Add end-to-end acceptance for the MLX-90 collection-to-container evidence chain

[litroc]

Ziel

Eine repositoryübergreifende ModuLix-Acceptance implementieren, die den Security Release erst dann als ausgeliefert anerkennt, wenn der veröffentlichte Execution-Environment-Container die freigegebene Collection und vollständige Artifact Evidence enthält.

Referenzen

• MLX-90 ADR
• ModuLix REL-20 Umsetzung
• Fixture: container-ee-wunder-ansible-ubi9#488 mit lit.supplementary v3.1.2

Scope

• Vollständige Evidence Chain laden und validieren: Security-ID → Collection Source-SHA/Version/Digest → Consumer PR/Merge-SHA → Container Release/Tag/Digests → Signatur/SBOM/Provenance → Acceptance.
• Alle erwarteten Public-, Certified- und Bootstrap-Varianten prüfen.
• Container per immutable Digest pullen und installierte Collection-Version sowie Acceptance-Profil ausführen.
• Ablauf/Widerruf, fehlende Artefakte, Digestabweichung, falsche Collection, ungültige Signatur und neue blockierende Findings negativ testen.
• Maschinenlesbares Ergebnis delivered|blocked|revoked mit unveränderlichen Referenzen erzeugen.
• Evidence-Aufbewahrung und nachvollziehbare Verlinkung in Releases/PRs sicherstellen.

Akzeptanzkriterien

• Positive Fixture beweist die komplette Kette bis zum veröffentlichten Container-Digest.
• Kein reiner PR-/Workflow-Erfolg kann den Status delivered erzeugen.
• Jede definierte Evidence-Unterbrechung stoppt fail-closed.
• Installierte Collection-Version und fixspezifische Eigenschaft werden im finalen Image geprüft.
• Signatur, SBOM und Provenance werden gegen den veröffentlichten Digest verifiziert.
• Ergebnisse sind maschinenlesbar, auditierbar und mit Source-/Release-Links versehen.
• Testmatrix dokumentiert Retry, Timeout, Widerruf und Rollback.

Nicht im Scope

Allgemeine Deploymentfreigaben oder fachliche Einstufung eines Fixes als Security Release.

Delivery tracking

• Jira: LI-135
• Architecture: MLX-90
• Implementation specification: REL-20

This English-language GitHub issue is the source of truth for repository-specific technical implementation. LI-135 may only be completed after this issue is closed and its PR, workflow, test, and release evidence are linked back in Jira.

Verbindliche Zero-Touch Definition of Done

• Final-Acceptance, Zugriff auf geschützte Environments, Veröffentlichung der unveränderlichen Acceptance-Evidence und Callback laufen im erfolgreichen Happy Path ohne menschliche Deployment-Freigabe oder sonstige menschliche Aktion.
• Credentials werden erst nach erfüllten technischen Gates verfügbar; Zero-Touch darf keinen Environment-, Ruleset-, Branch-Protection- oder Admin-Bypass einführen.
• Menschen greifen ausschließlich nach einem fail-closed Stopp als Ausnahmebehandlung ein.
• Ein neuer produktionsgleicher End-to-End-Lauf belegt Final-Acceptance und Callback ohne menschliche Aktion durch dauerhafte Evidence.
• Dieses Issue bleibt offen und LI-135 bleibt unvollständig, bis dieser Nachweis vorliegt.

[litroc]

MLX-90 Final-Acceptance live status — 2026-08-08T22:02Z

Historical immutable acceptance evidence exists, but it is not a valid replacement for the required fresh humanActions=0 Security end-to-end run.

Current live state:

• Zero-touch is restricted to exact App-authenticated, evidence-bound Security releases.
• Ordinary develop → main promotions remain human approval gated.
• Container Security-promotion governance is live after the exact 2 add, 0 change, 0 destroy apply: https://github.com/lightning-it/github-management-lit/actions/runs/31279952847
• The Producer currently stops fail-closed on a real Chrome security finding: https://github.com/lightning-it/ansible-collection-supplementary/actions/runs/31276363339

Updated references:

• ADR MLX-90 v11: https://wiki.cloud.l-it.io/wiki/spaces/LIT/pages/2894659587
• REL-20 v10: https://wiki.cloud.l-it.io/wiki/spaces/LIT/pages/2894790704
• App/environment audit: https://github.com/lightning-it/github-management-lit/issues/267#issuecomment-5228394587

This issue remains open until a real fixed Security candidate reaches immutable Final-Acceptance, callback, cleanup, and backmerge with durable evidence and zero human happy-path actions. No private key, token, or secret value is included.