上流 EOL への対応

上流のソフトウェアバージョンが EOL（end-of-life、保守終了）に達すると、そのバージョンには上流からの修正が以後提供されなくなります。 弊社も、原則としてそのバージョンへのパッチ提供を終了します。 パッチの土台になる上流の修正そのものが止まっている以上、弊社側だけで安全性を保ち続けることはできないためです。

EOL に達したソフトウェアは、時間とともに脆弱性を蓄積します。 新しい脆弱性は日々見つかり続けますが、EOL のバージョンにはそれを塞ぐ修正が上流から来ないため、公開された脆弱性がそのまま積み上がっていきます。 これは Takumi Images に限った話ではなく、EOL のソフトウェア一般に当てはまる性質です。

現状：上流 EOL は Takumi Images の EOL と等価

EOL に達したからといって、そのイメージ自体がカタログから即座に消えるわけではありません。 ただし、そのバージョンに対する新しいビルドは公開されなくなります。 そのため、pull すればイメージ自体は取得できても、その中身は EOL に達した時点のまま止まっており、以後の脆弱性には対応しません。 保守中のバージョンへ速やかに移行することを推奨します。

今後：上流 EOL 後の猶予期間の設置を予定

β期間の終了後は、上流の EOL 後も、しばらくのあいだ主パッケージ 以外 の依存関係にはパッチを続ける猶予期間（grace period）を設けることを計画しています。例えば、あるメインパッケージ A のためのコンテナイメージ内に、更新可能な依存パッケージ B がある場合、A が EOL に達していても一定期間 B のパッチを続けて提供する、というようにです。

本猶予期間は、ベータの現行提供には含まれていません。予めご了承ください。