ストレージリリースセキュリティ

​

リリースゲート

1. リリースマニフェストですべてのイメージをダイジェストでピン留めする。
2. 各イメージとソースバンドルに対してCycloneDXまたはSPDX SBOMを生成する。
3. リリースアイデンティティでイメージに署名し、SBOMを証明する。
4. 公開/ミラーされた正確なダイジェストをスキャンする。OSおよび言語パッケージを含む。
5. ストレージSDK、TLSライブラリ、CAバンドル、および推移的依存関係をレビューする。
6. そのリリースでサポート対象として記載されたすべてのプロバイダーに対して、プロバイダー契約、整合性、移行、バックアップ/リストア、およびロールバック テストを実行する。
7. 例外を、所有者、悪用可能性、補償制御、有効期限、 および承認とともに記録する。パッケージファミリー全体を抑制しない。

​

コンシューマー検証

cosign verify \
  --certificate-identity-regexp '<approved-release-identity>' \
  --certificate-oidc-issuer '<approved-issuer>' \
  registry.example.com/casebender/webapp@sha256:<digest>

cosign verify-attestation \
  --type cyclonedx \
  --certificate-identity-regexp '<approved-release-identity>' \
  --certificate-oidc-issuer '<approved-issuer>' \
  registry.example.com/casebender/webapp@sha256:<digest>

trivy image --severity HIGH,CRITICAL \
  registry.example.com/casebender/webapp@sha256:<digest>

​

ストレージ固有のSBOMレビュー

• 履歴のMinIOコンポーネントはレガシーソース/復旧成果物のみ。本番 ランタイムにネイティブの minio パッケージが含まれてはなりません
• S3向けの @aws-sdk/client-s3。presigner依存関係は、有効な 署名付きURL動作を意味してはなりません
• GCS向けの @google-cloud/storage および認証ライブラリ
• Azure向けの @azure/storage-blob および @azure/identity
• Node.js/OpenSSLおよびイメージCAバンドル
• バックアップ、移行、および検証に使用するCLI/ツールイメージ

​

リリースエビデンス記録

• ソースリビジョン、不変イメージダイジェスト、SBOMハッシュ、署名、および 検証出力
• スキャナーデータベース/ツールバージョンと承認済み脆弱性例外
• プロバイダー/製品バージョン、エンドポイントTLSプロトコル/暗号/発行者、およびCAハッシュ
• サニタイズしたプロバイダー契約およびSHA-256整合性結果
• 移行コピー/チェックログとロールバック結果
• バックアップ一貫性ポイント、リストアテスト、測定済みRPO/RTO
• OpenShiftバージョン、SCCレビュー、レンダー済みマニフェスト、CNI/CSIバージョン、および 任意UIDの /tmp//data 書き込みテスト

​

セキュリティ対応