# Backstage v1.55.0

> CI/CD & App Delivery · 2026-09-15

スキャフォルダーのタスク復旧や認証情報の制御、TechDocs、通知とストリーミング、Kubernetesと認証に関する機能を追加し、広範な修正と依存関係・互換性の更新を含むリリースです。既知の脆弱性を避ける依存関係とツールの更新に加え、早めのアップグレードが必要なセキュリティ修正があります。利用中の非推奨機能や互換性の変更を確認する必要があります。

## 要対応
- **[security]** `Module Federation`依存関係の更新
  - `Module Federation`の依存関係を、既知のセキュリティ脆弱性を回避するバージョンに更新しました。
- **[security]** `Yarn`ツール依存関係の更新
  - `Yarn`ツールの依存関係を、既知のセキュリティ脆弱性を回避するバージョンに更新しました。
- **[security]** `Module Federation`の更新
  - `Module Federation`を、既知のセキュリティ脆弱性を回避するバージョンに更新しました。
- **[security]** `OpenAPI`ジェネレーターツールの更新
  - `OpenAPI`ジェネレーターツールを、既知のセキュリティ脆弱性を回避するよう更新しました。
- **[security]** `OpenAPI`ジェネレーターツールの更新
  - `OpenAPI`ジェネレーターツールを、既知のセキュリティ脆弱性を回避するよう更新しました。
- **[breaking]** Unicode文字列変換の一貫性向上
  - 環境によらず文字列を一貫して処理できるよう、ロケールに依存しないUnicodeの大文字・小文字変換を使用するようにしました。

## 影響確認
- **[security]** Kubernetesカタログクラスター ロケーターのURL検証
  - カタログクラスター ロケーターを使用している場合に適用されます。
  - カタログクラスター ロケーターがKubernetes APIサーバーのURLを検証し、非公開アドレス、クラウドのメタデータエンドポイント、デフォルトでHTTPS以外のURLを拒否するようになりました。`dangerouslyAllowClusterUrls`に信頼するホスト名を指定した場合に限り、そのホストへのHTTP接続や非公開アドレスを許可できます。カタログエンティティでは`serviceAccount`認証プロバイダーを使用できず、TLS検証のスキップにはロケーターメソッドで`dangerouslyAllowSkipTLSVerify`を設定する必要があります。認証メタデータとして渡されるのは許可されたアノテーションだけになり、Kubernetes APIの取得時にHTTPリダイレクトを自動追従しなくなりました。
- **[security]** プルリクエストのワークスペース処理の修正
  - プルリクエストのワークスペース処理を使用している場合に適用されます。
  - プルリクエストのワークスペース処理にあったセキュリティ上の問題を修正しました。
- **[breaking]** GitHubユーザーIDカタログ検索の一致条件変更
  - GitHubユーザーIDによるカタログ検索を使用している場合に適用されます。
  - GitHubユーザーIDによるカタログ検索で完全一致を求めるようになり、大文字と小文字だけが異なる候補も処理するようになりました。
- **[breaking]** Kubernetesエンティティコンテンツの遅延読み込み
  - Kubernetesエンティティのコンテンツを使用している場合に適用されます。
  - Kubernetesエンティティのコンテンツは、タブを開くまでUIを読み込まなくなり、初期バンドルから除外されます。タブの表示状態はエンティティフィルター述語になり、アプリ設定で上書きできます。Kubernetesアノテーションが空のエンティティにも、以前は非表示だったタブを表示します。
- **[breaking]** デフォルトMCPサーバーの公開方法変更
  - `mcpActions.servers`を設定している場合に適用されます。
  - デフォルトのMCPサーバー`/api/mcp-actions/v1`を常に公開するようになりました。`mcpActions.servers`を設定してもデフォルトのエンドポイントは置き換えられず、名前付きサーバーはデフォルトサーバーのサブセットとして動作します。デフォルトサーバーは登録済みのすべてのアクションを公開し、同じアクションをデフォルトサーバーと複数の名前付きサーバーに公開できます。
- **[breaking]** タスク復旧用ワークスペースプロバイダーの分離
  - タスク復旧にワークスペースシリアライズを使用している場合に適用されます。
  - タスク復旧用のワークスペースシリアライズで、従来の設定を使用する場合も含め、別途ワークスペースプロバイダーモジュールのインストールが必要になりました。

## 事前準備
- **[deprecated]** GitHubユーザー名サインインリゾルバーの非推奨化
  - GitHubのユーザー名によるサインインリゾルバーを使用している場合に適用されます。
  - GitHubのユーザー名によるサインインリゾルバーを非推奨とし、安定版のユーザーIDリゾルバーを推奨する形に変更しました。

## その他の記録された変更
- 213 (value_changed 154, defect_corrected 35, added 20, constraint_changed 2, renamed 1, deprecated 1)

[分析の詳細](https://ratatosk.io/ja/releases/backstage/v1.55.0)

[元のリリースノート](https://github.com/backstage/backstage/releases/tag/v1.55.0)