何か作業を行う際に、作業用のIAMロールへ スイッチロール(AssumeRole)するケースは多いと思います。 そのときの権限は基本的には 「そのロールにアタッチされたポリシー」です。 ですが、その権限を AssumeRole 時に狭められることを最近(今更)知りました。 「セッションポリシー」というものを使って スイッチロール先での権限を狭められるとのこと。 今回はこのセッションポリシーを適用して スイッチロール(AssumeRole)を試してみました。 まずは普通にAssumeRole まずは aws sts assume-role コマンドを使った いつもどおりのスイッチロールを紹介します。 以下シンプルなコマンドサンプルです。 ### スイッチ先のロールARN role_arn="arn:aws:iam::123456789012:role/example-dev-role" ##

宿泊予約サイト「Booking.com」を運営するブッキング・ドットコム日本支社は10月10日、宿泊施設に対して未払いが相次いでいる問題について謝罪した。支払いシステムの更新作業で起きた不具合が原因であったと説明。同社は「現在緊急に対応させていただいております」としている。 Booking.comは、宿泊施設に代わって、利用客に対してオンライン予約を提供するサービス。運営会社のBooking.comはオランダに本社を置いている。同サービスを巡り、TBSなどの一部報道機関は10日、宿泊施設への宿泊費の未払いが相次いでいるブッキング・ドットコムに対し、一部の施設オーナーが損害賠償請求を起こす方針であると報じていた。 この報道を受け、ブッキング・ドットコム日本支社は声明を発表。「お取引先（パートナー）各社様に対し、期日通りに支払いを履行することは、当社にとって常に最優先事項であり、先般の支払いシ

2023年7月5日、名古屋港統一ターミナルシステム（NUTS / Nagoya United Terminal System）でシステム障害が発生しており、システムを管理する名古屋港湾協会は障害原因がランサムウエアによるものと公表しました。ここでは関連する情報をまとめます。 ランサムウエアによる国内初の物流影響事例か システム障害が起きたのは名古屋港湾協会が管理する名古屋港統一ターミナルシステム(NUTS)。名古屋港の5つのターミナル（飛鳥ふ頭北、NCB、飛鳥ふ頭南、TCB、鍋田ふ頭）と集中管理ゲート、荷役機器、NACCS、NUTS-Webをネットワークでつなぎ、船からの積み下ろし、プランニング、コンテナ保管、搬出入、ヤード作業、保税管理を行うシステム。*1 NUTSは1999年に導入されこれまで大きな障害が起きたことがなく、また2022年8月からシステム移行が行われ2023年1月に新シス

複数の民間事業者が一定の基準に沿った業務用アプリをガバメントクラウド上に開発し、自治体が状況に合わせて導入する仕組みづくりも目指す。つまり自治体は今後、共通化されたクラウド基盤と業務アプリを使うことになる。当然、既存業務の共通化・見直しも必要になるわけだ。 共通化の対象として定められている業務は住民基本台帳、国民年金、介護保険の事務など20種類。業務用アプリは原則としてカスタマイズなしで使う。自治体の独自施策などに向けた調整が必要な場合は、設定やパラメータを変更するか、外部ツールとのAPI連携などで対応する。 必要なのは「ITガバナンス」　避けるべき丸投げの恐怖 ただ、ここに混乱の種がある。業務の共通化・見直しが必要ということは、各自治体がそれぞれの事情に合わせて業務を最適化しなければいけないわけだ。デジタル庁や総務省の右に倣えで済ませられない。 一方で、クラウド移行は政府・デジタル庁の主

ここ数日、自分が管理している多数のアカウントの整理をしていまして、（本当はよくないことですが）使い回してるパスワードがわりとあったので、そういったパスワードを撲滅すべく変更をしては1Passwordに反映するということを繰り返していました。 そんな中で出会ったこれは嫌だなというパスワード変更画面を紹介したいと思います。 画面構成が複雑でパスワード変更画面にたどり着けない。 パスワード変更機能がなく、「変更及び再発行を希望される際は、再度新規登録をお願いいたします」と促される。 パスワードリセット機能（パスワードを忘れた方はこちら）がパスワード変更機能を担っているが、そんな説明がどこにもないので気づかない。 パスワードリセット機能もない。 最大文字数が「6文字以内」と短い。 「6文字以上で入力してください」と書かれているので試しに6文字で登録しようとすると「8文字以上で入力してください」とエ

