构建与制品管理58 条

OCI 制品与 ORAS

OCI registry 不只能存镜像：Helm Chart、SBOM、签名、安装包都可以作为 OCI 制品存放，复用同一套仓库与权限。

标准	OCI Image Spec 1.1 起支持通用制品（artifact manifest）
工具	oras、helm push（OCI 模式）、cosign attach
收益	制品与镜像同库管理：权限、复制、保留策略统一

ORAS 推送

oras push registry.example.com/tools/sbom:v1.8.0 \
  --artifact-type application/spdx+json sbom.spdx.json

把 SBOM 与签名作为镜像的伴生制品推送，审计时一个仓库即可取证。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