Регламент обновления пакетов в основных репозиториях ROSA Linux
Материал из Rosalab Wiki
Это снимок страницы. Он включает старые, но не удалённые версии шаблонов и изображений.
Содержание
Применимость
Настоящий регламент описывает порядок добавления и исправления пакетов в репозиториях ROSA при взаимодействии пяти команд:
- Команды репортеров, сообщающих об ошибках и уязвимостях в пакетной базе и выступающих с предложениями обновления пакетов
- Команды сборщиков (мейнтейнеров), собирающих пакеты с новыми версиями программ и исправлениями ошибок и уязвимостей
- Команды контроля качества (QA), контролирующих работоспособность исправленных пакетов и всей системы в целом после обновления
- Команда контроля уязвимостей (SecTeam), отслеживающих текущие уязвимости дистрибутива и корректность исправления этих уязвимостей сборщиками
- Публикатора, задачи которого - доступность исправленных пакетов на зеркалах дистрибутива, контроль целостности/замкнутости репозиториев после публикации, а также качества сборки самих пакетов (соответствие политикам сборки, принятым в дистрибутиве и т.п.)
Данный порядок относится к работе с основными репозиториями ROSA Linux, за исключением репозитория сообщества ROSA Fresh (contrib) где контроль качества не производится.
Общий порядок обновления
- Общий порядок адресации каждого запроса на обновление -
Репортеры (в т.ч. из SecTeam) -> Cборщики -> QA & SecTeam -> Публикатор
- Допустимо совмещение ролей "репортер", "сборщик" и "публикатор", но недопустима ситуация, когда человек проверяет результаты своей сборки и публикует их.
- Вся работа по обновлению пакетов происходит с помощью специально созданных в багзилле ROSA Linux багов - запросов на обновление
Репортеры
- Репортеры заводят в багзилле баги, обосновывающие необходимость исправления или добавления, с описанием ошибки, кодом уязвимости или необходимым им новым функционалом.
- Альтернативным путем создания запроса на изменение пакетов в репозиториях для репортеров является пул-реквест в системе сборки ABF.
- Репортеры являются заказчиками исправления, т.е. контролируют весь его процесс до попадания в репозитории.
Сборщики
- Сборщики получают информацию о багах от репортеров через почтовую рассылку багзиллы
- Пакеты обновляются на основании заведенного в багзилле бага, называемого далее "запросом на обновление"
- В комментариях к запросу на обновление указываются ссылки на контейнеры с собранным для указанной платформы обновлением пакета и advisory - написанное по-английски обоснование обновления (например выход новой версии, исправление уязвимости)
- После того, как закончено формирование запроса на обновление, он отправляется на контроль качества команде QA установкой флажка qa_verified в знак вопроса "?"
Мейнтейнеры
Мейнтейнер (сопровождающий) - совмещает в себе функции сборщика, репортера и ответственного за функциональность пакета. Мейнтейнер отслеживает его изменения, исправляет уязвимости и ошибки.
- Если какой-то пакет имеет мейнтейнера, это должно быть прописано на abf
- В пакет с указанным мейнтейнером имеет право вносить правки только сам мейнтейнер, остальные могут только предлагать правки, например с помощью пул-реквестов
- Пул-реквесты или другие предложения на обновление пакета должны рассматриваться мейнтейнером в течение недели, а критические - в течение 48 часов
- 0-day уязвимости в своем пакете мейнтейнер должен исправлять и передавать на тестирование в течение 48 часов, критические - в течение недели
- Баги в пакете, имеющем мейнтейнера, должны им рассматриваться (исправляться, отменяться или хотя бы комментироваться) в течение двух недель после назначения.
- В случае, если мейнтейнер не выдерживает указанные сроки по реагированию на предложения правок, исправления уязвимостей и ошибок, они могут быть исправлены другим сборщиком по процедуре, аналогичной для пакета, не имеющего мейнтейнера
Команда контроля качества (QA)
- Команда QA получает запросы с установленным сборщиками флажком qa_verified
- Команда QA проводит тестирование пакетов, используя Регламент тестирования
- Если обновление содержит исправления уязвимостей, устанавливается флажок sectime_verified в "?" для параллельной проверки корректности исправления уязвимостей командой SecTeam
- После проверки отсутствия регрессий функциональности у собранного пакета команда QA ставит флаг QA_verified "+" при успешной проверке и "-" при неуспешной.
- При отсутствии регрессий и, при необходимости, после получения одобрения запроса от команды SecTeam (флажок sectime_verified меняется на "+") запрос отправляется на публикацию установкой флажка publishied в "?"
- QA каждую пятницу публикует бюллетень с перечнем исправленных багов за истекшую неделю
Команда поиска и устранения уязвимостей (SecTeam)
- Подробности поиска уязвимостей описаны в документе Регламент по устранению уязвимостей
- Список уязвимостей ведется на странице вики Список уязвимостей командой SecTeam.
- Для каждой уязвимости из списка команда SecTeam выступает репортером и заводит баг
- После того, как сборщики соберут исправленные пакеты и QA установить флажок secteam_verified в "?", SecTeam проверяет исправление уязвимости
- Дополнительно могут проверяться и запросы с исправлениями уязвимостей, сделанные и не участниками команды SecTeam
- При успешной проверке secteam_verified устанавливается в "+"
Публикатор
- Публикатор получает запрос на обновление после его одобрения командами QA и (если он содержит исправления уязвимостей) SecTeam
- Публикатор обеспечивает появление пакетов обновлений в репозиториях и непротиворечивость репозиториев после публикации.
- После успешной публикации флажок "publishied" устанавливается в "+" и запрос на обновление считается полностью закрытым.