はてなブックマーク

本記事で取り上げているのは、自社開発のサービスではなく、外部のサービスです。 また、特定のサービスに対して批判や問題を指摘することを目的とした記事ではありません。 はじめに 会社からeラーニング受けるようにと指示があったのですが、簡単に不正ができることに気づいてしまいました。 そこで、eラーニングの締切後にこれを題材にセキュリティ勉強会を開催してみました。 勉強会の意図は以下のとおりです。 身近なアプリを題材にすることで、セキュリティ対策は身近なものだということを知ってほしい 自分たちが開発している製品のセキュリティは大丈夫か？ということを改めて考える切っ掛けになって欲しい (マネジメント側の立場から、) 不正をしている人への威嚇 (実際に不正した人がいたかは不明) どうしても開発って機能を作ることを優先してしまいがちなので、セキュリティ対策とかの非機能は知識としては重要と知っていても、な

MCPサーバーと連携するアプリ使ったら、利用料が高かった MCPサーバーと連携するチャットアプリを作っていたのですが、「開発中でほぼ自分しか使ってないのに生成AIの利用量がやたら高くね？」と思いました。 ClaudeのMaxプランが月額100ドルで使い放題であることを考えると、開発中に軽く使っただけで数千円かかるアプリなんでコスパ悪すぎて、まともに使えないですね。 調べてみた なぜそんなに高いのか分からなかったので、Claudeのログを取って調べてみました。 ログの取り方は先日書いた記事を参照ください。 そして、取得したログを確認したところ、、、 {"input_tokens":21786,"cache_creation_input_tokens":0,"cache_read_input_tokens":0,"output_tokens":85}} "input_tokens":21786

はじめに 毎日LLMで仕事をしています。2年前の作業スタイルがもう思い出せません。未経験のタスクに着手するハードルはかなり下がりました。 LLMは得意なこと、不得意なことがあります。日進月歩なので、変わっていくところもありますが、原理的に大きく変わらないところもあります。 この記事ではそういう「考え方」について書いていきます。 エンジニアじゃない方がLLMの気持ちをちょっと理解して、日頃のコミュニケーションに役立てていただければ幸いです。 LLMは文章を扱うのは得意だけど、文字を扱うのは苦手 いきなりややこしいことを書きました。LLMへのプロンプトは主に文章で、出力も文章です。（画像や音声などのマルチモーダルもありますが、基本的にはテキストです） LLMが大規模言語モデルという意味であるように、基本的にはテキストを扱うことでトレーニングされています。 ですが、LLMが実際に扱っているのは文

はじめに 日本時間で4/15の夕方頃にAWS障害が東京リージョンで発生しました。影響確認の為ににAWS Health Dashboardを読んでいました。 しかし、1行目から疑問が生じました。 午後 4:40 から午後 5:43 (日本時間) の間、AP-NORTHEAST-1 リージョンの単一のアベイラビリティーゾーン (apne1-az4) において、一部の EC2 インスタンスへの接続の問題が発生しました。 👀「apne1-az4ってどこだろう？東京リージョンのAZってaとcとdの3つではなかったっけ？結局影響を受けたリソースはどれなの？」 ということでapne1-az4が何者なのか調べてみました。 結論 まずは、結論から。 普段使っているap-northeast-1aは論理的なAZ名であり、一方でapne1-az4は物理的な場所を指すAZ IDに該当する。 AZ名とAZ IDは、

SHAで指定されたアクション自体がタグで別のアクションを呼び出していたら、その呼び出し先は呼び出した時点のタグの向き先になるため タグ指定をしていないcompositeアクションはSHA指定で安全 （ランタイムでevalしていない前提の上で）nodeやdockerタイプのアクションはSHA指定で安全 2025/3/15に、GitHub Actionの有名なサードパーティアクションが侵害される事件がありました https://semgrep.dev/blog/2025/popular-github-action-tj-actionschanged-files-is-compromised/ https://www.stepsecurity.io/blog/harden-runner-detection-tj-actions-changed-files-action-is-compromise

はじめに 最近GitHubでプルリクのレビューアーにCopilotくんをアサインすると、AIがレビューしてくれるようになりました。 アサインしてしばらく待つとレビューを付けてくれます。 今回はCopilotくんの指摘はなかったようです。 さて、この機能は非常に便利なのですが、毎回アサインするの面倒くさいですしプルリクを出す人によってはアサインしなかったり忘れたりするのはイマイチなので、勝手にアサインして毎回レビューしてもらう設定にしちゃいましょう。という記事です。 GitHub Copilotは定額なのでなるべく使いまくったほうが得ですよね！ 結論を簡単に書くと ルールセットで [Request pull request review from Copilot]を有効化 すればOK これで完全に理解した方は以降は読まなくてもよいかと思います。 まずはCopilotくんにレビューしてもらおう

