安全审查¶
OpenStack 社区进行安全审查的目标是识别 OpenStack 项目在设计或实现中的弱点。虽然这种情况很少发生，但这些弱点可能会对 OpenStack 部署的安全性产生灾难性的影响，因此应该努力最大限度地减少已发布项目中出现这些缺陷的可能性。在安全审查过程中，应了解并记录以下内容：
系统所有入口点
存在风险的资产
数据存储位置
数据在系统组件之间传输的方式
数据格式和转换
项目的外部依赖项
一致的发现和/或缺陷集合
项目如何与外部依赖项交互
对 OpenStack 可交付仓库进行安全审查的常见原因是为了协助漏洞管理团队 (VMT) 进行监督。OpenStack VMT 列出了 受监督的仓库，VMT 管理这些仓库中的漏洞报告接收和披露。虽然不是严格要求，但某种形式的安全审查、审计或威胁分析有助于大家更轻松地确定系统更容易出现漏洞的区域，并在这些漏洞成为用户问题之前解决它们。
OpenStack VMT 建议对项目的推荐部署进行架构审查是一种适当形式的安全审查，它平衡了审查的需要与 OpenStack 规模项目的资源需求。安全架构审查也常被称为威胁分析、安全分析或威胁建模。在 OpenStack 安全审查的上下文中，这些术语与架构安全审查同义，后者可以识别项目或参考架构设计中的缺陷，并可能导致进一步的调查工作以验证实现的部分内容。
预计安全审查将是新项目的常规途径，以及在第三方未执行安全审查或无法共享其结果的情况下使用。需要安全审查的项目信息将在即将到来的安全审查流程中提供。
在已经由第三方执行安全审查的情况下，或者项目更喜欢使用第三方执行其审查的情况下，关于如何获取该第三方审查的输出并提交以进行验证的信息将在即将到来的第三方安全审查流程中提供。
无论哪种情况，文档工件的要求是相似的——项目必须提供最佳实践部署的架构图。漏洞扫描和静态分析扫描不足以作为第三方审查的证据，尽管强烈建议将其作为所有团队开发周期的一部分。
