Créer un premier module

Un module OC2-Edge est une capacité signée, isolée et déclarée par manifeste. Le parcours standard produit huit objets vérifiables : gabarit, verdict de lint, artefact, verdict de test, clé, signature, archive, module actif.

Créer le gabarit

oc2 new hello-track --lang rust --isolation wasi
cd hello-track

La commande crée un manifeste module.yaml, un squelette de service gRPC, un test et une configuration de build. Le gabarit doit être valide avant modification.

Valider le manifeste

oc2 lint

Sortie attendue : zéro erreur. Le manifeste doit déclarer l’identité, les capacités demandées et les interfaces consommées ou exposées.

Construire l’artefact

oc2 build --target wasm32-wasi

Sortie attendue : un artefact unique et son empreinte. Pour WASI, le même artefact peut servir un nœud x86-64 et un nœud ARM64.

Tester dans la sandbox cible

oc2 test

Sortie attendue : les tests passent dans une sandbox équivalente à celle du nœud. Un accès non déclaré doit échouer en test local.

Générer une clé d’éditeur

oc2 keygen --algo ml-dsa-65 --out ./keys/editeur

La clé privée reste chez l’éditeur. Le magasin de modules de l’instance n’approuve que la clé publique ou une chaîne qui y mène.

Signer et empaqueter

oc2 sign --key ./keys/editeur --artifact out/hello-track.wasm
oc2 pack --out hello-track-0.1.0.ocm

La signature couvre l’artefact et le manifeste. L’archive .ocm est l’unité de distribution.

Installer sur nœud émulé

oc2 emu up --profile node-x86_64
oc2 install hello-track-0.1.0.ocm --target emu

Sortie attendue : le nœud vérifie la signature, contrôle les capacités demandées et inscrit le module au catalogue local.

Choisir le niveau d’isolation

Niveau	Usage recommandé	Contrainte
WASI	Connecteur, fusion, traitement de données.	Accès système limité aux capacités déclarées.
microVM	Module avec dépendances système existantes.	Empreinte mémoire supérieure.
Natif	Module du socle ou module audité qui touche au matériel.	Revue de sécurité complète requise.

Changer de niveau d’isolation constitue une nouvelle version du module. Le magasin de modules doit l’approuver comme telle.