GitHub Copilotのエージェントについて GitHub Copilotにエージェントが来ましたね。 GitHub Copilotのエージェントとは何かというと、GitHub公式で使えるCline的なやつですね。 これの何が凄いって、GitHub Copilotの料金内で使えることですね。 Clineって料金が基本的に青天井じゃないですか。個人で使うと破産するし、下手に会社で使うと怒られるじゃないですか高いから。安く使おうとモニョモニョすると垢バンされる恐れがあるらしいじゃないですか。 それが、GitHub Copilotのエージェントなら定額で使えるのです(少なくとも今のところは) 非常にありがたいですね(正式版では制限付くとかはやめてね) VSCode Insidersについて ということで早速試そうと思ったのですが、現時点(2025/02/10)では通常のVSCodeでは使え

はじめに console.log()を使っていますか？ コンソールデバッグをしない派の人もまったく使わないことはないでしょう。

はじめに 7月に理研によりスパコン「富岳」をAWS上で仮想化した「バーチャル富岳」が公開されました。 会社でハッカソンのイベントがあったので、社内のエンジニアと共にこれを構築して何か独自計算してみようと思いました。しかし、私はスパコン初心者。理研のシンプルなドキュメントではスムーズな導入が出来ず、2日間のハッカソンが終わった時点で、サンプルアプリを動かすまでしか出来ませんでした。 この記事は、サンプルを動かすまでを振り返って「バーチャル富岳」の構築方法を整理したものになります。 使用する主要なサービスやソフトウェア 構築には、主に以下のようなサービスやソフトウェアを使います。 AWS ParallelCluster https://aws.amazon.com/jp/hpc/parallelcluster/ AWSで高性能計算（HPC）クラスターを簡単に構築・運用できるツール。自動スケーリ

「一時保存や下書きできるようにしたい」といった要望が出てくることがあると思います。世の中のサービスでよくある機能ですしあったら便利だなと思うのも当然です。 同じ要望を受けた当時の私はその大変さに全く気づいていませんでした。 意外と考えることが多いよ、というのが伝わると幸いです。 当初明確になっていた仕様 入力フォームには必須と任意の項目があるが、必須項目が未入力状態でも一時保存できる 入力フォームにはファイルを添付できる 正式データと一時データは同じ一覧ビューの中で両方とも表示させる 一時データはユーザー単位ではなく共有される（誰かが作った一時データは自分も閲覧編集できる） 一時データは正式データに対してひとつのみ存在できる 最終的には上記以外にももっと細かい仕様になったのですが、この後の検討や設計の流れに沿って随時記載していきます。 データの持ち方の方針 方法としては以下二つの案がありま

はじめに NCDC株式会社に入社して4ヶ月が経った。 その中で、先輩エンジニアの技術トレンドを掴む力がすごかったので、自分なりに分析してみました。 なぜそう思ったか 以下は先日のSlackでのやり取りである。 NCDC標準として、Pythonのパッケージ管理ツールに何を選定するかという話題になった。 最近のPJではrye使ってるからryeでいいのでは？と言っているのが自分（考えが浅い）。 今後のトレンドを先読みしてuvも入れようと言っているのが先輩エンジニアである。 何気ない会話かもしれないけれど、自分はuvなんて初めて聞いたし、ryeの開発者のブログを見るなんていう発想は自分には全くないもので驚きだった。 そこで技術選定時の思考の流れを知りたいなと思い、1on1の際に聞いてみた。 技術選定時の思考 一般的な技術選定時の思考ってこんな感じだと思う。（少なくとも自分はこんな感じ） 技術選定を

「AWS CDKの脆弱性が発覚した」というニュース記事が流れてきたのですが、読んでも不安を煽るだけで何を言っているかよく分からない内容でした。 仕方がないので、脆弱性を報告したAqua Security社の記事を読んでみました。 非常に分かりやすくまとめてくれているので、マスコミのよく分からない記事で不安を感じている方は、原文を読むことをお勧めします。 超概要 見つかった脆弱性は、特定の手順を踏んでしまったCDK用のS3バケットを乗っ取れるという内容のようです。 脆弱性の影響の可能性があるアカウントには、2024/10/15 (日本時間だと2024/10/16かもしれない)にAWSから「Missing CDK bootstrap bucket」がタイトルに含まれるメールが送られています。 メールが来てなければセーフです。(今回の脆弱性に対しては)安全です。安心してください。 メールが来てい

