AWSエンジニアに必要な知識
はじめに 私は2024年1月からAWS設計構築のプロジェクトに入り、現在設計を進めている真っ只中なのですが、プロジェクトにアサインされてからの気づきについて書き留めてきたいと思いましたので本記事を執筆いたします。 まず、結論ファーストでお話させていただきますが、タイトルの「AWSエンジニアにとって必要な知識」についてはIT全般の知識を7割程度把握 しておくのが自分的ベストプラクティスかと思います。 ある知識に特化しているよりも、全体的に網羅されている方がことAWSにとっては必要な要素ではないかと考えています。 なぜなら、設計において任されるタスクは自分の得意としていない分野においても任されるからです。 ではその全体の知識って具体的にどんなことを知っておいたら良いの？について紹介していきます。 Linuxの知識 言わずもがな、Linuxの知識は必須になってきます。 前提として設計段階でEC2
Firebase Authから内製認証基盤に無停止移行して年間1000万円以上削減した
症状検索エンジン「ユビー」 では、ローンチ当初から Firebase Auth (GCP Identity Platform) を使っていましたが、OIDCに準拠した内製の認証認可基盤に移行しました。 認証認可基盤そのものは m_mizutani と nerocrux と toshi0607(退職済) が作ってくれたため、僕は移行のみを担当しました。 結果として、強制ログアウトなし・無停止でビジネス影響を出さずに、年間1000万円以上のコスト削減に成功しました[1]。その移行プロセスについて紹介します。認証認可基盤そのものの紹介はあまりしません。 移行した理由 大量の匿名アカウント ユビーでは、アクセスした全ユーザーに対して自動的に匿名アカウントを発行しています。これにより、ユーザーがアカウント登録しているかどうかに関わらず、同じID体系で透過的に履歴情報等を扱うことができます。アカウント
Auth0にPassKeyが搭載されたぞ！！！
はじめに 先日ふと Auth0 のダッシュボードを眺めていると、興味深い項目が表示されていました。 Passkey がある!!! なので、今回は Auth0 に搭載されたパスワードレス認証方式である Passkey の説明をしていきます。 なお、Auth0 の設定方法についてはAuth0 からリリースされた記事を参考にして、記載しています。 パスワード認証の課題 Passkey の説明をするまえに、パスワード認証の課題について見ていきます。 認証方法として当然とされているパスワード認証ですが、以下の 3 つの課題を持っています。 ① パスワードの使い回し ② 推測されやすいパスワードの使用 ③ フィッシングアプリへのパスワード入力 それぞれ見ていきましょう。 ① パスワードの使い回し ログインが必要なアプリにはそれぞれ異なるパスワードを使用するというのは皆さんご存知だとは思います。 とはい
無料化した面倒なパスワード管理が超絶簡単になる「LastPass」スマホ版の使い方 - GIGAZINE
Twitter・Facebook・Gmailなどなど、ほとんどのウェブサービスで使用する度に毎回入力を促されるのがパスワードです。「Amazonでネットショッピングして、注文内容をGmailで確認」という作業を行うだけでも2種類のパスワードを覚えておく必要があるわけですが、ありがちなパスワードはセキュリティ的問題アリで、かといってサービスごとに異なるパスワードにしようとすれば頭で記憶しておくだけでは心許なく、どこかしらにパスワードを記録して保管しておく必要が出てきて、今度はその保管場所までしっかり覚えておく必要性が出てきます。 そんな面倒なパスワード管理が一気に簡単になるのが「LastPass」で、たったひとつのマスターパスワードさえ覚えておけば、あらゆるパスワードやクレジットカード情報をセキュアに管理できるようになります。スマートフォン向けアプリのLastPassは年間12ドル(約150
下取りに出す前に実行！ Androidスマホを完全に初期化するテク (1/2)
