OIDC

GitHub ActionsがOpenID Connect(OIDC)をサポートしたのは結構前の話なんですが、未だ検証できていませんでした。社内でもSecretにクレデンシャル持つのはそろそろ辞めたいよねっという話が出ていますので、検証がてら記録を残しておきます。 ゴール GitHub ActionsからAWS ECRにコンテナイメージをPushするところまでをゴールとします。 AWSの設定 IDプロバイダの作成 GitHub ActionsからAWSにOIDCで接続するには、AWS側にIDプロバイダの設定が必要です。以下のドキュメント通りにやればうまくいきます。 https://docs.g…

はじめに 以前のブログでGitHub ActionsにてAWSリソースをIaC(Terraform、AWS CDK等々)によって構築する際のIAM Roleにおける権限付与の話を書きました。 詳しくは以下をご覧ください。 ymmryt.hatenablog.com 今回はGitLab CI/CD Pipelineにおいて、同様の観点からブログを記載していこうと思います。また、各Jobにおいて取得したクレデンシャルを継承していくことで都度取得する手間からも解放していきたいと思います。 Terraformによる必要リソースの作成 GItHub Actionsの時と同様に、IAM Roleに対するA…

概要 「OAuth、OAuth 認証、OpenID Connect の違いを整理して理解できる本」を読みました。 感想を記述します。 authya.booth.pm 感想 Auth 屋（@authyasan）さんが執筆している、OAuth、OIDC 関連の書籍の 2 冊目です。 1 冊目の「雰囲気で OAuth2.0 を使っているエンジニアが OAuth2.0 を整理して、手を動かしながら学べる本」は OAuth2.0 のみで、OIDC については触れられていませんでした。 今回は OIDC がメインの書籍です。 割と OAuth2.0 の理解が前提となっています。 最初に軽い OAuth2.…

タダです. GitHub Actions で Terraoform の実行計画を PR のコメントに書くようにしていたのですが,クレデンシャルとして IAM ユーザーのアクセスキーとシークレットアクセスキーを使う運用から OIDC Provider に置き換え る検証をした際にコメントができなくなりました.この記事でその対処として調べた結果をまとめていきます. 事象の概要 事象の調査と対応概要 まとめ 関連記事 事象の概要 下記のような GitHub Actions に OIDC Provider に関する aws-actions/configure-aws-credentials を設定して…

先月10月はブログ記事を書けなかったので、今月はその分を入れて2本書きたい。 さて、OAuthに関する書籍を読んだので、その感想を書いておこうと思う。 今回読んだのはAuth屋の本を2冊読んだ。 雰囲気でOAuth2.0を使っているエンジニアがOAuth2.0を整理して、手を動かしながら学べる本 - Auth屋 - BOOTH OAuth、OAuth認証、OpenID Connectの違いを整理して理解できる本 - Auth屋 - BOOTH 最初の雰囲気～の方は商業版があり、Amazonや楽天で購入することができるが、BOOTHでPDF版を購入した。 感想と書籍内のチュートリアルが現在（20…

GitHub ActionsがOIDC (OpenID Connect)に対応したと公式から発表があったため、GCPへのアクセスを行ってみました。 github.blog GCPのWebコンソールやgcloudコマンドを使ったやり方は公式ドキュメントで紹介されているため、ここではTerraformを使ったやり方を紹介します。 docs.github.com github.com 上記の公式ドキュメントで紹介されているコマンドはデモ用のためセキュリティ的にはあまり良い状態ではありません。 今回は特定のリポジトリのみで使用できるように設定していきます。 Terraformで設定する まずはGitH…

Play Framework を始めたばかりの方向けに、サンプルを進めるうえで困ったところを共有する目的で書いています。 Play Framework 2.8.x 、および play-pac4j v5.1 を使って、Cache にあるデータとの Authority check を実装した時のメモです。 以下、目次 できたこと pac4j の認可機能ではだめだった理由 大まかな設計内容 認可用のデータを（本実装ではキャッシュから）取得する部分 (repository) 認可判定時に、データを都度取得するよう呼び出す部分 (authorizer) 参考にしたところ できたこと Cache に認可用…

IdP 引き続きやっていたが飽きていた コードが汚くなってきたのでなんとかしたい github.com プロフェッショナルSSL/TLS 7割くらい読んだ なんとなく世界観は見えてきた気がしつついろいろよくわからんところはある 暗号の勉強を雑なりにしたので読めている部分はある気がしていて良い ただし暗号技術のすべては数学とともに止まっているので TLS の学習が一区切りついたら再開したい PKI のイメージがしっかりと頭に入ってない気がする なんかずっと証明書チェーンとは、がよくわからない あと openssl のコンフィグがいまいち頭に入らない ネイティブキャンプ 久しぶりにオンライン英会話…

SREチーム(新卒)の市川恭佑です。これはカヤックSRE連載の1月号です。 みなさんの記憶に新しいと思いますが、先日CircleCIで大きなセキュリティインシデントがありました1。 このインシデントを受けて、環境変数やContextに保存された外部サービスへの認証情報を更新しながら「自分もOIDC対応しておけば......」と後悔した方も少なくないと思います。 外部サービスの例として、Amazon Web Services (AWS)に関しては、公式OrbにてOIDC連携がサポートされていたり、AWS側のIdentity and Access Management (IAM)設定を含む情報がイ…

