> ## Documentation Index
> Fetch the complete documentation index at: https://docs.starfort.io/llms.txt
> Use this file to discover all available pages before exploring further.

# Storage Connection

> プロジェクトレベルの Storage Connection 設定で、暗号化されたアクセスキーと許可対象スコープを指定し、Starfort が S3 バケットに到達できるようにします (Starfort v1.4 版)

Starfort が原本を読み取り、成果物を書き込むには、ストレージへのアクセス手段が必要です。このアクセス手段は **Storage Connection** として **Project 単位で事前登録**し、登録がなければバッチの受付そのものが拒否されます（`S3_CONNECTION_NOT_CONFIGURED` — [バッチのエラー](/ja/v1.4/api/batch/errors)を参照）。

登録・管理は管理コンソールの設定エリアで行い、登録・変更・削除はすべて[監査ログ](/ja/v1.4/admin/audit-log)に記録されます。

## 登録内容

| 項目       | 内容                                                 |
| -------- | -------------------------------------------------- |
| **接続情報** | S3 互換の endpoint URL とアクセス認証情報（access key / secret） |
| **許可対象** | 読み取り可能なバケット・パス（prefix）と、書き込み可能なバケット・パスの明示的なリスト     |

アクセス認証情報には**最小権限**のみを付与してください — 原本パスへの読み取り（`GetObject`）と、結果パスへの書き込み（`PutObject`）で十分です。

## アクセスキーの暗号化保管

アクセスキーのシークレット値は**暗号化して保管**され、登録後はいかなる照会でも再表示されません。

## 許可対象のスコープ

ジョブの 2 つのアドレスは、それぞれ登録済みの許可対象と照合されます:

* `src_s3_url` は**読み取り**許可の範囲内である必要があります。
* `tgt_s3_url` は**書き込み**許可の範囲内である必要があります。

どちらか一方でも登録範囲外であれば受付が拒否され、ジョブは作成されません（`S3_TARGET_NOT_ALLOWED`）。登録時点で委任範囲を最小に絞り込む構造のため、認証情報が誤って別のパスに使われることを防ぎます。

## ストレージタイプ

Storage Connection は**タイプ**を持ち、タイプによって登録内容が分かれます。Project 単位の登録、許可範囲の強制、監査ログの対象という骨格は、2 つのタイプで共通です。

| 項目            | オブジェクトストレージタイプ               | ファイルストレージタイプ                       |
| ------------- | ---------------------------- | ---------------------------------- |
| **接続情報**      | 接続アドレス・アクセスキー（暗号化保管、再表示なし）   | なし — プラットフォームに事前接続された領域を指す識別子      |
| **許可対象**      | バケット・パスの prefix・読み取り／書き込みの区分 | パスの prefix・読み取り／書き込みの区分            |
| **許可範囲の強制**   | 登録範囲外のアドレスは受付拒否              | 同一                                 |
| **シークレットの保護** | 対象                           | 該当なし — 保管するシークレット値がない              |
| **接続の準備**     | 登録のみで成立                      | 登録に先立って、プラットフォームに該当領域が接続されている必要がある |
| **提供条件**      | デプロイ形態を問わない                  | **顧客専用デプロイでのみ提供**                  |

1 つのジョブの原本と結果は、**それぞれ別の Storage Connection として解決**されます — 原本アドレスは読み取り許可範囲を持つ設定と、結果保存アドレスは書き込み許可範囲を持つ設定とそれぞれ照合され、2 つの設定のタイプが異なっていても構いません（例: 原本はオブジェクトストレージ、結果はファイルストレージ）。

### ファイルストレージタイプで変わること

ファイルストレージは、リクエスト単位の認証情報ではなく**プラットフォームに事前接続された領域**としてアクセスするため、次の点が変わります:

* **接続が事前準備になります。** 顧客環境とプラットフォームの間の接続が整ってはじめて連携設定の登録が意味を持ち、接続がない状態での登録は受付拒否につながります。
* **連携領域へのアクセス不可は、原本の不在と区別されます。** 接続が切れた状態は「空のパス」のように見えることがあるため、実行レイヤーは原本を読む前と結果を書く前に連携領域の接続の有無を先に確定し、接続されていなければ、原本の不在とは区別された別の理由でジョブを失敗として処理します。
* **結果の保存は、接続が確認された領域にのみ行われます。** 接続が確認されていない状態での保存の試行は、書き込み失敗として確定します — 成果物のない完了は作りません。
* **成果物のアクセス権限は、事前合意された値に固定されます。** 結果ファイルが後続の処理主体に読み取れることが、連携の成立条件だからです。

判定ごとの成果物ルールと検査制限は、ストレージタイプにかかわらず同一です。[成果物ルールと制限](/ja/v1.4/api/batch/outputs-and-limits)を参照してください。