STD-0005: Configuratie, packaging en deployment¶

Documentgegevens¶

Doel en reikwijdte¶

Deze standaard borgt reproduceerbare, herleidbare en controleerbare softwarelevering. Zij geldt voor door CIZ of leveranciers gebouwde applicatieartefacten, deploymentdefinities, configuratie en secrets. Legacy-installaties kunnen alleen via een geregistreerde uitzondering afwijken.

Normatieve bepalingen¶

• Een deploymentpackage MOET uitsluitend runtime-noodzakelijke bestanden en dependencies bevatten.
• Ieder artefact MOET een herleidbare versie en integriteitsbewijs hebben en MOET passend worden gescand.
• Hetzelfde geteste artefact MOET zonder herbouw door de omgevingen worden gepromoveerd.
• Niet-gevoelige configuratie MOET buiten het artefact staan, valideerbaar zijn en veilige defaults gebruiken.
• Secrets MOETEN via een centraal beheerde secretvoorziening worden geleverd en MOGEN NIET in code, images, configuratiebestanden of logs staan.
• Omgevingsvariabelen KAN als injectiemechanisme worden gebruikt, maar zijn geen zelfstandige secretvoorziening.
• Configuratie MOET doel, type, default, gevoeligheidsklasse en wijzigingseffect documenteren.
• Deployment- en migratiedefinities BEHOREN declaratief, menselijk leesbaar, gereviewd en versiebeheerd te zijn.
• Uitvoering MOET idempotent zijn of gedocumenteerd hervat- en herstelgedrag hebben.
• Iedere release MOET een geteste rollback- of roll-forwardstrategie en een herstelprocedure voor datawijzigingen hebben.
• Ontwikkel-, test-, acceptatie- en productieomgevingen MOETEN passend gescheiden zijn.

Rationale¶

Build-once/promote voorkomt dat verschillende code in verschillende omgevingen belandt. Externe configuratie en centraal secretbeheer beperken configuratiedrift en blootstelling. Declaratieve deployments verbeteren review, herstel en auditbaarheid.

Uitzonderingen en risicoacceptatie¶

Een afwijking MOET systeem, technische beperking, handmatige stappen, functiescheiding, herstelprocedure, eigenaar en einddatum bevatten. Een legacyproces MOET minimaal herleidbare artefacten, review en reproduceerbare instructies bieden.

Naleving en vereiste bewijslast¶

• artefactmanifest, hash of ondertekening en provenance;
• scanresultaten en dependency-/SBOM-informatie;
• bewijs dat hetzelfde artefact is gepromoveerd;
• configuratie- en secretsreview;
• deployment-, rollback-/roll-forward- en hersteltest;
• audittrail van goedkeuring en uitvoering.

Implementatieprofielen¶

Een platformprofiel MOET de gebruikte artefactrepository, signing/provenance, CI/CD, configuratie- en secretvoorzieningen vastleggen. Containerartefacten volgen aanvullend STD-0006; cryptografisch sleutelbeheer volgt STD-0003.

Externe mappings en bronnen¶

Wijzigingshistorie¶