Confluence 10.0 リリース ノート
2025 年 8 月 5 日
Confluence 10.0 がリリースされました。ハイライト
フィードバックをお寄せください
投票の 306 票以上が製品に反映されています。
Spring と Jakarta のアップグレード
対象: 管理者
高度なセキュリティ基準を維持し、依存関係をサポートして最新の状態に保つために、Spring が 6.x ラインに、Jakarta が EE Platform 10 に、Apache Tomcat が 10.1 にそれぞれアップデートされる予定です。また、Spring と Jakarta に依存する他のライブラリも同様にアップデートされます。
Apache Tomcat のアップグレードでは、Jakarta Servlet 仕様に沿った変更も導入されています。カスタム サーバー設定またはコネクターを利用している場合は、アップグレードする前に次の点を確認してください。
- カスタム server.xml 設定、特に "javax.servlet" API への参照を確認します。Tomcat 10.1 は "jakarta.servlet" 名前空間に移行されています。
- Tomcat 10.1 でコネクター (HTTP、AJP など) が引き続きサポートされ、適切に設されていることを確認します。
- セキュリティまたは TLS/SSL 設定が Tomcat 10.1 の既定の暗号化プロトコルと互換性があることを確認します。
Tomcat 10.1 で導入された変更の詳細については、Apache Tomcat の公式ドキュメントを参照してください。
AUI 10 での非推奨コンポーネントの削除
対象: 管理者
デザインとアクセシビリティの問題があるいくつかの古い AUI 10 コンポーネント (ドロップダウン 1 とツールバー 1) が削除され、jQuery 3 のサポートを強化してセキュリティの問題に積極的に対処できるように内部の依存関係が更新されます。
LESS のサポート終了
対象: 管理者
セキュリティとパフォーマンスを強化するために、実行時に LESS を CSS に変換する機能が削除されます。それに伴い、コンパイル時に CSS へトランスパイルする必要があります。
信頼できるアプリの削除
対象: 管理者
信頼できるアプリは、Confluence 10.0 以降では利用できなくなります。製品への安全でないエントリ ポイントの数を減らすために、信頼できるアプリが削除されます。アトラシアン製品間のこの情報交換方法は、業界のベスト プラクティスに沿った安全性の高いソリューション (OAuth 2.0 プロトコルなど) に置き換えられています。
オリジナル テーマのサポート終了
対象: 管理者
新しいライト テーマとダーク テーマによりアクセシビリティとユーザビリティの向上がもたらされたため、すべての製品から元のテーマが削除されます。
グローバル シリアル化フィルター
対象: 管理者
Java の逆シリアル化、Velocity、Struts、XStream のセントラル ブロックリストに依存するグローバル シリアル化フィルターを実装します。このフィルターは、公開されているガジェット チェーンを通じてリモート コード実行 (RCE) に対して脆弱であると認識されている特定のクラスやパターンをブロックするように設計されています。
XStream の使用に関していくつかの重要な変更が実装されています。
- XStream には、シリアル化または逆シリアル化が禁止されている既知の脆弱なクラスの定義済みブロックリストが追加されました。
- カスタム クラス タイプをシリアル化または逆シリアル化する必要がある場合、アプリのモジュール記述子にこれらのタイプを定義する必要があります。次に例を示します。
<xstream-security key="xstream-allowlist" name="XStream allow-list set"> <type>java.util.Map</type> </xstream-security> - 正規表現によってタイプを許可するオプションは削除されました。
アプリのインストール時におけるアプリ署名の既定での有効化
対象: 管理者
このリリースでは、アプリ署名は既定で有効化されます。この機能は、アプリのセキュリティを強化するものであり、徐々に Data Center 製品全体にロールアウトされています。詳細については、こちらのコミュニティ投稿をご確認ください。
アプリ署名は新規アプリのインストールのみに影響し、すでにインストール済みのアプリはそのままです。
必要な手順は、アプリを Marketplace からインストールするか、カスタム アプリを構築するかによって異なります。
Marketplace からアプリをインストールする
この操作を行うには、次の手順を実行します。
- 「UPM アプリ署名チェックを設定する」の説明に従って、トラストストアのフォルダのロケーションを設定します。
- アトラシアンの証明書バンドルをダウンロードしてインストールします。詳細については、「アトラシアンの証明書バンドルを更新する」を参照してください。
- 以上で完了です。Marketplace から安全にアプリをインストールできます。
カスタム アプリのインストール
カスタム アプリのビルドを使用する場合は、次の手順でご自身のアプリに署名してそれらを保護できます。
- 「UPM アプリ署名チェックを設定する」の説明に従って、トラストストアのフォルダのロケーションを設定します。
- 「OpenSSL を使ってアプリ署名と検証証明書を生成する」の説明に従って、アプリ署名と検証証明書を入手します。
- 「Updating Atlassian Certificate Bundles」の説明に従って、新しい証明書をトラスト ストアに配置します。
- 署名したアプリをインストールします。
アプリ署名機能を使用せずに、ファイル システム経由でアプリをインストールすることもできます。
問題が発生した場合は、「アプリ署名のトラブルシューティング」をご確認ください。
コンテンツ セキュリティ ポリシーによるセキュリティ強化
対象: 管理者
