> ## Documentation Index
> Fetch the complete documentation index at: https://docs.corgea.app/llms.txt
> Use this file to discover all available pages before exploring further.

# SLA管理

> セキュリティ問題に対するサービスレベルアグリーメント(SLA)の設定と管理

<Info>
  SLA管理では、**SAST（コード）**と**SCA（依存関係）**の検出結果について、緊急度別に修正期限とエスカレーション期限を定義できます。期限を超過すると、Corgeaが**メール**または**Webhook**（`sla.violation`イベント）でチームに通知します。
</Info>

## 対象者

未解決の検出結果に対する対応時間を明確に定める必要がある、プロジェクトマネージャー、セキュリティチーム、開発者を対象としています。

## 主な機能

<Check>
  * \*\*コード脆弱性（SAST）**と**依存関係の脆弱性（SCA）\*\*に個別のSLA
  * 緊急度（Critical、High、Medium、Low）別に設定できる修正期限とエスカレーション期限
  * 期限超過時の**メール**による概要通知（受信者は問題の種類と期限の段階に応じて異なります）
  * CorgeaのWebhook（`sla.violation`イベント）による**Webhook**通知。既存の連携Webhookを使用するか、SLAフォームから作成できます
  * 締め切り違反の日次自動チェック(`overdue` / `escalated`)
  * 問題画面と、コードおよび依存関係の検出結果を対象とする**Issue Aging**レポートでSLA違反状況を表示
</Check>

## アクセス方法

<Note>
  **Policies → SLA Management**に移動します。対応プランと`Issue SLA`権限が必要です。
</Note>

## セットアップ手順

<Steps>
  <Step title="SLA Managementを開く">
    **Policies**に移動し、**SLA Management**を開きます。

    <Frame>
      <img src="https://mintcdn.com/corgea/mpJUc1GyXtnVYEyT/images/sla_management_nav.png?fit=max&auto=format&n=mpJUc1GyXtnVYEyT&q=85&s=97d0df34a7913973b46cea1e2e2b06e1" style={{ borderRadius: '0.5rem' }} width="1686" height="860" data-path="images/sla_management_nav.png" />
    </Frame>
  </Step>

  <Step title="問題SLAを作成">
    **Create Issue SLA**をクリックします。

    <Frame>
      <img src="https://mintcdn.com/corgea/cejZdXchGy8_rGGY/images/sla/create-issue-sla.png?fit=max&auto=format&n=cejZdXchGy8_rGGY&q=85&s=ade084c99eff3ed6e05d748f448711f6" style={{ borderRadius: '0.5rem' }} width="504" height="753" data-path="images/sla/create-issue-sla.png" />
    </Frame>
  </Step>

  <Step title="問題の種類を選ぶ">
    \*\*Code Vulnerability (SAST)**または**Dependency Vulnerability (SCA)\*\*を選択します。各SLAは選択した種類にのみ適用されます。
  </Step>

  <Step title="緊急度と期限を設定">
    緊急度を選択し、**Remediation**と**Escalation**の期限（日数）を設定します。
  </Step>

  <Step title="通知の設定">
    * **Email** — 任意。期限を超過すると、適切な受信者に日次サマリーを送信します（後述）。
    * **Webhook** — 任意。ドロップダウンから既存のWebhookを選択するか、新しいHTTPS URLを入力します（`sla.violation`を購読するWebhookが作成されます）。詳細は[Webhook](webhooks)を参照してください。
  </Step>

  <Step title="保存">
    **Save SLA**をクリックします。
  </Step>
</Steps>

## 通知の仕組み

Corgeaは未解決の問題を**1日1回**確認します。アラートは期限を超過した後にのみ送信され、問題がSLA期間内にある間は送信されません。

### メール通知

SLAの作成時または編集時に**Email**を有効にします。期限を超過した問題をプロジェクトと重大度別にまとめた**日次サマリー**が、問題ごとではなく受信者ごとに1通送信されます。

期限には2種類あります。

* **Remediation** — 問題が期限を超過し、対応が必要であることを示す最初のアラート。
* **Escalation** — 問題が未解決のままの場合に、通常はプロジェクト責任者へ送られる後続アラート。

**メールの受信者**は、問題の種類と超過した期限によって異なります。

**コード脆弱性(SAST)**

| 締め切りを逃した | 通知される者                                                               |
| -------- | -------------------------------------------------------------------- |
| 修復       | 問題に**割り当てられた担当者**。担当者がいない場合は**プロジェクト所有者**。プロジェクト所有者もいない場合は**会社管理者**。 |
| エスカレーション | **プロジェクト所有者**。プロジェクト所有者がいない場合は**会社管理者**。                             |

**依存脆弱性(SCA)**

| 締め切りを逃した | 通知される者                                                               |
| -------- | -------------------------------------------------------------------- |
| 修復       | 問題に**割り当てられた担当者**。担当者がいない場合は**プロジェクト所有者**。プロジェクト所有者もいない場合は**会社管理者**。 |
| エスカレーション | **プロジェクト所有者**。プロジェクト所有者がいない場合は**会社管理者**。                             |

