> ## Documentation Index > Fetch the complete documentation index at: https://docs.casebender.com/llms.txt > Use this file to discover all available pages before exploring further. # ストレージリリースセキュリティ > リリース適格性確認、SBOMレビュー、および署名済みストレージエビデンス ストレージサポートは、CaseBenderリリース、プロバイダーアダプター、および デプロイメントプロファイルごとに適格性確認されます。プロバイダー名だけでは十分なエビデンスではありません。 ## リリースゲート オンプレミスまたはOpenShiftリリースを公開する前に: 1. リリースマニフェストですべてのイメージをダイジェストでピン留めする。 2. 各イメージとソースバンドルに対してCycloneDXまたはSPDX SBOMを生成する。 3. リリースアイデンティティでイメージに署名し、SBOMを証明する。 4. 公開/ミラーされた正確なダイジェストをスキャンする。OSおよび言語パッケージを含む。 5. ストレージSDK、TLSライブラリ、CAバンドル、および推移的依存関係をレビューする。 6. そのリリースでサポート対象として記載されたすべてのプロバイダーに対して、プロバイダー契約、整合性、移行、バックアップ/リストア、およびロールバック テストを実行する。 7. 例外を、所有者、悪用可能性、補償制御、有効期限、 および承認とともに記録する。パッケージファミリー全体を抑制しない。 リポジトリのリリースワークフローはすでにSBOMと署名エビデンスを生成し、 `deploy/verify-images.sh` はイメージ署名、CycloneDX証明、 および脆弱性ポリシーを検証します。エクスポート前だけでなく、ミラー後の各ダイジェストに対しても それらの制御を使用してください。 ## コンシューマー検証 リリースマニフェスト、チェックサム、Sigstoreアイデンティティ/発行者ポリシー、SBOM、 および証明を、別の信頼できるチャネル経由で入手します。その後: ```sh theme={null} cosign verify \ --certificate-identity-regexp '' \ --certificate-oidc-issuer '' \ registry.example.com/casebender/webapp@sha256: cosign verify-attestation \ --type cyclonedx \ --certificate-identity-regexp '' \ --certificate-oidc-issuer '' \ registry.example.com/casebender/webapp@sha256: trivy image --severity HIGH,CRITICAL \ registry.example.com/casebender/webapp@sha256: ``` これらのプレースホルダーではなく、署名済みリリースノートの正確なアイデンティティと発行者を使用します。 検証失敗はリリースブロッカーです。接続時は透明性 ログエビデンスを保全します。切断検証では、承認済みプロセス経由で署名済み バンドルと公開信頼資料を転送します。 ## ストレージ固有のSBOMレビュー SBOMに実行時に選択されたアダプターが含まれていることを確認し、次をレビューします。 * 履歴のMinIOコンポーネントはレガシーソース/復旧成果物のみ。本番 ランタイムにネイティブの `minio` パッケージが含まれてはなりません * S3向けの `@aws-sdk/client-s3`。presigner依存関係は、有効な 署名付きURL動作を意味してはなりません * GCS向けの `@google-cloud/storage` および認証ライブラリ * Azure向けの `@azure/storage-blob` および `@azure/identity` * Node.js/OpenSSLおよびイメージCAバンドル * バックアップ、移行、および検証に使用するCLI/ツールイメージ インストール済みだが未選択のアダプターも到達可能なパッケージリスクに寄与し、 SBOMおよび脆弱性レビューに残す必要があります。逆に、SBOMの存在は 製品/バージョンが認定済みであることを証明しません。Azureは正規 実行時ID `azure` の下で実装されていますが、現行マトリックスは `azure-blob` を リリースサポート対象として宣言していません。 ## リリースエビデンス記録 保持するもの: * ソースリビジョン、不変イメージダイジェスト、SBOMハッシュ、署名、および 検証出力 * スキャナーデータベース/ツールバージョンと承認済み脆弱性例外 * プロバイダー/製品バージョン、エンドポイントTLSプロトコル/暗号/発行者、およびCAハッシュ * サニタイズしたプロバイダー契約およびSHA-256整合性結果 * 移行コピー/チェックログとロールバック結果 * バックアップ一貫性ポイント、リストアテスト、測定済みRPO/RTO * OpenShiftバージョン、SCCレビュー、レンダー済みマニフェスト、CNI/CSIバージョン、および 任意UIDの `/tmp`/`/data` 書き込みテスト リリースエビデンスまたはサポート バンドルに、アクセスキー、シークレット値、事前署名付きURL、秘密鍵、データベース URL、顧客オブジェクト名、またはオブジェクト内容を含めてはなりません。 ## セキュリティ対応 ストレージSDKまたはプロバイダーの脆弱性が開示された場合、影響を受ける コードと設定が存在し到達可能かどうかを判断し、スコープ付き アドバイザリを公開し、影響を受けるイメージ/SBOMを更新し、契約およびリストアテストを再実行します。 プロバイダー廃止は、明示的な通知、 移行ガイダンス、およびサポート日付を伴う製品ライフサイクル判断です。現行のCaseBenderガイダンスは、 レガシーMinIOデプロイメントを外部の移行/ロールバックソースとしてのみ扱います。この ポリシーは、承認済み顧客変更計画を超える顧客サポート終了日を 創作しません。