こんちは､テクニカルサポートチームの丸屋 正志です｡ ■ご注意ください このポリシーでは「IAMユーザーと同じ名称でMFA設定を行う場合」のみMFA設定の許可が与えられています。 2022/11よりMFA設定時に任意の名称を指定できるようになっており、上記の名称と異なるMFA名を指定した際にエラーになる場合があります。（上述のセキュアポリシー以外でMFA設定の許可が与えられていればエラーは発生しません。） （参考情報） https://aws.amazon.com/jp/about-aws/whats-new/2022/11/aws-identity-access-management-multi-factor-authentication-devices/ 1. AWSアクセスキーセキュリティ意識向上委員会って何？ 昨今、AWSのアクセスキーを漏洩させてしまうことが原因でアカウントへの侵

如月 宗一郎 @S_kisaragi Reserve Candidate上がりの林業作業者。1980年に生まれて2003年卒という、Lost GenerationからついにAbandoned Generationになった地方都市民。当地の林業では、年間最大で193人に1人が死ぬ世界なので、急にツイートが止まる可能性あり。ねご探し中。 twilog.org/S_kisaragi 如月 宗一郎 @S_kisaragi 年寄りのパスワード設定に付き合っているのだが… 「アルファベットで入力してください」 「数字？」 「アルファベットですよ」 「数字？」 とこのような感じに。（そりゃ携帯ショップのコストだだ上がるわ） 2021-05-24 10:28:42

4月5日深夜から6日にかけて、豪Atlassianが運営するプロジェクト管理ツール「Trello」で個人情報が閲覧できるなどといった情報がネット上で注目を集めた。一日のToDoリストなど作業管理のために作成するボード機能の閲覧範囲を「公開」と設定していたことが原因だった。 ボードの公開機能は、例えばオープンなプロジェクトの進捗を外部に公開するといった用途に使うもので、適切に利用すれば問題はない。しかし、Trelloで顧客や採用活動などの情報を管理していた一部の企業ユーザーが、住所氏名などの個人情報、運転免許証やパスポートの画像をそのままアップロードし、“公開”状態にしてしまっていた。 その結果、Googleの検索にヒットし、外部から誰でも閲覧できる状態になっていたことからネット上で騒動に発展した。中には企業の採用担当者が、面接の結果、不採用とした学生を「頭が悪い」などと中傷するコメントを残

現在、Trello（トレロ）の一部ユーザーがボードの公開範囲を「公開」に設定したことに起因して、ボード内の情報がインターネット上に公開されている事象が発生しております。Trelloの初期設定ではボードは非公開になっており、ユーザーの任意で公開範囲を選択することが可能です。詳細は、こちらの記事にて確認いただけます。 また、Trelloにはユーザーの意図しない公開ボードの作成を回避するため、ユーザーがボードの公開設定をする際、ユーザーの意図を確認する仕組みが搭載されています。現在アトラシアンでは、問題が発生しているボードのプライバシー設定を確認するなど、ユーザーが意図しない情報の漏洩を止めるため、ユーザーのサポートに尽力しております。 Trelloの公開設定に関するユーザー様からのご質問は、こちらの窓口にてお受けしています。 アトラシアン 朝岡 絵里子 アトラシアン株式会社のマーケティング統括

Microsoftは米国時間3月15日に「Azure Active Directory」（Azure AD）で発生した障害に関する予備的な原因分析結果を公開した。この障害によって、「Office」「Teams」「Dynamics 365」「Xbox Live」などをはじめとする、認証をAzure ADに依存しているMicrosoftやサードパーティーのアプリケーションが利用できなくなった。同社は、この約14時間にわたって続いた障害によって、世界中のMicrosoftの「一部」の顧客が影響を受けたと述べている。 「Azureの状態の履歴」ページに3月16日に公開された今回のインシデントの予備分析結果によれば、「Azure ADが、OpenIDなどのIDに関する標準プロトコルを使った暗号署名操作をサポートするために使用している鍵のローテーションに問題が発生した」という。 Azure ADでは、

AWS re:Invent 2020 年内期間最終日の今日、すばらしいニュースが飛び込んできました。 ついに、Amazon Route 53がDNSSECに対応しました！ You can now enable DNSSEC signing for all existing and new public hosted zones, and enable DNSSEC validation for Amazon Route 53 Resolver. ということで、Route 53にホストしているゾーンに対してDNSSEC署名することも、Route 53リゾルバでDNSSEC署名を検証することも、両方向で対応したとのこと！ ドメイン情報を払い出す Route 53 レジストラは既にDNSSEC対応していましたから、これで実質死角ナシになりましたね！ DNSSECとは すごくざっくりいうと、DNS

