Granular Permissionsで実現する、もっとsecureなBtoB Slack App開発 / Develop more secure BtoB Slack Apps with Granular Permissions

1 Granular Permissionsで実現する、もっとsecureなBtoB Slack App開発 ɹɹʛɹɹ© 2020 PLAID Inc.
2020.02.04ɹɹʛɹɹ2020 Kick-oﬀ Meetup @ Slack Japanɹɹʛɹ

2 2020.02.04ɹɹʛɹɹ2020 Kick-oﬀ Meetup @ Slack Japanɹɹʛɹ ɹɹʛɹɹ© 2020 PLAID
Inc. ⾃⼰紹介池上純平株式会社プレイドプロダクトスペシャリストエンジニア採⽤元富⼠通ポッドキャスター若⼿エンジニアキャリア⽀援書籍執筆完全⾷イベント司会 twitter : @jumpei_ikegami 29

本⽇のテーマ 3 ɹɹʛɹɹ© 2020 PLAID Inc. 2020.02.04ɹɹʛɹɹ2020 Kick-oﬀ Meetup @
Slack Japanɹɹʛɹ Granular Permissionsで実現する、もっとsecureな BtoB Slack App開発作ったものこれまで Granular permissions 対応⽅法今後まとめ話すこと

Inc. 会社紹介その前に

ɹɹʛɹɹ© 2019 PLAID Inc. 5 yyyy.mm.ddɹɹʛɹɹEvent name hereɹɹʛɹ 株式会社プレイドについて株式会社プレイド
東京都中央区銀座6-10-1 GINZA SIX 10F 設⽴：2011年10⽉従業員：130名資本⾦：1億円 ※資本準備⾦含む

Inc. KARTEについて $9 ސ٬ମݧ ϓϥοτϑΥʔϜ

Inc. KARTEについて ֬ೝ͢Δ جຊαʔϏε΍͝ར༻ํ๏Λ͝঺հ͠·͢ɻ ͓ಘͳಛయ΍໾ཱͭ৘ใ͕ຬࡌͰ͢ɻ ॳΊͯͷํ΁ ְתּׅ然钠ׅ׷ 6*رؠ؎ش٦׌ֽוזַזַ♳麦׃זְծ➙ ״׶إٔؗ،حف׃׋ְהְֲ倯䗳铣דׅկ UIرؠ؎ش٦ָ濼׏גֶֻץֹ 7אךرؠ؎ٕٝ٦ٕ DESIGN RULES » CHECK ׆׏ה⢪ִ׷،؎ذي׌ֽ׾䲧ִת׃׋կ ֿך堣⠓׾ֶ鋅鷕׃זֻկ 窫㼎ծ 妜׃ְ ౙͷओ໾ɺ Ξ΢λʔ COLLECTION OUTER 嗚稊勴⟝׾㼰׃㢌刿ׅ׷׌ֽדծ֮ז׋ך椚䟝ך暟⟝ח⳿⠓ִ׷〳腉䚍ָ넝ֻז׶תׅկ 勴⟝׾㢌ִג嗚稊׃ג׫גֻ׌ְׁկ ׀䋞劄ך暟⟝כ 鋅אַ׶תׇ׿ד׃׋ַ ꟗׄ׷ ⼀⼈⼀⼈に合わせた顧客体験を提供 Webサイトの訪問者の⾏動を顧客ごとにリアルタイムに解析 $9 ސ٬ମݧ ϓϥοτϑΥʔϜ

Inc. Stats of KARTE Real-time, Large-Scale, Global sec to real-time actions 0.x events per day 3 billion stored in BigQuery 2+ PB datasets for clients 2000+ events (rows) / sec 65,000 streaming insert per month 1 PB analysis per month 60+ PB slots with ﬂat Rate US & JP 6000

Inc. 作ったもの

Inc. KARTE構成図 ΤϯυϢʔβʔ ΫϥΠΞϯτଆ γεςϜ SDK … … ΞΫγϣϯ σʔλ ΞΫγϣϯ ΞΫγϣϯ Πϕϯτσʔλ όονσʔλ όονσʔλ Πϕϯτσʔλ WebαΠτ ωΠςΟϒΞϓϦ ֎෦αʔϏε WebαΠτ ܭଌλά API call Webhook

Inc. 作ったもの γεςϜ௨஌ Ϩϙʔτ௨஌

Inc. 作ったものデモ

Inc. 作ったものこれは。。。

Inc. 作ったもの＿⼈⼈⼈⼈⼈⼈⼈⼈⼈⼈＿＞ただの通知アプリ＜￣Y^Y^Y^Y^Y^Y^Y^Y^Y^Y^￣

Inc. 作ったものそんな、ただの通知アプリの Permission scopesを考える話

作ったもの 17 ɹɹʛɹɹ© 2020 PLAID Inc. 2020.02.04ɹɹʛɹɹ2020 Kick-oﬀ Meetup @
Slack Japanɹɹʛɹ ⼀般的な通知アプリに必要なscope channels:read groups:read chat:write ﬁles:write

ɹɹʛɹɹ© 2020 PLAID Inc. 18 2020.02.04ɹʛɹ2020 Kick-oﬀ Meetup @ Slack
Japanɹʛɹ ⼼穏やかに⾒られる要求scope数 oauth画⾯作ったもの

これまで 20 ɹɹʛɹɹ© 2020 PLAID Inc. 2020.02.04ɹɹʛɹɹ2020 Kick-oﬀ Meetup @
Slack Japanɹɹʛɹ これまでのSlackの Botに与えられたscope bot

