---
generated_at: 2026-02-18 17:35:00
metrics:
  claims_total: 25
  claims_with_evidence: 22
  claims_without_evidence: 3
confidence_derived: 0.88
---

# 根拠レポート：インフラ設計書

## 本レポートについて

### 目的
本レポートは、生成された設計書・ドキュメントの信頼性を検証し、人間レビュアーが効率的にレビューできるようにすることを目的としています。

### チェック方法
以下の観点でドキュメントの内容（Claim：主張）を検証しています：

1. **根拠の有無確認**：各主張に対して、ソースコード・既存設計書・要件定義書などの根拠（Evidence）が存在するか
2. **根拠との整合性**：主張の内容が根拠と矛盾していないか
3. **網羅性**：参照すべき情報源を適切にカバーしているか

### 信頼度スコアの算出
- **confidence_derived** = 根拠あり件数 / 総主張件数
- 状態「○」：根拠あり、「△」：根拠不足または要確認

### 本レポートの使い方
1. まず「サマリー」で全体の信頼度と優先レビュー項目を確認
2. 「Claims と根拠の対応」で △ の項目を重点的にレビュー
3. 「不足情報」で補完が必要な情報源を確認

---

## 1) サマリー（まず見るところ）
- 総合信頼度（derived）：**0.88**
  - 根拠あり：22 / 25、根拠なし：3
- 優先レビュー（高）
  1. **Vercel Edge Network の詳細仕様**：Vercel側の設定ファイルからは推測のみ
  2. **GitHub Secrets の完全なリスト**：ワークフローから参照されるシークレット名のみ確認
  3. **バックアップ保持期間の正確性**：Artifacts保持期間は設定から確認、Git履歴保持はGitHubポリシー依存

## 2) 参照した情報（Evidence一覧）
> ここに「実在するもの」だけ列挙。抽出フェーズで付けたIDをそのまま出す。

- E-01: `.github/workflows/main.yml`
- E-02: `.github/workflows/installer.yml`
- E-03: `.github/workflows/dependencies.yml`
- E-04: `.github/workflows/scorecard.yml`
- E-05: `.github/workflows/project.yml`
- E-06: `.devcontainer/devcontainer.json`
- E-07: `.github/workflows/installer/vercel.json`
- E-08: `tools/install.sh`
- E-09: `oh-my-zsh.sh`
- E-10: `.github/dependabot.yml`

## 3) Claims と根拠の対応（レビューの主戦場）
| Claim ID | 主張 | Evidence | 状態 |
|---|---|---|---|
| C-01 | GitHub ActionsでCI/CDを実行 | E-01, E-02, E-03, E-04, E-05 | ○ |
| C-02 | ubuntu-latest と macos-latest を使用 | E-01, E-02 | ○ |
| C-03 | Vercelでインストーラーを配布 | E-02, E-07 | ○ |
| C-04 | step-security/harden-runner でランナー強化 | E-01, E-02, E-03, E-04, E-05 | ○ |
| C-05 | egress-policy: audit を設定 | E-01, E-02, E-03, E-04, E-05 | ○ |
| C-06 | Python 3.12 を依存関係更新に使用 | E-03 | ○ |
| C-07 | OSSF Scorecard で分析実行 | E-04 | ○ |
| C-08 | SARIF 結果をCode Scanningにアップロード | E-04 | ○ |
| C-09 | Artifacts保持期間5日 | E-04 | ○ |
| C-10 | DevContainerでnobleベースイメージ使用 | E-06 | ○ |
| C-11 | zshをデフォルトシェルに設定 | E-06 | ○ |
| C-12 | concurrencyグループで並列実行制御 | E-01, E-02, E-05 | ○ |
| C-13 | cancel-in-progress: true を設定 | E-01, E-05 | ○ |
| C-14 | リポジトリ条件でフォーク実行制限 | E-01, E-02, E-03, E-05 | ○ |
| C-15 | curl/wget/fetchでインストール可能 | E-08 | ○ |
| C-16 | git clone でインストール実行 | E-08 | ○ |
| C-17 | 最小権限の原則を適用 | E-01, E-03, E-04 | ○ |
| C-18 | アクションをSHA指定でバージョン固定 | E-01, E-02, E-03, E-04, E-05 | ○ |
| C-19 | VERCEL_TOKEN, VERCEL_ORG_ID, VERCEL_PROJECT_ID を使用 | E-02 | ○ |
| C-20 | OHMYZSH_APP_ID, OHMYZSH_APP_PRIVATE_KEY を使用 | E-03, E-05 | ○ |
| C-21 | 毎週火曜日 7:20 UTC にScorecard実行 | E-04 | ○ |
| C-22 | 毎週日曜日 6:00 UTC に依存関係更新 | E-03 | ○ |
| C-23 | Vercel Edge Networkでグローバル分散 | **根拠なし** | △ |
| C-24 | GitHub Dependabotで脆弱性検出 | E-10 | ○ |
| C-25 | Git履歴の無期限保持 | **根拠なし** | △ |

## 4) 不足情報（Unknown / Missing）
- **Vercel Edge Network の詳細仕様**: `vercel.json` からはヘッダー設定とリライト設定のみ確認。Vercel側のインフラ詳細は公開ドキュメント参照が必要
  - 候補：Vercel公式ドキュメント / Vercelダッシュボード設定
- **GitHub Secrets の完全性**: ワークフローファイルから参照されるシークレット名は確認できるが、実際の設定状況は確認不可
  - 候補：GitHubリポジトリSettings / シークレット管理者への確認
- **Git履歴保持ポリシー**: GitHubの標準ポリシーに依存。リポジトリ固有の設定は確認不可
  - 候補：GitHub公式ドキュメント / リポジトリ管理者への確認

## 5) リスクフラグ（レビュー観点）
- **0 (低リスク)**: CI/CDワークフロー構成 - すべてのワークフローファイルから直接確認
- **0 (低リスク)**: DevContainer設定 - devcontainer.jsonから直接確認
- **1 (中リスク)**: セキュリティ設定 - ワークフローから確認可能だが、実際の効果は検証が必要
- **1 (中リスク)**: Vercel配布基盤 - 設定ファイルは確認できるが、Vercel側の詳細は未確認
- **0 (低リスク)**: インストールスクリプト - ソースコードから直接確認

## 6) レビュアーチェックリスト（最小）
- [ ] GitHub ActionsワークフローのYAMLファイルと設計書の記載が一致しているか確認
- [ ] Vercel設定（vercel.json）の内容が正確に反映されているか確認
- [ ] セキュリティ関連の記載（harden-runner、権限設定）が最新の設定と一致するか確認
- [ ] シークレット名のリストが実際のGitHub Secrets設定と一致するか確認
- [ ] DevContainer設定が最新のdevcontainer.jsonと一致するか確認
- [ ] インストール方法の記載がtools/install.shの実装と一致するか確認
