Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
AWS のポリシー言語 “Cedar” で実現するアクセス制御
Search
Kento Suzuki
August 26, 2023
Technology
0
360
AWS のポリシー言語 “Cedar” で実現するアクセス制御
2023/8/26 (土)
JAWS-UG 名古屋 AVAハンズオン+re:Inforceの復習
https://jawsug-nagoya.doorkeeper.jp/events/160064
Kento Suzuki
August 26, 2023
Tweet
Share
More Decks by Kento Suzuki
See All by Kento Suzuki
バッドプラクティスから学ぶハワイアン航空で行く re:Invent
kentosuzuki
0
210
上流工程に挑戦!「俺の考えた最強サーバレス構成」が一瞬で敗北した件
kentosuzuki
2
290
S3から始めるAWS 〜S3の簡単なユースケースの紹介〜
kentosuzuki
1
580
探せぇ!お薦めAWSセキュリティワークショップ!!〜 怒涛のワークショップ 48 連戦 〜
kentosuzuki
1
680
SIEM って何?〜 Amazon OpenSearch で始める SIEM 〜
kentosuzuki
0
840
Verified Accessから始めるゼロトラストセキュリティ
kentosuzuki
1
650
復活のAWS DeepComposer 〜 古代兵器から始める生成系AI 〜
kentosuzuki
0
330
新卒入社が考える『AWSではじめるクラウドセキュリティ』を読むタイミング
kentosuzuki
0
670
Cloudflare Pages使ってみた- ついでにAWS Amplifyもワカル -
kentosuzuki
3
1.1k
Other Decks in Technology
See All in Technology
AWSで作るセキュアな認証基盤with OAuth mTLS / Secure Authentication Infrastructure with OAuth mTLS on AWS
kaminashi
0
150
20250411_HCCJP_AdaptiveCloudUpdates.pdf
sdosamut
1
110
Cross Data Platforms Meetup LT 20250422
tarotaro0129
1
480
SmartHR プロダクトエンジニア求人ガイド_2025 / PdE job guide 2025
smarthr
0
110
改めて学ぶ Trait の使い方 / phpcon odawara 2025
meihei3
1
660
フロントエンドも盛り上げたい!フロントエンドCBとAmplifyの軌跡
mkdev10
2
270
Amazon CloudWatch を使って NW 監視を行うには
o11yfes2023
0
150
はじめてのSDET / My first challenge as a SDET
bun913
1
250
Linuxのパッケージ管理とアップデート基礎知識
go_nishimoto
0
160
はてなの開発20年史と DevOpsの歩み / DevOpsDays Tokyo 2025 Keynote
daiksy
6
1.5k
アセスメントで紐解く、10Xのデータマネジメントの軌跡
10xinc
1
430
SDカードフォレンジック
su3158
1
610
Featured
See All Featured
A Modern Web Designer's Workflow
chriscoyier
693
190k
Into the Great Unknown - MozCon
thekraken
37
1.7k
Designing for humans not robots
tammielis
252
25k
Rebuilding a faster, lazier Slack
samanthasiow
80
8.9k
Building an army of robots
kneath
304
45k
Statistics for Hackers
jakevdp
798
220k
Faster Mobile Websites
deanohume
306
31k
Let's Do A Bunch of Simple Stuff to Make Websites Faster
chriscoyier
507
140k
Practical Orchestrator
shlominoach
186
11k
Fantastic passwords and where to find them - at NoRuKo
philnash
51
3.1k
The Psychology of Web Performance [Beyond Tellerrand 2023]
tammyeverts
47
2.5k
jQuery: Nuts, Bolts and Bling
dougneiner
63
7.7k
Transcript
AWS のポリシー⾔語 “Cedar” で実現するアクセス制御 8/5(⼟) JAWS-UG 名古屋 AVAハンズオン+re:Inforceの復習
2 鈴⽊健⽃ 所属 アイレット株式会社(東京) 業務 AWSのインフラ構築・運⽤ → 提案 ・Japan AWS
Top Engineer (2022, 2023) ・Japan AWS All Certifications Engineer (2022, 2023) ・ AWS Community Builder(Cloud Operations) ・iret テクニカルアンバサダー (2023) 自己紹介 自費で re:Invent へ行きます!!!!!!!
