Как версионировать артефакты и обеспечивать их целостность?

Артефакт (образ, бандл, пакет) собирается один раз и продвигается по средам без пересборки — это гарантирует, что в проде работает ровно то, что проверяли. Идентификатором служит неизменяемая величина: дайджест содержимого или тег с хешем коммита, а не подвижный latest. Для контроля цепочки поставки добавляют SBOM (список зависимостей артефакта), подпись образа (cosign) и проверку подписи перед запуском, а также фиксацию версий зависимостей через lock-файлы. Дополнительно артефакт снабжают метаданными: коммит, ветка, номер сборки, время — чтобы по работающему сервису можно было мгновенно найти исходники.