Auth0

前回の続きです。 NestJSで作成したAPIにAuth0の認証/認可を追加する 〜準備編〜 NestJSで作成したAPIにAuth0の認証/認可を追加する 〜準備編 その２〜 NestJSで作成したAPIにAuth0の認証/認可を追加する 〜認証編〜 前回でトークンによる認証機能を実装することができましたが、 今のままでは認証が通っているユーザーであれば誰でもすべての操作ができてしまいます。 今回はゴールイメージで設定した２種類のロールを作成し、RBACを実装します。 この記事ではまずAuth0側の設定を行います。 参考記事 auth0.com 最終的なゴールイメージ 【実装済み】CRUDの…

前回からの続きです。 NestJSで作成したAPIにAuth0の認証/認可を追加する 〜準備編〜 NestJSで作成したAPIにAuth0の認証/認可を追加する 〜準備編 その２〜 今回は、以下の記事を参考に前回作成したサンプルAPIに認証機能を追加します。 Full-Stack TypeScript Apps: Developing a Secure API with NestJS 前提 Auth0のアカウントがあること 1. Auth0にAPIを設定する 参考部分へのリンク Auth0 ダッシュボードにアクセスし、「Applications」>「APIs」>「+ Create API」ボタ…

前回の続きです。 popy1017.hatenablog.com APIの中身は凝らないと言っていたのですが、 さすがに味気なかったのでテストデータを作成してそれを操作するようにしたいと思います。 1. Item エンティティの修正 2. リポジトリクラスの作成 3. ItemsService を修正する 動作確認 この時点のソースコード 1. Item エンティティの修正 src/items/entities/item.entity.tsを修正します。 今回は適当にid、name、priceを持つようにしました。 export class Item { id: string; name: s…

NestJSで作成したAPIにAuth0の認証/認可を追加し、認証状態やロールによってAPIの実行可否を制御できるようにしていきます。 この記事では、準備段階としてNestJS側の実装をします。 また、前提としてUdemy講座でNestJSの基本を知った上で進めています。 以下の講座は、NestJSの知識ほぼゼロの状態でもかなりわかりやすく、APIの実装から認証機能の追加、DBの操作やユニットテストの書き方まで網羅されているため非常におすすめです。 click.linksynergy.com 最終的なゴールイメージ CRUDのAPIがある: POST /items GET /items GET…

こんにちは、認証基盤のサーバサイドエンジニアをしている佐草です。 現在弊社では、クライアント認証機能の開発においていくつか課題があり、そのため新規に認証基盤を構築しました。 今回の記事では認証基盤をどういった経緯で構築し、どういった点が難しかったかなどを紹介したいと思います。 登場人物 用語 解説 クライアント 求人募集をする企業様 ユーザー クライアントに所属する個人 IDaaS Identity as a Service 認証機能を提供するSaaS Auth0 Okta社が提供するIDaaSの一種 管理画面 クライアント向けに提供するサブシステム ディップでの認証事情 ディップのサービスに…

請求管理ロボのエンジニアリングマネージャーの白坂です。 先月2022年2月に、請求管理ロボでは認証基盤としてAuth0を導入しました。 導入検討から4ヶ月ほどかけてリリースしたのですが、これまで独自で作り込んでいた認証の機構に対して認証基盤サービスを導入することになったため導入した経緯や当社でIDaaS選定に際してポイントになったことを紹介します。 現在稼働しているシステムへIDaaS導入を検討している方の参考になればと思います。 どうしてIDaaSを導入したのか？ 導入サービス決定のポイント 1. 導入のための実装コストが低い 2. BOT検知などのセキュリティ強化が容易 3. IDaaS利…

今までのVAddyの脆弱性診断では、VAddyが発行する認証htmlファイルを検査対象サーバに設置が必須でした。 そのため認証ファイルが置けないAuth0、AWS Cognito、Azure AD B2CのようなIDaaS利用アプリケーションは検査時にシナリオの再現ができず、それらはログインセッションが有効な間だけVAddyで検査できる状況でした。 新機能と制限 今回、サーバ所有者確認をスキップする機能をリリースしました。これにより、IDaaSのログインリクエストも検査のシナリオ（クロール記録）に含めることができ、VAddyの検査時にセッションが切れても自動的にAuth0などに再ログインして検…

TL;DR Cognito IDプールではIDプロバイダURLに「/」を入れてしまうとIssuer検証時にURL末尾の「/」がダブってしまい必ず検証に失敗してしまう。 OpenID Connect (OIDC) IDプロバイダを利用して一時認証キーを発行するとき、同一IDプロバイダを使う場合であってもCognito IDプールとSTSを直接使う方法で別々のIDプロバイダを追加しなければならない。 OIDCプロバイダで認証したユーザーに対してIAM一時認証キーを発行する Auth0などのOpenID Connect ID プロバイダーで認証されたユーザーに対してAWSリソースへのアクセスキーを発…

jpstripes.connpass.com コロナ禍で止まっていた JP_Stripes 大阪のリブートです！ セッション 「Stripeのおさらい（または、初めてのStripe）」 Stripe・小島さん speakerdeck.com カード情報透過式 カード流出とか心配しなくていい クレカだけじゃない！ Apple Pay や Google Pay も使える 電車とかひと目があるとこでも使いやすい カードと違って貸し借りできずセキュア サブスク対応 多通貨対応 Stripe Tax で税周りも対応 API 充実 開発早い！入金早い！状況把握が早い！ 3.6%のカード手数料 バーチャル口…

isc.sans.edu 1:New Year Old Tricks: Hunting for CircleCI Configuration Files https://isc.sans.edu/diary/New%20year%2C%20old%20tricks%3A%20Hunting%20for%20CircleCI%20configuration%20files/29416 新年になっても古いトリックを使用し続ける脅威アクターがいる。この記事では、CircleCIの設定ファイルを標的にしている攻撃を紹介している。CircleCIは、ソフトウェア開発のワークフローを自動化するためのサービ…

ということに next lint を触っていて気づきました。公式ドキュメントにもそう書いてありました。 next lint runs ESLint for all files in the pages, components, and lib directories. It also provides a guided setup to install any required dependencies if ESLint is not already configured in your application. (https://nextjs.org/docs/api-reference/…

auth0の人と打ち合わせ。悪い人ではなさそうだが、んー、まぁ、営業なんかな。電算に使ってもらえるかは、、、むずかしいかなぁ。

Terraform: Up and Running (English Edition)作者:Brikman, YevgeniyO'Reilly MediaAmazon 読んで重要だと感じた内容を列挙します． サンプルなどソースコードは，以下のレポジトリに MIT license で公開されています． GitHub - brikis98/terraform-up-and-running-code: Code samples for the book "Terraform: Up & Running" by Yevgeniy Brikman 1. Why Terraform Terraformの特…

仕事最終日、急にAuth0の打ち合わせ。 エンタープライズエディションは高いが、マルチテナントにしなければ、まぁ使えないことはないかもな。