セキュリティモデル

観点	Tenax の対処
保存データ	すべてのデータオブジェクトを、あなたが管理する受信者に対してクライアント側で age 暗号化します。バケットとそのプロバイダーが平文を見ることはありません。
鍵	バックアップのアイデンティティ (秘密鍵) を読むのはリストアラー Job だけです。オフラインコピーを保管してください。これがないと何も復元できません。別の カタログ 鍵により、コンソールはインベントリとマスク済みプレビューを読めますが、ダンプや WAL は読めません (ADR 0009)。
データベースアクセス	データベースごとに最小権限のユーザーが 1 つ (管理者アカウントは使いません): ダンプのためにデータを読み取り、ストリームのためにレプリケーションを行います (データベースユーザー)。
Kubernetes アクセス	Tenax 自身のリソースのクラスター全体の読み取り。ターゲットの Namespace では tenax-* Secret の読み取りのみ。Pod は非 root で、読み取り専用のルートファイルシステムを持ち、capability はありません。
コンソールと API	Cloudflare Access の JWT 検証、4 つのロール (viewer、operator、restorer、restorer-admin)、オプションの org/project スコープ、すべての書き込みとすべてのクエリの監査ログ。リクエストは OpenAPI ドキュメント に対して検証されます。
サンドボックス	専用の Namespace、NetworkPolicy、生成された認証情報、TTL。有効にした場合にのみ、Access の背後の Cloudflare Tunnel 経由で公開されます。
ログ内のシークレット	決してログに出しません。ロガーはパスワード、トークン、アイデンティティ、認可ヘッダーを伏せ字にします。

未解決の項目を含む完全なレビューは セキュリティレビュー にあります。