新端末を購入したときなど、これまで使っていた端末を手放すときに必要なのが初期化だ。Androidには、端末を初期化するためのメニューが用意されているが、気をつけておくべきポイントがある。 それは端末内に保存されていたデータだ。スマホには、言うまでもなくたくさんの個人情報が入っている。こうしたデータは、初期化によって一見するときれいになくなったようにみえて、じつは消されていないことも。写真などの画像も、残ってしまう場合がある。こうしたデータをきれいさっぱり消すには、2段階に分けて初期化するのがおすすめ。 まずはデータの暗号化を実行 端末内に残ってしまうデータは、PCに接続することで読み取れてしまうケースがある。これは、ストレージ内のデータを削除したかのように見せかけ、じつはファイルのインデックス情報だけを消しているからだ。 Android端末は通常の手段だとハードウェアレベルでのフォーマット
日本語版 KeePass のダウンロード方法｜Synclogue Navi
「KeePass Password Safe」 とは、オンラインサービスやオンラインショップなどのユーザー登録が必要なサービスの「ユーザーIDとパスワード」を安全に保存できるパスワード管理ソフトです。 ユーザー登録が必要なサービスで、いつもと違うものを登録したら覚えておくのも管理するのも大変なので、結局同じユーザーID・パスワードを使っていることってありませんか？ また、PC上のメモ帳などで管理すると、PCの紛失などで流出したり無くしたりする可能性もあります。 そこで、KeePass を使うと、各種サービスで使っているユーザーID・パスワードを暗号化して一括保存できます。 もうパスワードが分からずにログインできないということがなくなるので同じID・パスワードで登録する必要がなくなります。 ここでは、まずKeePass をインストールする手順と、KeePass を日本語化する方法をご紹介しま
『運転免許証をコピーさせていただきますね。』は断固、拒否できる！身分証明書をコピーさせないことで、個人情報漏洩から身を守ろう。 - クレジットカードの読みもの
個人的にまったく知らなかったのですが、携帯電話申込や入会手続きなどをする際に言われることの多い『運転免許証をコピーさせていただきますね』は、断ることが出来るんですね。 下記の記事より引用させてもらいます。 免許証や保険証など身分証明書は悪用できるのでコピーさせないのが個人情報漏洩対策になる - はぴらき合理化幻想 金融機関、携帯電話ショップ、市役所などでは手続きの際に身分証明書をコピーしたり番号を控えさせてとよく言われる。応じる義務はない。提示して担当者に見せればOK。余計な情報を提出しても百害あって一利なし。 コピーだけでなく番号記録も拒否できる： 記事によると身分証明書のコピーだけでなく、その番号を控えることすら拒否をしても良いらしいです。今までなにも疑問を持たずに応じていた自分は、個人情報漏洩についてまだまだ対策不十分だったと言えますね。 転出入の度に役所に行った。その時に身分証明書
セキュリティ対策のために無償の脆弱性緩和ツールEMETをインストールする
対象ソフトウェア：Windows 7／Windows 8／Windows 8.1／Windows Server 2008 R2／Windows Server 2012／Windows Server 2012 R2 解説 Windows OSおよびそのアプリケーションに対してはゼロデイ攻撃、すなわちセキュリティパッチがリリースされる前に脆弱性を攻撃するという事件がしばしば発生している。またセキュリティパッチの適用が遅れた結果、既知の脆弱性を攻撃されて被害に遭ったという例も報道されている。このようにセキュリティパッチの適用前の攻撃をいかにして防ぐか、ということはセキュリティ対策上の重要な課題の1つといえる。 こうした脅威に対抗すべく、マイクロソフトが無償で提供しているソフトウェアツールの1つが「Enhanced Mitigation Experience Toolkit（EMET）」だ。「Mi
バイドゥ（baidu） Hao123が迷惑すぎるにも程がある[迷惑] 島国大和のド畜生
ヨメが服の型紙をDLしようとして、間違えて広告をクリックしバイドゥ（baidu）関係の何かをDLしてインストールしてしまった。 俺のPCで。（権限は分けてある） ヨメはPCの素人だがそれでもそれなりにツールは使うしHTMLぐらいは打つ女なのだが、それが引っかかってしまう。 ここまではヨメの落ち度でしかたがないのだが、その被害のデカさに俺はフルフル震えてしまう状況である。 コレを見て欲しい。 Win 8/8.1編: Hao123を完全にアンインストール (削除)する 削除するのにこの面倒くささだ。 勝手にIEとchromeとFireFoxのトップページを書き換え、レジストリを弄り回し、勝手にスキャンをはじめ、今すぐ対応しろとか脅してくる。 コレが普通のソフトやプラグインのフリをしているってのはどうなんだ。 フィッシングソフトか、控えめに言っても迷惑ソフトだろう。 かつて某検索（Jword）が