依存関係の問題もコードの問題と同様に、問題の詳細ページにある**Assignee**ドロップダウンから割り当てます。

<Tip>
  SLAメールが適切なチームに届くように、**Project settings**で**プロジェクト所有者**を追加します。所有者がいない場合、通知は会社管理者に送信されます。
</Tip>

### Webhook通知

SLA上でWebhookが設定されると、Corgeaは構造化されたJSONペイロードでそのWebhookに\*\*`sla.violation`\*\*イベントを発生させます(参照[Webhook](webhooks))。以下は可能です:

* **既存のWebhook**を選択します。必要に応じて、Corgeaが自動的に`sla.violation`を登録します
* **新しいURL**を入力してSLAアラート専用のWebhookを作成します（HTTPS必須）

Webhookは他のCorgeaのWebhookと同じ配信パイプライン(再送信、署名、配信履歴)を使用します。 `sla.violation`の場合、 **ペイロード内のいずれかのプロジェクトがフィルターに一致するとマッチ** します(1つの通知が複数のプロジェクトにまたがる場合に役立ちます)。

<Note>
  このリリースより前に作成されたSLAでは、通知方法として**Slack**が表示される場合があります。新規作成または編集したSLAでは、代わりに**Webhook**を使用します。**Integrations → Webhooks**でSlackの受信Webhookを登録し、SLAフォームで選択します。
</Note>

## SLAの編集と管理

* 既存のSLAに対して **編集** を適用すること。フォームには問題タイプ、緊急性、期間、メールチェックボックス、選択したWebhook(あれば)が事前に入力されます。
* SLA表は **タイプ** (SASTまたはSCA)、タイムフレーム、設定済み通知方法を示しています。

## レポートと問題のステータス

* **Reporting → Aging** には、遅延 **コード** や **依存関係** の問題(要約数、緊急度の内訳、プロジェクト、エコシステム、トレンド)が含まれます。
* **コードおよび依存関係の問題**にはSLAステータスが表示され、担当者がいる場合はAgingレポートの担当者別内訳に含まれます。
* SCA SLAが適用される場合、スキャンの依存関係ビューでSLAステータスを絞り込めます。

<Frame>
  <img src="https://mintcdn.com/corgea/uxLuQR4653lM43Tj/images/aging_report.png?fit=max&auto=format&n=uxLuQR4653lM43Tj&q=85&s=81b1012a84bf21c2501192bbce30c945" style={{ borderRadius: '0.5rem' }} width="3020" height="2004" data-path="images/aging_report.png" />
</Frame>

## 例

### 重要なコード検出結果のためのSLA

<Steps>
  <Step title="SLAの作成">
    種類を**Code Vulnerability (SAST)**、緊急度を**Critical**に設定してSLAを作成します。
  </Step>

  <Step title="期限を設定">
    修復は2日、エスカレーションは3日に設定してください。
  </Step>

  <Step title="通知">
    **メール**を有効にし、`sla.violation`に登録したSlackまたはTeamsのWebhookを選択してください。
  </Step>
</Steps>

### 重大度が高い依存関係のためのSLA

<Steps>
  <Step title="SLAの作成">
    種類を**Dependency Vulnerability (SCA)**、緊急度を**High**（必要に応じて**Critical**も）に設定してSLAを作成します。
  </Step>

  <Step title="期限を設定">
    パッチの頻度に合わせて修復とエスカレーションのウィンドウを設定してください。
  </Step>

  <Step title="通知">
    プロジェクト所有者への**メール**、セキュリティチャンネルへのWebhook、またはその両方を使用します。
  </Step>
</Steps>

## ベストプラクティス

<Tip>
  * 非本番環境で短い修復ウィンドウを用いてメールやWebhookの配信を検証する。
  * SLAがあるすべてのアクティブなプロジェクトにプロジェクトオーナーを割り当てる。
  * 可能な限り、単発のURLではなく、`sla.violation`を購読する連携Webhook（Slack、Zapier、カスタム）をチームチャンネルに使用する。
  * コード修正と依存関係アップグレードで修復スケジュールが異なる場合、別々のSASTとSCAのSLAを定義すること。
</Tip>

## トラブルシューティング

<Warning>
  * **メールが届かない** — SLAで**Email**が有効であること、問題が実際に期限を超過していること、受信者（担当者、プロジェクト所有者、管理者）のCorgeaアカウントに有効なメールアドレスがあることを確認します。
  * **Webhookが届かない** — SLAでWebhookが選択または作成されていること、Webhookが**active**であること、問題が実際にSLA期限を超過していることを確認します。**Integrations → Webhooks → History**も確認してください。
  * **受信者リストが空** — 有効なメールアドレスを持つプロジェクトオーナーまたは会社管理者を追加します。
  * **SCA問題が一致しない** — スキャンを通じて問題とプロジェクトが関連付けられ、緊急度がSLAルールに一致していることを確認します。
</Warning>