こんにちは。昨年エンジニアとしてキャリアスタートし、1年ちょっと経ちました。普段はAWSを使ったアプリケーションの開発・保守をやっております。 ある日、お客さんから不具合の報告があり、ユーザーの管理に使用しているCognitoの制限が原因だったので、忘備と共有をかねて執筆させていただきます。 書くこと Amazon Cognitoとは プロジェクトから知ったCognitoの制限とその対応 その他の制限を色々調べる モニタリングしようとしたら... Amazon Cognitoとは Webアプリケーションやモバイルアプリケーションに対して、ユーザーのサインアップやサインインのための開発を容易にする機能を提供するマネージドサービスです。また、ユーザープールというユーザーディレクトリを作成し、ユーザー情報を管理することもできます。 Cognitoの制限・対策 ここから不具合の原因となったCogn

はじめに 普段はJavaScriptを主に開発を進めているのでPythonで開発を進めると様々な問題に悩まされます。 その中でもパッケージの管理については個人的に不自由をすごく感じています。Pythonのバージョンを設定するpyenv, プロジェクトごとのパッケージを管理するために仮想環境の構築、さらにパッケージのバージョンを設定するためのrequirements.txtと開発までのハードルが高すぎます。 良い方法がないかと調べていく中で全てを解決できそうなRyeというツールを見つけましたので導入方法をメモ程度に記事にしました。 導入環境はAWSのSageMaker上です。 ライブラリ管理簡単にできるようになったのでLinterとCode Formatterも追加してみました。 Ryeとは RyeはPythonのWebアプリケーションフレームワークFlaskの開発者が作ったPythonパッ

※この記事では、codecovの公式ドキュメントを参考に、codocov.ymlの設定に関わる部分をかいつまんで記載しております。 より詳細に知りたい場合は、要所要所に対応する公式ドキュメントのリンクを入れているので、そちらを参照ください。 codecov.yml codecov.ymlとは、codecovの各種設定ファイル。 必須ではなく、存在しなくてもデフォルトの設定でcodecov自体は動作するが、codecov.ymlを設定することでより様々なことができる。 主な設定項目は以下5つ。「About Code Coverage」 PRコメント ステータスチェック（PRブロック） レポートのマージ フラグ パスの操作 codecov.ymlの種類 「About the Codecov YAML」 codecov.ymlにはGlobal YAMLとRepository YAMLの2種類ある

本記事について 最近この本を読んで、実際のプロジェクトで使ってみているところです。試行錯誤の真っ最中です。 良さそうな感触はありつつ、結構大変だな〜と思うところもあったので、体感したみた感想を交えて実際の作成方法も紹介していきます。 『ユースケース駆動開発実践ガイド オブジェクト指向分析からSpringによる実装まで』 また、ユースケース駆動開発（ICONIXプロセス）自体は別の方が紹介してくれているので、本記事では詳細は割愛した上で、詳細設計や実装の話は完全に省き、要求定義〜基本設計までの流れについて書いていきます。 前提 ドキュメントの管理はGithubで行なってます VScodeを使ってMarkdownやdrawioで書いてます ざっくりICONIXプロセス ICONIXプロセスとは、UMLを描きながら、ユースケースを中心に設計していく手法のことです。 以下の手順で行います。 ドメイ

はじめに Pythonで作っているアプリのパッケージ管理にpoetryを使っていたのですが、ryeに変更してみました。この記事はその際のメモになります。 ryeの使い方自体は特に触れませんが、公式ページくらいは貼っておきます。 なぜ、poetryからryeに乗り換えようと思ったか？ pyenvを気にしなくて良くなるので、環境構築の手間が減ると思ったからです。 poetryの場合はPython自体の管理が別途必要なのでpyenvも使っていたのですが、環境構築とかよく分からないエラーが出ることがあり面倒くさいこともあったので、全部まとめて管理できるryeの方が良さそうだなぁと判断して移行してみました。 移行手順 とりあえず不要になるものを消す poetry.lock .venv .python-version poetry.lockは、ryeでは使わないので消します。 .venvは、ryeで作

