trotzdem erst die halbe Strecke. Danach kommen die Fragen, die bei einer gehosteten Forge oft hinter einem fertigen Produkt verschwinden: Wer darf Code ausführen? Welches Image gehört zu welchem Commit? Wie prüfe ich beide Architekturen? Und was genau bedeutet „Release“, wenn Git-Tag, Registry-Artefakt und Radicle-Veröffentlichung drei verschiedene Dinge sind?</p> <p>Mein <a href="https://this-is-fine.io/posts/20260617-radicle-ci-broker-journey/">erster CI-Broker-Beitrag</a> war ein Reisebericht durch die Probleme beim Aufbau. Diese Fortsetzung ist die geordnete Variante für Menschen, die <strong>Radicle bereits verwenden und ihre eigene CI betreiben möchten</strong>. Der Broker ist inzwischen bei v1.5.0 angekommen: mit gemischtem Image-/Chart-Publishing, signierten Artefakten, Werkzeugen für SBOMs und Schwachstellenscans und einer besseren Behandlung von Release-Ereignissen.</p> <p>Das Ziel ist nicht, mein komplettes Lab zu kopieren. Es ist ein nachvollziehbarer Weg vom replizierten Commit bis zu einem Artefakt, dessen Herkunft und Prüfergebnisse ein anderer Mensch kontrollieren kann.</p>