アジェンダ ❧ 本 LT の経緯 ❧ Cedar とは︖ ❧ ワークショップを通して
Cedar を触ってみた 3
1. 本 LT の経緯 Background of this Lightning Talk
Security-JAWS DAYS の登壇が決まる タイトル 探せぇ︕お薦めAWSセキュリティワークショップ︕︕ 〜 怒涛のワークショップ45連戦 〜 “「AWS のセキュリティサービスに興味があるけど、どこから
始めれば良いか分からない」という⽅に向けて、全AWS公式セ キュリティワークショップの中から、個⼈的にお薦めのワークシ ョップを紹介(CfP 応募時点では全45種類)” 参考︓AWS Security Workshop https://workshops.aws/categories/Security 5 ※注意 本日確認したところ 48 種類に増えている模様 https://jaws-tohoku.doorkeeper.jp/events/156109
全 AWS 公式ワークショップをやる 6 以下のワークショップを⾒つける 「Cedar policy language in action」
概要 Cedarは、誰が何にアクセスすべきかを記述するポリシーとしてパーミッションを定義するための⾔語です。 Amazon Verified PermissionsとAWS Verified Accessは、アプリケーションとエンドユーザーに対して きめ細かいパーミッションを定義するためにCedarを使⽤します。 このワークショップでは、アクセス制御のためのCedarポリシーを構築することで学びます。 re:Inforce でワークショップが公開された??
2. Cedar とは︖ What is “Cedar”
Cedar とは? ❧ AWS Verified AccessやAWS Verified Permission で利⽤できるAWSのポリシー⾔語 ❧
昨年の re:Invent 2022 にて発表 ❧ オープンソースのポリシー⾔語 ❧ 以下の特徴をもつ ・表現の幅広さ ← 今回紹介するワークショップではこれが体験できる ・⾼性能 ・分析がしやすい 8
表現の幅広さ スキーマと呼ばれるものを活⽤することで表現の幅広さを実現します。 スキーマとは “アプリケーションでサポートし、Cedar に認可サービスを提供させたいエンティティタイプの構造を 宣⾔したものです。Cedar は JSON を使ってスキーマを定義します。これは JSON
スキーマに似ていま すが、エンティティタイプの使⽤など、Cedar の設計のユニークな⾯では若⼲の違いが求められます” 9 IAM でいうポリシーの構造(書き⽅)を⾃分で定義できる 触ってみた結果
スキーマの例 10 ポリシー スキーマ
スキーマの例 11 ポリシー スキーマ
3. ワークショップを通して Cedar を触ってみた Experiencing “Cedar” through workshops
ワークショップの前提 13 Cedar Playground という Cedar を体験できるサイトを使うため AWS アカウントにログインする必要がない (8/5
時点では⽇本語⾮対応) https://www.cedarpolicy.com/en
Cedar Playground でできること ① 14 ポリシーとスキーマの定義の作成
Cedar Playground でできること ② 15 作成したポリシーに対して実際にリクエストを送る
Cedar Playground でできること ③ 16 許可/禁⽌を確認
ワークショップの概要 ❧ Policy playground を使って Cedarについて⼀通りの概要を体験 ❧ 基本的にポリシーやリクエストを書いて「これは通る」「これは通らない」を確認 ❧ ワークショップの最後には「実際にスキーマとポリシーを⾃分で書いてみよう」的な
応⽤問題もある → 答えもあるので、「似たようなアクセス制御を実現したい」となった際の サンプルとしても使える 17
ワークショップに出てくる例題① 18 ・⾃分がアップロードした写真は⾒れるがそれ以外は⾒れない ・⾃分の家族があげた写真は⾒ることができるがそれ以外は⾒れない ・特定のタグがついている写真だけを閲覧することができる
ワークショップに出てくる例題② 19 ・Git アプリケーションもあるよ
感想 ❧ IAMやS3のバケットポリシーやKMSのキーポリシーを書いたことがあれば ⽐較的理解できる ❧ AWS Verified AccessやAWS Verified Permissionといったサービスを検証する際に
実際にリソースを作成してしまうと費⽤が発⽣してしまうが、 Cedar Playground を使えば、無料で Cedar のポリシーやスキーマの検証ができる ❧ AWS Verified AccessやAWS Verified Permissionといったサービスを 実際に触るわけではないので、「AWSのサービスでどう使うのか」という 応⽤場⾯のイメージは付きづらい 20
Big concept Bring the attention of your audience over a
key concept using icons or illustrations 21 参加登録はこちら 懇親会登録はこちら #jawsfesta #jawsfesta2023 #実行委員長発見 ←この人 (@east_takumi) が実行委員長です! もし現地で⾒かけたら 上のハッシュタグを付けて 通報 Tweet しよう︕︕