Artefakte

Native Registry für Container und Pakete.

Die native Registry speichert Container-Images (OCI) und npm-, Maven-, NuGet-, RubyGems- und PyPI-Pakete, mit Sichtbarkeit pro Repository (privat/intern/öffentlich).

• Tags/Versionen mit Architektur, Digest, Größe, Schwachstellen-Scan (Trivy) und cosign-Signatur.
• Tag-Inspektor — Multi-Arch-Manifest, Layers, CVEs und Push-/Overwrite-/Delete-Historie.
• Aufbewahrungs-/Bereinigungsrichtlinien — N Versionen behalten, nach Alter ablaufen lassen, untagged entfernen, Push bei kritischem CVE blockieren.

Wem ein Paket gehört#

• Ein Paketname gehört dem Workspace, der ihn zuerst veröffentlicht hat. Namen sind plattformweit gemeinsam, wie auf npmjs oder nuget.org; das Veröffentlichen unter dem Namen eines anderen Workspaces wird mit 403 abgelehnt, bevor irgendetwas gespeichert wird.
• Eine veröffentlichte Version ändert sich nie. Ein erneuter Push wird abgelehnt (NuGet und RubyGems antworten mit 409, PyPI mit 409 „File already exists", npm mit 403, wie ihre öffentlichen Registries); veröffentlichen Sie eine neue Version. dotnet nuget push --skip-duplicate und twine upload --skip-existing werten diese Antwort als „schon vorhanden". npm deprecate funktioniert weiterhin.
• NuGet-IDs unterscheiden keine Groß- und Kleinschreibung: eQuantic.Auth und equantic.auth sind dasselbe Paket.
• Das Löschen eines Pakets löscht seine Dateien. Der Name ist danach frei, und wer ihn als Nächstes veröffentlicht, beginnt bei null: Keine frühere Version wird gelistet oder ist erreichbar.
• Ein privates Paket antwortet nur den Tokens des eigenen Workspaces. Eine Anfrage ohne Anmeldedaten erhält 401 mit einer WWW-Authenticate-Challenge, und erst die lässt NuGet, Maven und pip die konfigurierten Anmeldedaten senden. Das Token eines anderen Workspaces erhält 404, dieselbe Antwort wie ein Paket, das nirgends existiert, damit ein Restore, der auch nuget.org oder npmjs abfragt, weitermacht.