ɹɹʛɹɹ© 2020 PLAID Inc. 21 2020.02.04ɹʛɹ2020 Kick-oﬀ Meetup @ Slack
Japanɹʛɹ bot⽤scopeの中⾝は、約25種類の scopeの集合体。。。 oauth画⾯これまで

Slack Japanɹɹʛɹ 開発者の気持ちこんなに権限貰っても、扱いをミスったときのことを考えると怖い

Slack Japanɹɹʛɹ クライアントのシステム管理者の気持ちなんで通知アプリなのにこんなにscopeを取得してるんだ？怪しい。インストールしたくない

Slack Japanɹɹʛɹ KARTEを使うクライアント企業の広がり最初は中規模ECが多かったが、最近は⾦融・保険業界や⽇系⼤企業にも導⼊が進んできた

Slack Japanɹɹʛɹ Slackを使うクライアント企業の広がり（予想）最初は⼩規模Tech系企業が多かったが、最近はエンタープライズにも導⼊が進んできた

Slack Japanɹɹʛɹ エンタープライズのセキュリティチェック個⼈情報流出によるインパクトが⼤きくなっており、年々厳しくなっている（気がする）

Inc. これまでもっと、もっと細かい権限設定を。。。

Inc. Granular permissions https://medium.com/slack-developer-blog/more-precision-less-restrictions-a3550006f9c3

Inc. Granular permissions "Granular permissions now available for Slack apps"

Granular permissions 31 ɹɹʛɹɹ© 2020 PLAID Inc. 2020.02.04ɹɹʛɹɹ2020 Kick-oﬀ Meetup
@ Slack Japanɹɹʛɹ Granularとは？粒(状)の、顆粒(かりゅう)状の、 (表⾯が)ざらざらした

@ Slack Japanɹɹʛɹ Granular permissions とは？ "We’ve redesigned the bot token with a revised permissions model called granular permissions."

@ Slack Japanɹɹʛɹ Granular permissions とは？ Bot周りの権限を細かく設定できるようになった

Inc. Granular permissions https://medium.com/slack-developer-blog/introducing-the-slack-app-toolkit-3d509a15f41b

@ Slack Japanɹɹʛɹ the Slack app toolkit Permissions Block Kit Surfaces(App Home/Modal) Actions

@ Slack Japanɹɹʛɹ the Slack app toolkit 実は2019/10からオープンβが始まっていた

@ Slack Japanɹɹʛɹ Granular permissions 以前 bot （という名の最強のscope）

@ Slack Japanɹɹʛɹ Granular permissions 以後 channels:read groups:read chat:write ﬁles:write など個別に設定可能

@ Slack Japanɹɹʛɹ KARTEの Slack Appの場合 App新規リリースの少し前に Granular permissions の存在を知り、既存のソースコードを修正した

対応⽅法 42 ɹɹʛɹɹ© 2020 PLAID Inc. 2020.02.04ɹɹʛɹɹ2020 Kick-oﬀ Meetup @
Slack Japanɹɹʛɹ Slack App管理画⾯の "OAuth & Permissions" Granular Permission に切り替え、必要なscopeだけに絞る

Inc. 対応⽅法

Slack Japanɹɹʛɹ OAuth URL Pathを v2に変更 before: https://slack.com/oauth/authorize? after: https://slack.com/oauth/v2/authorize?

Slack Japanɹɹʛɹ OAuth URLに含める scopeを変更 before: https://slack.com/oauth/authorize ?scope=bot after: https://slack.com/oauth/v2/authorize ?scope=channels:read,groups:read,...

Slack Japanɹɹʛɹ access tokenを取得する methodをv2に変更 before: oauth.access after: oauth.v2.access

Slack Japanɹɹʛɹ oauth.v2.accessは oauth.accessと Responseが異なる（細かい） before: response.bot.bot_access_token after: response.access_token

Slack Japanɹɹʛɹ その後、ユーザーに再認証を依頼 access_tokenの Refreshが必要

Inc. 対応⽅法対応は簡単！！！

Inc. 今後 https://medium.com/slack-developer-blog/more-precision-less-restrictions-a3550006f9c3

今後 53 ɹɹʛɹɹ© 2020 PLAID Inc. 2020.02.04ɹɹʛɹɹ2020 Kick-oﬀ Meetup @
Slack Japanɹɹʛɹ 新規App "Starting February 21, 2020, the App Directory will require newly submitted apps to use granular permissions."

今後 54 ɹɹʛɹɹ© 2020 PLAID Inc. 2020.02.04ɹɹʛɹɹ2020 Kick-oﬀ Meetup @
Slack Japanɹɹʛɹ 既存App "Existing Slack apps on the App Directory must update by the end of 2020."

Inc. 今後

まとめ 58 ɹɹʛɹɹ© 2020 PLAID Inc. 2020.02.04ɹɹʛɹɹ2020 Kick-oﬀ Meetup @
Slack Japanɹɹʛɹ まとめ •権限周りのアップデートによって、必要なscopeだけをpick できるようになった •Granular permissionsへの対応は⽐較的簡単 •既存Appも、 2020年中に対応が必要

Granular Permissionsで実現する、もっとsecureなBtoB Slack ...

Granular Permissionsで実現する、もっとsecureなBtoB Slack App開発 / Develop more secure BtoB Slack Apps with Granular Permissions

More Decks by jumpei_ikegami

Other Decks in Technology

Featured

Transcript