サイバー犯罪は、日々高度化と複雑化を続けています。守る側はそれに追いつくために新技術を取り入れ、最新の攻撃にも対応できる柔軟な仕組みを構築し、どんな脅威にも即応できるセキュリティ人材を組織内で育てるべきである。……というのは、一部の大企業でしか実現できない夢物語かもしれません。そんな「一部の大企業」ではない大半の企業が頼れる先として「マネージドセキュリティサービス」（MSS）があります。 MSSとはセキュリティ対策をアウトソースし、企業内に設置した機器の監視をしてもらうものです。特にセキュリティ人材が不足しがちな中堅中小企業において、レベルの高いセキュリティ対策を実現できるのが魅力といえるでしょう。 しかし「MSSに全て任せれば、プロの集団による的確で適切な対策が手に入る」と思ってしまってはいけません。丸投げでは最適解にはたどり着けないのです。それでは、何を考えておけばいいのでしょうか。

API Gateway にはパブリック API と、プライベート API が作成できますが、「プライベート」という言葉を正しく理解していますでしょうか？ 「自分の AWS アカウント内からのみアクセスできる API でしょ？」 と考えたあたなに質問です。図にすると、このようなイメージでしょうか？ あなたのアカウント内にプライベートな API Gateway が存在し、他の AWS アカウントから接続するには承認しないと接続できない。それが「プライベート」だと。 このようにお考えの場合、API Gateway にはリソースポリシーでアクセス元を制限したり、API Gateway で認証なども実装できますが「今回はプライベートなので、特に制限は必要ありません。」と考え、以下のようなリソースポリシーを設定していたりするでしょうか？ { "Version": "2012-10-17", "Stat

2020/3/14 追記 昨年、PureSec も加盟している Cloud Security Alliance の Israel Chapter から、The 12 Most Critical Risks for Serverless Applications 2019 が公開されました。 ※本記事の公開時点で既に TOP12 が最新でした・・・ 本記事で記載している既存の TOP 10 の内容に大きな変更はなさそうですが（SAS-9 は Serverless Business Logic Manipulation に改題）、新たに追加された SAS-11、SAS-12 について本文に追記します。 既存の文章にも差分があるようですので、正確な内容は原文をご参照ください。 追記はここまで イスラエルのセキュリティスタートアップ PureSec による The Ten Most Critica

2019年10月8日、読売新聞は総務省が開発費約18億円をかけ政府共通プラットフォーム上に導入したセキュリティ機能が各省庁から一度も使用されずに廃止されたと朝刊一面で報じました。ここでは関連する情報をまとめます。 誰も使わなかったセキュリティ機能 報じられたのは「セキュアゾーン」と呼称されるセキュリティ機能。*1 政府共通プラットフォーム上に実装され、インターネットからは遮断された環境で利用する。 2015年6月に発生した日本年金機構の不正アクセス事案を受け導入が決定されたもの。 平成27年度総務省所管の補正予算案で「一億総活躍社会の実現に向けて緊急に実施すべき対策」の1つに計上されていたとみられる。 (2) 政府情報システムのセキュリティ対策 33.8億円 政府共通プラットフォーム及び新たな共通ネットワークにおけるセキュリティ対策（情報システムのインターネットからの分離、インターネット接

Amazon.co.jp（以下Amazon）で9月26日～27日ごろにかけ発生していた「他人の注文履歴や氏名住所が見えてしまう不具合」（関連記事）を巡って、問題が解消したとされる今でも、一部のユーザーから「ありえない」「不誠実」と怒りの声があがっています。編集部ではAmazonに対し、不具合の詳細や情報流出の規模などを問い合わせていましたが、Amazon側からは「本事象は完全に解消しており、同様の事象が再発しないよう防止策をすでに講じています」との回答しか得られませんでした。 今回発生していた不具合は、Amazonのサイトやアプリから「注文履歴」を見た際、自分以外のユーザーの注文履歴や氏名・住所などが表示されることがあった――というもの。氏名住所の流出はもちろん、加えて購入履歴から自分の趣味嗜好が丸裸にされてしまう可能性もあり、ネット上では「怖すぎる」「羞恥プレイ」「社会的に死ぬ」など、当

Business Insider Japan編集部｢7pay｣取材班は、7payの開発スケジュールを取りまとめた内部資料を入手した。 開発現場の関係者の間でやりとりされた資料の最終版に近いもので、2018年末からサービスイン直前までの間が、どのようなスケジュールで動いたのかを示す資料だ。現場をよく知る複数の関係者の証言からは、記者会見で注目が集まった｢セキュリティー不備｣につながる慌ただしい開発現場の姿が浮かび上がる。 7payの不正利用に関しては、7月3日にアカウント乗っ取りと不正利用が発覚し、続く4日セブン＆アイHDが記者会見で被害推定額を｢約5500万円｣と発表。同日夜に中国籍の男2人が不正利用に関して詐欺未遂の容疑で逮捕された。 セブン＆アイHDはセキュリティー対策の甘さへの指摘を受ける形で、5日にはセキュリティー対策強化を目的とした新組織発足と二段階認証導入、1回あたりのチャージ