스토리지 릴리스 보안

​

릴리스 게이트

1. 릴리스 매니페스트에서 모든 이미지를 다이제스트로 고정합니다.
2. 각 이미지와 소스 번들에 대해 CycloneDX 또는 SPDX SBOM을 생성합니다.
3. 릴리스 아이덴티티로 이미지에 서명하고 SBOM을 증명합니다.
4. OS 및 언어 패키지를 포함하여 정확한 게시/미러된 다이제스트를 스캔합니다.
5. 스토리지 SDK, TLS 라이브러리, CA 번들, 전이 의존성을 검토합니다.
6. 해당 릴리스에서 지원으로 나열된 모든 제공자에 대해 제공자 계약, 무결성, 마이그레이션, 백업/복원, 롤백 테스트를 실행합니다.
7. 소유자, 악용 가능성, 보완 제어, 만료, 승인과 함께 예외를 기록합니다. 전체 패키지 패밀리를 억제하지 마세요.

​

소비자 검증

cosign verify \
  --certificate-identity-regexp '<approved-release-identity>' \
  --certificate-oidc-issuer '<approved-issuer>' \
  registry.example.com/casebender/webapp@sha256:<digest>

cosign verify-attestation \
  --type cyclonedx \
  --certificate-identity-regexp '<approved-release-identity>' \
  --certificate-oidc-issuer '<approved-issuer>' \
  registry.example.com/casebender/webapp@sha256:<digest>

trivy image --severity HIGH,CRITICAL \
  registry.example.com/casebender/webapp@sha256:<digest>

​

스토리지 전용 SBOM 검토

• 레거시 소스/복구 아티팩트에만 있는 과거 MinIO 구성 요소; 프로덕션 런타임에는 네이티브 minio 패키지가 없어야 합니다;
• S3용 @aws-sdk/client-s3; presigner 의존성이 활성화된 서명된 URL 동작을 의미해서는 안 됩니다;
• GCS용 @google-cloud/storage 및 인증 라이브러리;
• Azure용 @azure/storage-blob 및 @azure/identity;
• Node.js/OpenSSL과 이미지 CA 번들;
• 백업, 마이그레이션, 검증에 사용되는 CLI/도구 이미지.

​

릴리스 증거 기록

• 소스 리비전, 불변 이미지 다이제스트, SBOM 해시, 서명, 검증 출력;
• 스캐너 데이터베이스/도구 버전과 승인된 취약점 예외;
• 제공자/제품 버전, 엔드포인트 TLS 프로토콜/암호/발급자, CA 해시;
• 정제한 제공자 계약과 SHA-256 무결성 결과;
• 마이그레이션 복사/검사 로그와 롤백 결과;
• 백업 일관성 지점, 복원 테스트, 측정된 RPO/RTO;
• OpenShift 버전, SCC 검토, 렌더된 매니페스트, CNI/CSI 버전, 임의의 UID /tmp//data 쓰기 테스트.

​

보안 대응