こんにちは。本ブログに初めて記事を書く、株式会社 Flatt Security セキュリティエンジニアの Azara(@a_zara_n)です。普段は Web やプラットフォームの診断やクラウド周りの調査、Twitter ではご飯の画像を流す仕事をしています。よろしくお願いします。 クラウドサービスが発展し続ける今日この頃、多くの企業がパブリッククラウドやプライベートクラウドなどを駆使し顧客へサービス提供しているのを目にします。そのような中で、サービスが利用するクラウドにおいて設定不備や意図しない入力、構成の不備により顧客情報や IAM をはじめとする認証情報が脅かされるケースが多々あります。 本記事では、そのような脅威の一例をもとにクラウドサービスをより堅牢で安全に利用する一助になればと、攻撃手法や対策などについて解説をしていきます。 また、私の所属する 株式会社 Flatt Secur

はじめに AWS CDK では 独自の Construct Library を作成し、npm や PyPI に公開することができます。 私も いくつか Construct Library を公開しているのですが、projen を使用することで Construct Library の作成～リリースがとても捗ったのでご紹介します。 2022/5/29 以下のバージョン時点の内容に更新しました。 projen: v0.56.33 AWS CDK: v2.25.0 What is projen? projen は近年複雑化しているプロジェクト構成をコードで定義し、管理するためのツールです。 元 AWS のエンジニアで AWS CDK の作成者である Elad Ben-Israel 氏を中心に開発されています。 projen では package.json、 .gitignore 等、通常は自分で管

AWS News Blog New – Application Load Balancer Support for End-to-End HTTP/2 and gRPC Thanks to its efficiency and support for numerous programming languages, gRPC is a popular choice for microservice integrations and client-server communications. gRPC is a high performance remote procedure call (RPC) framework using HTTP/2 for transport and Protocol Buffers to describe the interface. To make it ea

はじめに 2020/8/7 に CIS AWS Foundations Benchmark が v1.3.0 に更新されたため、 2018年にリリースされた v1.2.0 からの変更点を確認しました。 項目レベルの変更点で、参照ドキュメント追加などの細かなアップデートは除きます。 CIS AWS Foundations Benchmark とは 米国の非営利団体である CIS (Center for Internet Secuirty) が公開している AWS アカウントの基本的なセキュリティを実装するための技術的なベストプラクティスです。 CIS は 各種 OS、サーバー、クラウド環境などを強化するためのガイドラインとして 140 以上の CIS Benchmark を発行されており、PCI DSS などのコンプライアンス要件で 業界標準のベストプラクティスとの記載があった場合などに参照

Amazon SQS は可用性やスケーラビリティの高いメッセジキューサービスであり、AWS の代表的なサービスの 1 つと言えるでしょう。ところが、本番の運用に耐えられるアプリケーションにしようと思うと考えることが意外に多いものです。本エントリーでは簡単なサンプルアプリケーションをベースに、本番で運用するために考慮すべき点・注意点について見ていきます。題材として扱うのが SQS なだけで、SQS 以外を使ったアプリケーションにも応用できる内容もあるでしょう。 なお、SQS には Standard queue と FIFO queue がありますが、Standard queue を使う前提とします。 アジェンダは次のとおりです。 サンプルアプリケーション 1. ログ 2. At-least-once delivery と visibility timeout 3. デプロイ 4. 異常系 5

AWS Compute Blog Introducing AWS Lambda Extensions AWS Lambda Extensions is now generally available, For more information, see “Getting started with using your favorite operational tools on AWS Lambda“. AWS Lambda is announcing a preview of Lambda Extensions, a new way to easily integrate Lambda with your favorite monitoring, observability, security, and governance tools. In this post I explain ho

Docker Desktop for Windows/Mac 2.4.0.0 以降、Amazon ECR Credential Helper が 同梱されるようになりました。 Docker for Mac Stable release notes - Docker Desktop Community 2.4.0.0 https://docs.docker.com/docker-for-windows/release-notes/#docker-desktop-community-2400 都度、以下のようなコマンドで ECR へログインする一手間が減ります。 $ aws ecr get-login-password | docker login --username AWS --password-stdin https://<aws_account_id>.dkr.ecr.<region>

AWS News Blog Amazon S3 Update – Three New Security & Access Control Features A year or so after we launched Amazon S3, I was in an elevator at a tech conference and heard a couple of developers use “just throw it into S3” as the answer to their data storage challenge. I remember that moment well because the comment was made so casually, and it was one of the first times that I fully grasped just

Containers Designing a secure container image registry As organizations move to containers, there can be a sense that they are losing control or visibility of the software that is deployed to their environments. Historically, once a server is in production, a scanning tool runs on a regular basis to detect vulnerabilities on the operating system. Once a vulnerability is detected, an operations eng

はじめに 2020/9/10 ついに AWS Single Sign-On に AWS SSO API (sso-admin) が追加され、 AWS CLI/SDK や CloudFormation による操作もサポートされました。 AWS Single Sign-On adds account assignment APIs and AWS CloudFormation support to automate multi-account access management https://aws.amazon.com/jp/about-aws/whats-new/2020/09/aws-single-sign-on-adds-account-assignment-apis-and-aws-cloudformation-support-to-automate-multi-account-a