本記事では、mockitoパッケージを使用したユニットテストについて記載する。 モックを使用しない基本的なユニットテストについては、下記記事に記載しております。 基本的なユニットテストについて確認したい方は、こちらぜひご参照ください。 公式のチュートリアル mockitoを使ったユニットテストについて、上記の公式チュートリアルを基に確認していく。 上記のチュートリアルでは、以下のサンプルコードで、mockitoを使用したユニットテストの挙動が確認できる。 チュートリアルのサンプルコード（コメント詳細に追加 Ver） import 'dart:async'; import 'dart:convert'; import 'package:flutter/material.dart'; import 'package:http/http.dart' as http; // アルバムデータを取得す

(2024/05/01追記) CodeWhispererがAmazon Qに吸収されたみたいです。 今から読む人は、CodeWhispererをAmazon Qに読み替えていただければと思います。 言いたいこと VSCode上でAmazon CodeWhispererに脆弱性診断をさせてGitHub Copilot Chatにその解説をさせると、とても捗るよ。 もう少し細かい説明 GitHub CopilotやAmazon CodeWhispererって何？ GitHub Copilotは、IDE上でAIがコーディングの補完をしてくれるGitHub提供のサービスです。 Amazon CodeWhispererは、IDE上でAIがコーディングの補完をしてくれるAWS提供のサービスです。 つまり競合しています。比較用に両方を使ったことがある人はいても、日常的に同時使用している人は少ないのではな

Amazon QのVSCode拡張のはなし Amazon Qが発表されましたね。ChatGPT的なやつ。 クラメソさんの記事を貼っておきます。 個人的には、日本語にも対応してないしChatGPTで十分では？と思いました。 そう思ったのですが、、、 VSCodeを開いたらAmazon Qの拡張が来てる！！ので試してみました。 単独の拡張機能ではなくAWS Toolkitの中に入っています。 使用するにはAWS Builder IDでログインが必要です。通常のAWSアカウントとは別の開発者向けのIDで、CodeWhispererやCodeCatalystを使ったことがある人以外は持っていないかもしれません。その場合は新規作成しましょう。 使い勝手はCopilot Chatとあまり変わらない感じです。コードを選択して、解説やリファクタやバグ修正をしてくれます。普通にチャットすることもできます。

この記事の趣旨 AWSのインフラを構築できるIaCツールっていろいろありますが、結局どれがいいのかよく分からないので、簡単なサーバレスAPIを作ってみて比較してみようと思いました。 アーキテクチャ Amazon API Gateway + AWS Lambda で、超シンプルなサーバレスAPIを作ります。 作ったもの この記事では作ってみて感じた違いを書いていくので、コードを触りたい人はこちらのGitHubを見てください。 コードが本体ですので、この記事は蛇足です。 今回使ったツール AWS CDK プログラミング言語（TypeScript、Python、Java、C#、など）を使用して、AWSのインフラを構築できるツール Serverless Framework (文字を打つのが面倒なので以下slsと書きます) サーバーレスアプリケーションを開発、デプロイ、および管理するためのオープンソ

会社で使っている某Webサービスを触っていたところ、気づいたのです。 このWebサービスのAPI、認証がかかってないので個人情報を取り放題だと。 正直なところ自分が開発や運用に関わっているサービスでもないので面倒くさいことに巻き込まれたくはないです。登録セキスペに重課金するのを止めた身からすれば改善の協力をする義務も無いですし。でも、放置して「実は以前から知ってました」ということがバレたら色々疑われるじゃないですか。個人だったらまだいいんですけど、会社で使っていたサービスなので放置するのもリスクが大きいと考えました。自社の情報どころか自分の個人情報が漏れる可能性もありますし。 ということで、IPA(独立行政法人情報処理推進機構)に「脆弱性関連情報の届出」をすることにしました。 この記事は、Webサービスの脆弱性を見つけたときはこういう窓口があるよという紹介になります。 IPAの脆弱性関連情

Lambda Web Adapterとは？ 一言で言うと、「様々なWebフレームワークで作られたコンテナで動くWebアプリを、超簡単にLambdaで動かせるようにする」仕組みです。 この、超簡単にというところがポイントで、本当に超簡単です。 具体的には、Webアプリ用のDockerfileに以下の1行追加するだけでLambda Web Adapterが使えるようになります。 COPY --from=public.ecr.aws/awsguru/aws-lambda-adapter:0.7.0 /lambda-adapter /opt/extensions/lambda-adapter 以下の公式のドキュメントに記載のある通り、公式の実装例では以下のフレームワークが例として挙げられているようですが、基本的には任意のWebフレームワークで動作します。 Python : FastAPI, Fla