｢Windows XP｣で2019年まで更新プログラムを受け続ける事を可能にする方法が公開される | 気になる、記になる…
｢Windows XP｣のサポートは先月9日をもって終了し、今後、更新プログラムが提供されなくなりましたが、ZDNetによると、｢Windows XP｣のレジストリを弄る事で更新プログラムを受信し続ける事が出来る方法が公開されました。 その方法とは｢Windows XP｣のレジストリに変更を加え、まだサポートが終了していない｢Windows XP｣ベースの組み込み向けOS｢Windows Embedded POSReady 2009｣に見せかける事で2019年4月9日まで更新プログラムを受信し続ける事が可能になるとのこと。 （更新） Microsoft公式の方法ではない事から詳細な方法は削除させて頂きました。 訂正し、お詫び申し上げます。 追 記 ネタ元のZDNetが、Microsoftに問い合わせた件の回答を追記しており、Microsoftは『インストール出来る更新プログラムは｢Wind
JavaScriptでセキュアなコーディングをするために気をつけること – cybozu developer network
（著者：サイボウズ kintone開発チーム 天野 祐介） kintoneはJavaScriptを使って自由にカスタマイズすることができます。 カスタマイズにより独自のリッチなUIを構築したり、新しい機能を追加したりできるようになりますが、セキュアなコーディングをしないとクロスサイトスクリプティング脆弱性を作り込んでしまう危険性があります。 この記事では、JavaScriptでセキュアなコーディングをするための基本的な点を解説します。 主な原因 脆弱性を作り込む主な原因になるコードは、要素の動的な生成です。特に、レコード情報などのユーザーが入力した値を使って要素を生成するときに脆弱性が発生しやすくなります。 対策 document.write()やelement.innerHTMLを使って要素を生成するときは、コンテンツとなる文字列をかならずHTMLエスケープするようにしましょう。 以下は
XSSとSQLインジェクションの両方が可能なRFC5322適合のメールアドレス
メールアドレスの「ルール」に関する話題が盛り上がっていますね。 「メールアドレスのルール」系まとめがそろって間違ってるのでご注意を 「メールアドレスのルール」なんて使ってはいけない3つの理由 これらのエントリに異論があるわけでありません。メールアドレスに関するルールというとRFC5322などがあるものの、現実の運用では簡易的な仕様を用いている場合が大半である…という事情は、私も以前ブログに書きました。、 本稿では、「空前のメールアドレスのルールブーム(?)」に便乗する形で、RFC5322に準拠したメールアドレスで、XSSやSQLインジェクションの攻撃ができることを紹介します。と言っても、SQLインジェクションについては、過去に書きましたので、本稿では、RFC5322バリッドなメールアドレスでSQLインジェクションとXSSの両方ができるメールアドレスを紹介します。 まず、攻撃対象として、以下
Inline JSONPの長所について (続: サーバサイドからクライアントサイドのJavaScriptを呼び出す際のベストプラクティス) - kazuhoのメモ置き場
サーバサイドからクライアントサイドのJavaScriptを呼び出す際のベストプラクティス - kazuhoのメモ置き場 の件、id:tokuhirom がさくっと HTML::CallJS というモジュールを書いて公開してくれた (Shipped HTML::CallJS - tokuhirom's blog 参照) ので、どういう Inline JSONP を使うとどういう形で書けるか、ぱっと例をあげたいと思います。 まず、サーバサイドのプログラム。 以下は perl で、tokuhirom の HTML::CallJS と Text::MicroTemplate を使っている例。 JavaScript の呼出を保存する配列を用意し、そこに呼出をどんどん追加していっています。一定条件下でのみ特定のクライアントサイド処理を呼び出したり、配列の各要素について呼び出したりすることも簡単にできま
タダで使える「SMS用の電話番号」をゲットしてやっかいなSMS認証を回避する!!
