メインコンテンツまでスキップ

リリースチェックリスト

各本番リリースで本チェックリストを完了し、公開 Issue、PR、ワークフロー実行、GitHub Ruleset API 応答、リリース成果物へのリンクを保存する。チェック自体は証跡ではなく、各項目から実証資料を参照できる必要がある。

ガバナンスと要員​

  • MAINTAINERS.md にバックアップメンテナが記載され、オンボーディングを完了している。
  • タグ作成者およびデプロイ担当者とは異なる、独立したリリース承認者を指定した。
  • 有効な main／リリースタグ Ruleset を出力してレビューし、bypass actor、force push、タグ削除、未レビューのマージを禁止した。
  • リリース Issue が収録する全 PR を参照し、各 PR が Traceability、DCO、独立レビュー、CODEOWNERS レビューを通過した。

検証とセキュリティ​

  • 正確なリリースコミットで CI / Required と Security / Required が連続3回成功した。試行番号付きの実行リンクを記録し、その間にソース変更がない。
  • make lint、make test、make docs-check、PostgreSQL マイグレーション再適用、リリースイメージ dry-run、脆弱性検査、ライセンス検査、SBOM が同じコミットで成功した。
  • 未解決の Critical／High 脆弱性と監査所見を解消した。または、方針に従う期限付き例外を独立承認した。
  • リリース日に依存関係のライフサイクルの公式サポート／EOL 情報を再確認した。

運用証跡​

  • 匿名化した復元訓練記録に、バックアップ識別子、復元元／先 PostgreSQL 版、リリースコミット、実施者、開始／終了時刻、RTO 結果、マイグレーション台帳、ヘルスチェック、代表的な暗号化データ読取、merlon-audit verify 結果がある。秘密情報と顧客データは含めない。
  • 匿名化した脆弱性対応訓練記録に、テスト Advisory、検知時刻、責任者、重大度判断、影響分析、封じ込め、修正／例外判断、連絡、所要時間、フォローアップがある。セキュリティ責任者と独立オブザーバーが承認した。
  • 本リリースのマイグレーションロールバック、DB 互換性、暗号鍵復旧、エンジン設定ダイジェスト、アラートキュー、監視準備をレビューした。

バージョンと来歴​

  • リリース版は厳密な SemVer で、main から到達可能な保護済み注釈付きタグを使用する。タグメッセージはリリース Issue と承認を参照する。
  • リリースワークフローが不変のダイジェストでコンテナを公開した。可変の latest タグをリリース識別子として扱わない。
  • GitHub Release に release-manifest.json、SHA256SUMS、CycloneDX イメージ SBOM が添付され、タグ、コミット、イメージ、ダイジェストを特定できる。
  • 公開イメージダイジェストの artifact provenance attestation を GitHub で検証し、検証出力をリリース Issue にリンクした。
  • デプロイ記録が同じイメージダイジェストを示し、デプロイ後のヘルス、監査、代表的ワークフローの確認を含む。

現在、活動中メンテナは1名である。上記「ガバナンスと要員」の4統制を実証するまで、リリースワークフローが技術的に実行可能でも本番リリースは停止したままとする。