評価に関する FAQ
セキュリティ質問票でよく聞かれる質問への簡潔な回答
データとホスティング
データの保存場所と、誰がアクセスできるか:
| 質問 | 回答 |
|---|---|
| データはどこに保存されますか? | お客様が運用する MySQL または MariaDB のデータベースと、インスタンスの永続フォルダーです。AnsibleForms はセルフホスト型で、背後にクラウドサービスはありません。 |
| 開発者にデータを送信しますか? | いいえ。テレメトリ、使用状況の報告、更新チェックはありません。 |
| 何に接続しますか? | 管理者が設定したシステムだけです。 外部への接続 を参照してください。 |
| AI を使用したり、モデルプロバイダーにデータを送信したりしますか? | チャットアシスタント を有効にした場合だけです (既定では無効)。その場合、フォームの定義と入力中の値を、設定したプロバイダーに送信します。 |
| インターネットに接続せずに実行できますか? | はい。アプリケーションにインターネット接続は不要です。playbook には、そのタスクがアクセスする先への接続が必要です。 |
暗号化
何が、どの鍵で暗号化されるか:
| 質問 | 回答 |
|---|---|
| 通信中のデータは暗号化されますか? | アプリケーションまたはリバースプロキシが提供する HTTPS と、アプリケーションとランタイム環境の間の wss:// で暗号化されます。 |
| 保存データは暗号化されますか? | 保存されるシークレットはすべて、アプリケーションによって AES-256 で暗号化されます。ジョブとその出力はそのまま保存されるため、データベース自体の保存時暗号化を使用してください。 保存されたシークレット を参照してください。 |
| 鍵は誰が保持しますか? | お客様です。 ENCRYPTION_SECRET はお客様が設定し、バックアップには含まれず、ローテーションできます。 |
| シークレットを自社の Vault に置いたままにできますか? | はい。 HashiCorp Vault と CyberArk は、ジョブが必要とするときに読み取られます。 |
アクセスと説明責任
誰がサインインでき、何ができ、何が記録されるか:
| 質問 | 回答 |
|---|---|
| シングルサインオンに対応していますか? | はい。LDAP / Active Directory、OpenID Connect、Entra ID に対応しています。 認証 を参照してください。 |
| 多要素認証に対応していますか? | シングルサインオンを通じて対応しており、ID プロバイダーの MFA が適用されます。ローカルアカウントには独自の MFA はありません。 |
| 権限はどのように管理されますか? | グループに対応付けたロールで管理し、サーバーがリクエストごとにチェックします。 権限 を参照してください。 |
| 監査ログはありますか? | はい。すべての変更と拒否されたすべての試行が記録され、既定で 365 日間保持され、syslog に転送できます。 監査証跡 を参照してください。 |
| 既定のパスワードはありますか? | 最初の管理者アカウントには公開されている既定のパスワードがあり、初回サインイン時に変更する必要があります。 管理者アカウント を参照してください。 |
脆弱性と更新
問題の発見、修正、告知の方法:
| 質問 | 回答 |
|---|---|
| 脆弱性は見つかっていますか? | はい。公開されたものはすべて、修正されたバージョンとともに セキュリティアドバイザリ に記載されています。 |
| 脆弱性はどのように報告すればよいですか? | GitHub を通じて非公開で報告してください。 脆弱性の報告 を参照してください。 |
| コードはどのようにチェックされていますか? | すべてのプルリクエストでの CodeQL による静的解析と依存関係のレビュー、自動テスト、Dependabot による更新です。 セキュアな開発 を参照してください。 |
| どのバージョンにセキュリティ修正が提供されますか? | 7.x と 6.5.x です。 サポート対象のバージョン を参照してください。 |
| 新しいアドバイザリはどうすれば知ることができますか? | GitHub でリポジトリのセキュリティアラートをウォッチしてください。 新しいアドバイザリの通知を受け取る を参照してください。 |
| ペネトレーションテストは実施されていますか? | 第三者によるペネトレーションテストの報告書は公開されていません。コードは公開されているため、自社のチームやテスターが評価でき、発見事項は上記の方法で報告できます。 |
イメージとサプライチェーン
イメージの入手元と、その確認方法:
| 質問 | 回答 |
|---|---|
| イメージはどこで公開されていますか? | GitHub Container Registry の ghcr.io/ansibleforms/ansibleforms で、公開されている GitHub Actions のワークフローでビルドされています。 リリースとイメージ を参照してください。 |
| コンテナーは root で実行されますか? | いいえ。特権を持たない node ユーザーとして実行されます。 |
| イメージは署名されていますか? | まだです。レビューしたイメージを確実に実行するには、ダイジェスト ( @sha256:... ) を指定してプルしてください。 |
| SBOM はありますか? | イメージとともに公開されているものはまだありません。Trivy や Syft などのスキャナーで、イメージから作成できます。 |
| イメージの脆弱性スキャンは行われていますか? | リリースパイプラインでは行われていません。ベースイメージはダイジェストで固定され、Dependabot によって最新に保たれています。独自のポリシーを適用するには、自社のレジストリでイメージをスキャンしてください。 |
| ライセンスは何ですか? | GPL-3.0 で、オープンソース、無保証です。 |