あけましておめでとうございます。SREチーム(新卒)の市川恭佑です。 カヤック技術ブログでは本記事が2023年初エントリですが、Happy Lunar New Year!の方が違和感のない時期になってしまいました。 本年、新たにカヤックSRE連載と題した企画を始めるので、概要についてご報告します。 連載企画を始める経緯 カヤックの技術ブログといえば毎年恒例のアドベントカレンダー企画が人気ですが、これは12月限定のため、それ以外の時期にブログの更新が激減する傾向がありました。 ブログ過疎化の対策として、カヤックでは去年からSREチームで毎月1本のペースでブログ記事を出していました。 実のところ、…

Red Hat のソリューションアーキテクトの井上たかひろです。 Red Hat にはクラウドネイティブアプリの開発に役立つ、ソフトウェアのラインナップが充実していることをご存知ですか？ ここでは、それらのソフトウェア [Red Hat Application Services] に関する注目ニュースを、各製品技術に特化したソリューションアーキテクトがご紹介していきます。 今回は 2023/2月号となります。 想定読者 エンタープライズアーキテクト アプリケーション開発者 システムの提案をするSIerの方 特集1: Red Hat がひっそりと開発しているデータストア - Infinispan…

こんにちは、マネーフォワードエンジニア採用広報の acha です。 1月19日に株式会社マクアケさんと「サービスの当たり前を支える認証認可 〜マネーフォワードxマクアケ〜」と題してイベントを開催しました！ 今回はイベント資料と当日のQ＆Aでいただいた質問をご紹介できればと思います。 マネーフォワード マネーフォワードでは、各サービス共通の認証基盤「マネーフォワードID」の開発を行う部署と、事業者向けに特化した事業者基盤の開発を行う部署があります。 今回はそれぞれの部署のメンバーが、開発の経緯や今後の展望などをお話ししました。 マネーフォワードにおける認証基盤 登壇者：CTO室 IDサービス開発…

TL;DR Cognito IDプールではIDプロバイダURLに「/」を入れてしまうとIssuer検証時にURL末尾の「/」がダブってしまい必ず検証に失敗してしまう。 OpenID Connect (OIDC) IDプロバイダを利用して一時認証キーを発行するとき、同一IDプロバイダを使う場合であってもCognito IDプールとSTSを直接使う方法で別々のIDプロバイダを追加しなければならない。 OIDCプロバイダで認証したユーザーに対してIAM一時認証キーを発行する Auth0などのOpenID Connect ID プロバイダーで認証されたユーザーに対してAWSリソースへのアクセスキーを発…

TL;DR AWS STS (Security Token Service) で AssumeRoleWithWebIdentity するとき、Auth0が発行したアクセストークンに含まれるaudクレームをSTSが正しく解釈することができずにエラーになる 解決法としてはIDトークンを用いるか、Lambda Authorizerを利用する 今回問題となるケース ここではサンプルとして、ユーザー認証をAuth0で行い、AWSのリソースにアクセスして結果を返すAPIを作成します。 フロントエンドの構築 まずはAuth0のQuickstartsを読んでAuth0のアプリ設定とフロントエンドの構築をしま…

株式会社mikan バックエンドエンジニアのgamiです。最近はFactorioにハマってしまい黙々と工場を建設しています。 2023年の年明けにCircleCIからセキュリティアラートが通知され、Twitterのトレンドになるほど多くの皆さんから反応があったことをご存知でしょうか？ circleci.com mikanでもCircleCIを利用していたため、シークレットのローテーションなどの対応を実施しました。 この記事は社内用に残した対応履歴のドキュメントを社外用に書き直し、振り返りを付け加えたものです。 TL;DR 結果的にmikanのシステムには問題ありませんでした。 CircleCI…

純正 Provider の有無は CDKTF のプロバイダーから検索 https://github.com/orgs/cdktf/repositories?q=cdktf-provider- 下記ページのまんま(リンク抜粋してるだけだし) Providers - CDK for Terraform | Terraform | HashiCorp Developer 各プロバイダーの API は HCL と同じ どんな設定ができるか？だとか、HCLと VSCode の「定義へ移動」(F12) を使って調べればわかる。 Input Variables の使い方が謎 cdktf cli では、現時点…

はじめに 近頃、認可サービスを立てるためにkeycloakを触る機会がありました。Ansibleを使ってkeycloakの設定を行う場合は専用のモジュールを利用することも可能ですが、痒いところに手の届かない感じで細かな設定に対応しきれないことがあります。そこで、 uri モジュールを利用してkeycloakのAPI経由で設定する方法が一手段として考えられます。 ただし、さすが認可機能を提供するためのソフトウェアだけあって、keycloak自体のAPI操作も認可フローを介して操作する必要があります。このため、アクセストークンの取得が必要になるわけですが、今回は簡単に実装を紹介します。 準備 Po…

1: 以下、5ちゃんねるからVIPがお送りします 2022/03/19(土) 12:32:05.988 id:mhEh8YSj0 web系であればフロントエンド、バックエンド、インフラなんでもござれ わからなきゃ調べて適当に答える 仕事の息抜き

Java - HttpClient への SSL 実装での javax.net.ssl プロパティについて (+Quarkus 少々) 前提知識メモ javax.net.ssl に関して HTTP Client ライブラリ編 Quarkus についてメモ さいごに Java - HttpClient への SSL 実装での javax.net.ssl プロパティについて (+Quarkus 少々) 前提知識メモ トラストストア 自らが信頼する CA（Certificate Authority:認証局）のルート証明書または中間証明書を保存する場所（ファイル）。 クライアント側が認証するサーバー側…