＊追記＊：こちらは2013年の記事であり、現在のサービスではSMS認証を回避できない場合が多いです。ご使用の際はご注意ください。 最近ではウェブサービスやアプリを使う際のアカウント登録で、『SMSで認証』が必要なことがあります。SMSの電話番号を入力し、そこへ認証コードが送られてくる、という物ですね。 ただこの方法では、電話番号を持っているのが前提であり、iPod touchやiPadのみしか持っていない場合には使用出来ません。それに、いくら信頼出来る企業だったとしても、電話番号を一瞬でも渡すという事もあまり気持ちの良い物ではありませんよね。 私もちょうどYouTubeのアカウント確認でSMS認証が必要になってしまいましたので、自分の電話番号を使わない別の解決策を行ってみたいと思います。 ということで、無料で出来る「SMS用の電話番号」を取得する方法！を見ていきたいと思います。（ほぼ私用の
パスワードをハッシュ化する方法（.NET 4.5とWinRT) 訂正 - かずきのBlog@hatena
コードバグってたので訂正しました。 ストレッチングがかけれてなかった。フィードバックありがとうございました。 パスワードをハッシュ化する方法（.NET4.5 & WinRT）
Webアプリケーション向けのセキュリティスキャナ「skipfish」を使う | OSDN Magazine
近年では多くの分野でWebアプリケーションが使われるようになり、大量の個人情報や重要な秘密情報を扱うようなアプリケーションも少なくない。そのため、Webアプリケーションも攻撃対象として狙われやすくなっている。今回はWebアプリケーションのセキュリティ対策として、Googleが公開しているセキュリティ調査ツール「skipfish」を使ったセキュリティスキャンを紹介する。 Webアプリケーションに特化したセキュリティ調査ツール「skipfish」 今日では、Webブラウザ経由でさまざまな操作を行えるWebアプリケーションが広く浸透している。Webブラウザは最近のほぼすべてのPCにインストールされており、専用のクライアントを用意せずにアプリケーションを操作できるというのがその浸透の理由の1つだ。しかし、Webアプリケーションでは簡単にその一部（HTMLやJavaScript）のソースコードを閲覧
【警報】ここ数日でGmailの乗っ取りが半端ない件。２段階認証も突破の恐怖!!｜More Access! More Fun
朝起きて驚いた・・・!! 受信フォルダにGmailのアカウントを乗っ取られた方々からのスパム多数。｢アカウント乗っ取られました。スパムを削除してください」とのメールも複数。Facebookでは自分もやられた、との報告とお詫びが並んでいる。 あわてて自分のアカウントをチェック どこから??ってここからです。Gmailのアカウントの「アカウントアクティビティ」 自分のは乗っ取られておりませんでした。一応安心。 実はGmailのアカウント乗っ取りは今に始まったわけではない。年初あたりにもいろいろなブログなどで警告が書かれていた。しかし実際にまとまって複数の乗っ取られたアカウントからのスパムが来たのははじめてです。一気に広まった?? メールヘッタを見るとGmailの送信サーバを使っているようだ。アドレス帳の全員に同報で同じメールを打ってます。 メールのタイトルは「FW:」「greetings」など
LastPassの代替ツールとなりうる、パスワード管理ツール3選＋α | ライフハッカー・ジャパン
モバイルバッテリーとは呼べない。「ほぼポタ電」なコレ1台で有事の時もアウトドアも大活躍!【AmazonスマイルSALE】
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
アクト・ツー、無料で利用できるホワイトリスト型ウイルス対策ソフト 
複合機や家電の不要な公開サーバーは「SHODAN」で発見を、IPAが利用法を指南 