Elysia Tools
Mobile Navigation
Workflow Playbook
Einen Testschlüssel erzeugen, AGEX-Bundle-Metadaten prüfen, die Signatur mit einem vertrauenswürdigen öffentlichen Schlüssel verifizieren und die Übergabe bei fehlenden Belegen stoppen.
Themen
Dieser Ablauf passt, wenn ein AGEX-Bundle vor der Übergabe an einen anderen Operator, eine Umgebung oder einen Partner eine fokussierte Signaturprüfung bestehen muss. Er richtet sich an Release-Prüfer, Sicherheitsteams und den Betrieb, die nachvollziehbar klären wollen, welche Angaben das Bundle zeigt, welcher Schlüssel signiert hat und ob die Belege ausreichen.
Geprüft wird ein einzelnes Artefakt; eine absolute Zusage für die gesamte Software-Lieferkette ist damit nicht verbunden. Halten Sie Bundle und Metadatenreferenz bereit, legen Sie zulässige AGEX-Version und sichtbare Felder fest und suchen Sie den Release-Nachweis mit dem Fingerabdruck des vertrauenswürdigen öffentlichen Schlüssels.
Verwenden Sie agex-keypair-generator ausschließlich für kurzlebiges Testmaterial. Schützen Sie den privaten Schlüssel sofort und halten Sie ihn aus Bundle, Logs und Übergabenotiz heraus. Der erzeugte öffentliche Schlüssel kann ein kontrolliertes Fixture unterstützen, ist aber nicht automatisch der Vertrauensanker der Produktion.
Mit agex-bundle-inspector erfassen Sie Version, Namen, Größe, MIME-Typ, Signierinformationen und Signaturpräsenz, ohne den Inhalt zu entschlüsseln. Vergleichen Sie alles mit der Referenz. Auch ein gültiges kryptografisches Ergebnis verlangt eine Erklärung, wenn sichtbare Metadaten nicht passen.
Führen Sie agex-signature-verifier mit dem öffentlichen Schlüssel aus, dessen Herkunft durch einen unabhängigen Release-Nachweis oder einen kontrollierten Kanal bestätigt wurde. Bewerten Sie Prüfergebnis und Fingerabdruck zusammen. Bei fehlender, ungültiger, abweichender oder unbekannter Signatur stoppen Sie die Übergabe, sichern die Belege und verlangen Klärung oder ein neues Bundle.
Archivieren Sie beide Berichte, die Vertrauensquelle und die Entscheidung. Für Erstellung und vollständige Übergabe nutzen Sie den vorhandenen Workflow agex-secure-file-sharing; diese Prüfung transportiert keine Dateien, bestätigt keine Identität und garantiert keine absolute Sicherheit der Lieferkette.
Workflow-Leitfaden
Erstellen Sie für das kontrollierte Fixture ein Ed25519-Schlüsselpaar, versehen Sie es mit dem Testkontext, notieren Sie den öffentlichen Fingerabdruck und sichern Sie den privaten Teil vor der weiteren Verarbeitung.
Prüfen Sie das AGEX-Bundle ohne Entschlüsselung. Vergleichen Sie Version, sichtbare Dateifelder, Signiererkennung und Signaturpräsenz mit dem erwarteten Release-Nachweis und bewahren Sie den Bericht auf.
Geben Sie Bundle und den aus der unabhängigen Vertrauensquelle bezogenen öffentlichen Schlüssel an den Verifizierer. Prüfen Sie Ergebnis und Fingerabdruck gemeinsam; der Testschlüssel darf nur für ein absichtlich damit signiertes Fixture verwendet werden.
Archivieren Sie Inspektions- und Signaturbericht zusammen mit Referenz und Vertrauensquelle. Übergeben Sie nur nach erfolgreicher Prüfung und geklärten Abweichungen; sonst isolieren Sie das Bundle und dokumentieren die Sperre.
Nutzen Sie den Generator für einen begrenzten Testpfad und notieren Sie den Fingerabdruck des öffentlichen Schlüssels. Für eine echte Übergabe muss der Prüfschlüssel aus dem vertrauenswürdigen Release-Prozess stammen; ein neu erzeugter Schlüssel belegt keine Produktionsherkunft.
Vereinbaren Sie vor der Signaturprüfung AGEX-Version, sichtbaren Dateinamen, Größe, MIME-Typ, Signiererkennung und erwartete Signaturpräsenz. Abweichungen werden erklärt und nicht stillschweigend akzeptiert.
Fehlende, ungültige, zu einem anderen Schlüssel passende oder unbekannte Signaturen sperren die Übergabe. Bewahren Sie Bundle und Berichte auf, prüfen Sie Bytes und Vertrauensquelle außerhalb des Tools und fordern Sie ein korrigiertes Artefakt an.