(2025/3/3追記) tasklist廃止になるみたいです。。。 概要 私は普段、PMとして複数の開発案件のプロジェクトマネジメントをしています。 エンジニアなら実装に、デザイナーならUI作成に、そしてPMならそれらの管理に集中できるようタスクの作り方や管理方法を日々模索しているわけですが、調べてみても「具体的なタスクの作り方のベストプラクティス」があまり出回ってない印象です。 本記事では自分がどのようにタスク管理しているかを具体的に紹介してみようと思います。 前提 ソースコードはGithubで管理しています 実装タスクは Github issue と Projects機能 で管理しています Beta版のタスクリスト機能を使ってissue同士の紐付けを行なっています ウォーターフォールでもアジャイルでも使ってます Projects機能 Githubの標準機能で、issueをカンバンやリ

主な使い方は２つ。 拡張機能ウインドウで使用。 コードの回答はチャット欄に回答される。 コード上で直接使用。 コードの回答は直接コード上に表示される。 前提条件 GitHub Copilotが導入済みであること。 エディタはVSCodeを使用していること。 使用準備 GitHub Copilot Chatを有効化する GitHubのsettings/copilot/policies から GitHub Copilot Chatを有効化する。 拡張機能の「GitHub Copilot Chat」をインストールする 拡張機能ウインドウで使用 チャット形式なので、基本的には質問したい内容を質問すればOK。 コードの回答はチャット欄に回答される。 使用方法 拡張機能をインストールした後、表示されるアイコンを押下するとチャット画面が開く。 表示中のコードを自動的に読み込んだ上で、質問に回答してくれる

これは何の記事？ SSHの公開鍵を用いたユーザー認証の概要や、その仕組みについての入門的な記事です。 想定読者 SSHがよくわからない人 SSHを使うが、「公開鍵で認証してるんだよね」の中身がよくわかっていない人 私自身が曖昧な理解だったところを整理して書いたので、同じような方の参考になれば。 用語・概念の整理 SSHとは？ まず、そもそもSSHとはなにか、整理してみます。 SSH(Secure Shell)とはリモートホストのシェルを利用(今回の目的はこれ)したり、遠隔操作をするためのプロトコル(取り決め) 上記のプロトコルを実装したソフトウェアを指す場合もある SSHのプロトコルにはバージョン1, 2が存在する[1] パスワード認証、公開鍵認証など複数の形式でユーザー認証を行うことができる OpenSSH、PuTTY(Windows)などさまざまな実装がある 公開鍵という言葉が出てきま

以前、テスト全体で使用する環境変数の設定方法について書きました。 今回は、各テストファイルで共通的にモックを用意したい場合と、特定のテストファイルでは使用しないための設定を書きます。 やりたいこと 各テスト共通的にモックを用意したい 例えばAPIの認可メソッドなど jwtなどからユーザ情報を取得するメソッドはAPIテストの際にはモック化したいので、テスト全体で認可メソッドのモックを作りたい 認可メソッド自体のテストは行いたい 認可メソッドのテストファイルではモックをアンマウントしたい モック化したモジュールが返す中身をテストファイル毎に設定したいときがある やり方 共通的にモックを用意する jestの設定ファイルのsetupFilesまたは、setupFilesAfterEnvオプションを使用します。 モックを用意するファイルを指定します。 setupFiles、setupFilesAft

タイトルの通りです。 私のAzure力がなかったため、当初は所謂ServerlessでWEBアプリを作ろうと考えていたアプリを最終的にContainerで構築した話を書きます。 そもそもサーバレスってなに？ wikipediaによると、、 サーバーレス・コンピューティング（Serverless computing）とは、クラウド・プロバイダーがアプリケーションに必要なマシン・リソースの割り当てを動的に管理し、事前に購入されたことに基づく請求ではなく、各アプリケーション要求を満たすために使用される個々のリソース量に基づいた請求を行うようなクラウド・コンピューティングの実行モデルである。 ざっくり言ってしまうと、AWS LambdaなどのFaasサービスを使って、サーバーをほぼ意識することなくアプリを作ってしまうことですね。 アプリの構成 当初構想 AWS Lambdaに相当するAzureのサ