AWSets とは AWSets は AWS アカウント内をクロールし、対応するリソースの一覧を json 形式で 出力可能な Go 製のコマンドラインツールです。 北米のプレミアコンサルティングパートナーである Trek10 社が開発、OSS として公開しています。 現時点ではすべての AWS リソースに対応しているわけではありませんが、 2020/9/13 時点で 200 以上のリソースに対応しています。 複数のリージョンに同時にクエリを実行しつつ、リージョンやサービスでフィルタリングが 可能であったり、リソース間の依存関係を保持した情報を出力してくれるのが特徴です。 インストール GitHub のリリースページからバイナリファイルをダウンロード可能です。 以降では、2020/9/13 時点の最新バージョンである、v0.2.4 で確認しています。 $ awsets version aw

はじめに 本記事では、Kubernetesで実現するマルチテナントについて、2020年9月時点での現状と、将来的に利用できるであろう機能の紹介をいたします。各機能についての詳細は、参考ドキュメント等を参照していただければと思います。 本記事の要点 マルチテナントは単一のクラスター上に複数のテナントを共存させることを指す。 Kubernetesにはマルチテナントを実現するための機能が備わっている。 アクセスコントロール：RBAC セキュリティ：Namespace / Network Policy / Pod Security Policy リソースの隔離：ResourceQuota / LimitRange / Affinity / Taintなど Kubernetesのマルチテナント機能は、SIGを中心として機能開発が進められている。 Benchmarks Tenant Controlle

CannotPullContainerError: httpReaderSeeker: failed open: content at https://docker.pkg.github.com/v2/<username>/<reponame>/<image>/manifests/sha256:1840562644708320d81c1852b65a297d5ccf890e4a822a8aaca01axxxxxxxxxx not found: not found 原因 Open Container Initiative (OCI) によって定義されている コンテナイメージ配布の 標準仕様である HTTP API V2 を GitHub Packages が一部満たしていないことに起因し、 コンテナランタイムが Containerd の場合に、イメージの pull に失敗します。 回避策 プ

はじめに 2020/8/28 に Amazon ECR が OCI Artifact をサポートしました。 これにより Helm charts や OPA Bundles など、コンテナイメージ以外の コンテンツタイプ (アーティファクト) を ECR で保存、配布できるようになります。 OCI Artifact Support In Amazon ECR https://aws.amazon.com/jp/blogs/containers/oci-artifact-support-in-amazon-ecr/ 例えば組織内で安全に Helm charts を共有しようとした場合に これまでは ChartMuseum 等を使用して、プライベートな Helm chart registry を構築する必要がありましたが、ECR だけで管理できるようになります。 8/17の AWS Contai

企業システムでクラウドサービスの利用が広がる中、クラウド上で管理するデータも増加の一途をたどっている。それらは企業にとって貴重な資産でありながら、実のところその活用はいまだ十分に進んでいるとは言い難い。それぞれのサービスからデータを取り出し、集約する、いわゆるデータ連携に少なからぬ工数とコストがかかるためだ。そこで、SalesforceやSlackなどSaaS由来のデータ活用や、フローの構築、トラフィックの保護を可能にする方法を探る。 データ抽出と変換の手間がクラウドのデータ活用の“壁”に クラウドサービス、特にSaaSの分野は、イニシャルコストの低さや導入の容易さなどが高く評価され、この10年で企業のシステム整備における当たり前の選択肢となった。開発環境での利用を皮切りに、SaaSアプリケーションの多様化が急進することで、今ではビッグデータ管理や解析、CRM、ERPなど、多様な仕組みの整

Products Docker DesktopContainerize your applicationsDocker HubDiscover and share container imagesDocker ScoutSimplify the software supply chainDocker Build Cloud Speed up your image buildsTestcontainers Desktop Local testing with real dependenciesTestcontainers Cloud Test without limits in the cloud See our product roadmapMORE resources for developers

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

素材ファイル名 nurse-breaking-hard-ice-surgical-drill-in-shinkansen.png 無料 ダウンロード ご利用にあたっては必ず「ご利用ガイド」にしたがってください

本を出しました。「その仕事、全部やめてみよう」 このブログで書いてきたこと。 この20年間仕事で取り組んできたこと。 プログラマーとして、経営者として、感じたことや学んだこと。 誰かに伝えたら、その人や、あるいはその人のいる会社が、 もしかしたら何か変わっていくかもしれないこと。 「2020年版、書籍版・小野和俊のブログ」 のような形でまとめたらどんな風になるだろう。 そんな風に考えながらこの1年半ほど本を書いていました。 そしてようやく完成したのが今回の本です。 220ページの本になりました。 先日、とある日本の大企業の幹部の方からこんな相談を受けました。 「うちは事業会社ですが、手の内化・内製化が大事だということで、 今回初めて外部からベンチャー出身のエンジニアを採用してみたんです。 そしたらみんなが忙しい仕事中にも、業務時間外の夜中にも、 思いついたことを次々と好き勝手提案してくるん

はじめに AWS SDK は Exponential Backoff による自動再試行ロジックが実装されていますが、 Boto3 では 3 つのリトライ処理モードを選択できます。 legacy (デフォルト) standard adaptive botocore の GitHub リポジトリを確認すると、2020年2月ごろに standard および adaptive が 追加され、それ以前の実装は legacy という名称になっています。 Add support for new retry modes #1972 互換性のため、デフォルトが legacy となっており、standard/adaptive で追加された機能を 利用するにはリトライ処理モードを明示的に変更する必要があります。 リトライ処理モードの変更方法 botocore の config オブジェクトをインスタンス化し、設