لماذا QuenchWorks
QuenchWorks كتالوج مجاني ومستقلّ من صور الحاويات المُحصّنة ومخططات Helm. كل صورة مُجمَّعة من المصدر على Wolfi، ومفحوصة حتى صفر ثغرات قابلة للإصلاح، وموقّعة، ومثبّتة بالبصمة الرقمية. وكل مخطط مُعاد كتابته من الصفر على مكتبة مشتركة وينشر تلك الصور بالضبط.
المشكلة
بنى كثير من الفرق على كتالوج Bitnami المجاني: صور ومخططات bitnami/* لـ Redis و PostgreSQL و Kafka وعشرات غيرها. ذلك الكتالوج المجاني يجري إيقافه تدريجيًا، وصارت البُنى المُحصّنة والمُرقّعة دائمًا خلف اشتراك مدفوع. إن كنت تعتمد على تلك الصور، تبقى أمامك ثلاثة خيارات: أن تدفع، أو أن تثبّت على وسم غير مُصان يتوقّف عن تلقّي إصلاحات الثغرات، أو أن تعيد بناء التحصين بنفسك لكل مخزن بيانات تشغّله.
QuenchWorks هي الخيار الرابع. إنها مصدر مُصان ومجاني للنوع نفسه من الأداة: صورة مُحصّنة إلى جانب مخطط ينشرها، للتطبيقات التي تشغّلها الفرق فعلًا في الإنتاج.
ما الذي تحصل عليه
كل صورة في الكتالوج هي:
- مُجمَّعة من المصدر على Wolfi، فتكون مجموعة الحزم أدنى ما يمكن وحديثة، لا موروثة من صورة أساس كبيرة.
- مفحوصة حتى صفر ثغرات قابلة للإصلاح بأداة Trivy في كل بناء. يجري الفحص على البصمة الرقمية التي تُشحَن.
- موقّعة بـ cosign باستخدام GitHub OIDC، فلا يوجد مفتاح لتوزيعه ويمكنك إثبات أيُّ مسار عمل بناها.
- مشحونة مع SBOM ومنشأ بناء SLSA كإثباتات، فيمكنك جرد المحتويات وتتبّع البناء.
- بدون صلاحيات الجذر على نظام ملفات جذر للقراءة فقط مع إسقاط جميع صلاحيات Linux، فتعمل تحت سياسة PodSecurity مقيّدة دون ضبط إضافي.
- متعدّدة المعماريات، مبنيّة لكلٍّ من amd64 و arm64.
تثبّت المخططات الصورة التي تنشرها بالبصمة الرقمية، فيُشغّل أي تثبيت جديد دائمًا البناء الحالي المُثبَت بإثبات.
لمن هي موجّهة
- الفرق المنتقلة من كتالوج Bitnami المجاني والراغبة في بديل جاهز للاستبدال ومُصان.
- كل من يحتاج إلى اجتياز بوابة ثغرات أو تدقيق سلسلة توريد دون تحصين كل اعتمادية يدويًا.
- فرق المنصّات التي تريد أدوات موقّعة ومثبّتة بالبصمة الرقمية يمكنها التحقّق منها في التكامل المستمر قبل النشر.
ما هي ليست عليه
QuenchWorks مشروع غرفة نظيفة. وهي غير تابعة لـ Bitnami أو VMware أو Broadcom، والمخططات ليست منسوخة عن مخططاتهم. ستختلف القيم والتخطيطات، فالانتقال نقلة حقيقية لا مجرّد إعادة تسمية. يشرح دليل الانتقال ذلك خطوة بخطوة.
الخطوات التالية
- البدء: ثبّت مخططًا واسحب صورة.
- الانتقال من Bitnami: طابِق قيمك الحالية.
- التحقّق من توقيع: أثبِت أداةً قبل أن تثق بها.