1.3. RHBA-2026:5684 - Red Hat Quay 3.17.0 リリース

以前は、Splunk に送信された監査ログは Splunk のユーザーインターフェイスでのみ閲覧可能でした。Splunk をログバックエンドとして設定すると、Red Hat Quay UI の 組織、リポジトリー、スーパーユーザー ページから監査ログを表示およびクエリーできるようになります。

詳細は、Splunk のアクションログストレージの設定を 参照してください。

Red Hat Quay コンテナーイメージは、ベースレイヤーとして Red Hat Universal Base Image (UBI)minimal 9.7 を使用するようになり、ビルド時の依存関係とキャッシュは最終イメージから削除されました。この変更により、イメージサイズが約 30% 削減され、ダウンロードおよびデプロイメント時間が短縮され、攻撃対象領域が狭まります。このイメージは以前のバージョンとそのまま置き換えることができ、3.17.2 へのアップグレードに際して設定変更は必要ありません。

Red Hat Quay 3.17 では、セキュリティー強化機能が強化され、すべてのデプロイメントタイプでデフォルトで有効になっています。最小特権の原則に従うため、Quay コンテナーイメージは、DROP ALL ストラテジーを使用して最小限の Linux 機能セットで動作し、NET_BIND_SERVICE などの必要不可欠な権限のみを追加します。

さらに、今回のリリースでは、スタンドアロンの Podman デプロイメント向けに強化された seccomp プロファイルが提供され、そのセキュリティー体制が OpenShift Container Platform の RuntimeDefault 保護機能と整合するようになっています。これらの変更により、ユーザーによる手動設定を必要とせずに、コンテナーの攻撃対象領域が大幅に縮小されます。

Red Hat Quay は、参照されるアーキテクチャー (x86_64 や arm64 など) のサブセットのみがローカルに保存され、元のマニフェストリストのダイジェストが保持される、スパースなマニフェストリストを受け入れて提供するようになりました。これは、ダイジェストベースのイメージ参照が有効である必要がある、オフラインの OpenShift Container Platform 環境において役立ちます。また、マルチアーキテクチャーイメージをミラーリングするものの、必要なアーキテクチャーは一部のみである、高可用性およびスタンドアロンの Red Hat Quay デプロイメントにもメリットがあります。

アーキテクチャーフィルターを使用したリポジトリーミラーリングにより、x86_64 など、必要なアーキテクチャーのみをミラーリングできるため、マルチアーキテクチャーイメージの場合、ストレージと転送量を 50% 以上削減できます。グローバル設定オプションにより、マニフェストの疎な受け入れが可能になり、UI には各タグに存在するアーキテクチャーが表示されます。

詳細は、Red Hat Quay を使用したイメージのミラーリングを 参照してください。

Red Hat Quay は、組織および組織所有のリポジトリーに対して、変更不可能なタグをサポートするようになりました。この機能により、ユーザーは特定のイメージタグが上書き、削除、または自動削除されないように保護することができ、ビルドおよびデプロイメントのための安定した参照を確保できます。不変性は、タグごとに手動で適用することも、正規表現ベースのポリシーによって自動化することも、quay.immutable=true マニフェストラベルを使用してビルドプロセス中にトリガーすることもできます。詳細は、不変タグの概要を 参照してください。

Red Hat Quay 3.17 では、スタンドアロンデプロイメントと Operator ベースのインストール両方において、ARM アーキテクチャーがサポートされるようになりました。これには、すべてのコアコンポーネントと Quay Operator のネイティブ ARM ビルドが含まれており、ARM64 インフラストラクチャー上でのエンドツーエンドの管理を可能にします。