Confluence 10.0 にコンテンツ セキュリティ ポリシー (CSP) が実装されます。この新機能は、ページで実行できるコンテンツを Web ブラウザに指示することでセキュリティを強化し、Cross-site Scripting (XSS) やその他のコード インジェクション攻撃のリスクを大幅に軽減するものです。CSP を通じて、ドキュメントを読み込むことができるリソースを制御することで、データの流出を防ぎ、Confluence の全体的な安定性と信頼性を向上させることができます。
Confluence 10.0 では、script-src CSP ヘッダーがレポート専用モードで有効化されます。つまり、システムでは違反が記録されますが、リソースのブロックは行われないため、ユーザーのエクスペリエンスに影響を与えることなく、潜在的なセキュリティ問題を監視できます。CSP の完全な適用は Confluence 11 で導入される予定です。
基本認証を既定で無効化
対象: 管理者
基本認証による認証が既定で無効化されます。これは、わずかに残るユース ケースをサポートする代替手段を開発し、成熟させつつ、基本認証を完全に廃止するための第一歩です。この変更は新規インストール (新規顧客) にのみ影響し、既存の Confluence セットアップやアップグレードされた Confluence セットアップには影響しません。
Synchrony プロセスの監視と観察可能性
対象: 管理者
Confluence の Synchrony コンポーネントの強化版監視機能がリリースされます。このアップデートにより、Synchrony プロセスをより効果的に監視できるようになり、システムの信頼性と迅速な問題解決が保証されます。また、JMX または statsD を介してコア Java 仮想マシン (JVM) および Synchrony 固有のメトリックをエクスポートできるようになり、既存の監視システムと統合しやすくなります。
コア JVM メトリックには、ガベージ コレクション、メモリ使用量、CPU 使用率などのさまざまなパフォーマンス指標が含まれます。これらのメトリックから、JVM 環境の全体的な健全性とパフォーマンスに関するインサイトが得られます。
Synchrony 固有のメトリックは、Synchrony プロセス自体のパフォーマンスに重点を置いています。メッセージ処理時間、ユーザー アクティビティ、エラー数などが含まれており、共同編集エクスペリエンスの監視と最適化に役立ちます。
メトリックの詳細は「Synchrony プロセスの監視と観察」をご参照ください。
監視を設定するには、システム プロパティまたは環境変数を使用します。Synchrony が Confluence によって管理されている場合は、これらのプロパティを synchrony-args.properties ファイルに追加します。詳細な設定手順については、「Synchrony の設定」を参照してください。
REST エンドポイントにスコープを追加して、OAuth 2.0 2LO を使用する
対象: 管理者
REST エンドポイントのセキュリティと制御を強化するために、@ScopesAllowed を導入しました。
@ScopesAllowed アノテーションをエンドポイントに追加し、OAuth 2.0 クライアント認証情報トークン (2LO) を使用してアクセスできるようにします。
たとえば、このアノテーションでは、このエンドポイントへのアクセスを提供する前に、アクセス トークンに WRITE スコープが必要です。
@POST
@ScopesAllowed(requiredScope = "WRITE")
public void createEntity(...) {}サポートされているスコープは次で文書化されています。
- Confluence: 受信リンクの OAuth 2.0 スコープ
- Jira: 受信リンクの OAuth 2.0 スコープ
- Bitbucket: 受信リンクの OAuth 2.0 スコープ
- Bamboo: 受信リンクの OAuth 2.0 スコープ
- Crowd: 受信リンクの設定
マクロに表示するラベルの数を制御します
対象: 管理者 エンド ユーザー
"表示するラベル数" フィールドによって、ラベル一覧、最近使用されたラベル、人気のあるラベルの各マクロに表示されるラベルの数を設定できます。
マクロで表示するラベルを検索する場合、Confluence は既定で最大 1,000,000 ラベルを処理します。管理者は、構成ファイルにシステム プロパティを追加することで、この上限を変更できます。上限を上げると、ご利用のサイトにラベルが多く、検索してもすべての結果が返ってこない場合に役立ちますが、パフォーマンスが低下する可能性があります。
詳細な手順と適用可能なマクロについては「ラベルのマクロでページを表示する」をご参照ください。
解決済みの課題
バグ修正や解決済みの提案の詳細については、Jira の公式課題トラッカーを参照してください。
10.0.3 で解決済みの課題
2025 年 9 月 03 日にリリース
10.0.2 で解決済みの課題
2025 年 8 月 07 日にリリース済み
10.0.1 で解決済みの課題
2025 年 8 月 05 日にリリース済み
アップグレードの準備
アップグレードする前に、Confluence 10.0 アップグレード ノートでこのリリースの重要な変更点を確認してください。その後、通常のアップグレード手順に従ってサイトをアップグレードします。
最後のアップグレードから時間が経過している場合は、「アップグレード マトリクス」で Confluence 9.2 LTS 以降の重要な変更に関する概要をご参照ください。
ソフトウェア メンテナンスの更新が完了していることをご確認ください。いますぐ更新
このリリースでサポートされている最小バージョンは 7.12 LTS です。下位のバージョンからアップグレードする場合は、まず 7.19 LTS 以上への暫定的なアップグレードを行ってから、10.0 にアップグレードしてください。詳細は「Confluence をアップグレードする」をご参照ください。
謝辞
すばらしいお客様である皆様に...
いつも Confluence の改善にご協力いただきありがとうございます。インタビューに参加してくださった皆様、機能リクエストの作成、課題への投票、およびバグの報告 を行ってくださった皆様に感謝を申し上げます!