こんにちは。先日、サーバーレスおじさん担当を拝命したわけですが、ちょっと久しぶりにMySQLの話ばっかりしている状況が楽しい照井@さっぽろです。RDSのIAM認証が来て、LambdaからRDSを使いやすくなったので、しょうがないということにしておきましょう。 さて、IAM認証の登場によってオンライン処理でLambdaからRDSを使う際の一番の課題であった、セキュリティと遅延のトレードオフである「VPC Lambda 10秒の壁」（参考）が一定の解決をみたわけですが、依然としてLambdaからRDSを使う際

こんにちは、バックエンドエンジニアのじょーです。大規模なサービスのAPIを開発する際に、ルールを決めずに開発していると無秩序なコードが散見される運用がしづらいAPIになってしまいます。また、ルールを決めたとしても共有が上手くいかないなどの理由で守られなくなってしまうこともあると思います。 本記事では、APIを運用しやすくするために、ただルールを決定しただけではなく、ルールを守るためにそれぞれ仕組み化をしたことを紹介します。 APIのレスポンスを統一する デコレーターを使ってレスポンスの定義を綺麗に書く パ

こんにちは、技術3課の紅林です。社内のドラゴンクエスト部の活動が活発な昨今です。わたしが好きなドラクエの曲は「戦火を交えて」です。 今回、Alert Logic社の提供するサービスの中のWAFに該当するWeb Security Managerを使ってみましたので、サービス概要、導入の流れ等をご紹介します。 はじめに：Alert Logicとは Alert Logic(以下、適宜AL)はAlert Logic社が提供するSecurity-as-a-Serviceソリューションです。 IDS/WAF/SIEM

APIStudy #5参加レポート 2月21日、高円寺のヴァル研究所にてAPIStudy#5が開催されました。これはAPI設計のベストプラクティスを皆で考えるというLTとワークショップの形式で行われている勉強会になります。 今回はその参加レポートになります。 APIを巡る動き まず最初に主催であるアプレッソの脇野さんによる発表がありました。この1、2月の間にAPI関連のニュースをよく見るようになったそうです。例えば次のようなニュースがありました。 デバイスAPIはどこまで使える？最新事情を紹介──HTML

こんにちは、Cloud Automator 開発チームの山田です。 Cloud Automator はサービス開始時より、AWS環境におけるセキュリティ強化を支援する機能を提供して参りました。 また、サービス開始後も「セキュリティグループにインバウンドルールを追加/削除するアクション」や「構成レビュー機能」などセキュリティ関連の機能を強化しております。 先ほど「IAMユーザーにポリシーをアタッチアクション」と「IAMユーザからポリシーをデタッチアクション」をリリースし、皆様の Cloud Automato

こんにちは、カスタマー・サポート課のマツシタです。 AWSアカウントの特にrootアカウントは多要素認証（MFA）を設定することが強く推奨されています。ただ、多要素認証を設定するだけで安全と言えるでしょうか？ 今日はAWSアカウント運用のセキュリティのさらなる強化を考えてみたいと思います。 多要素認証に今、求められているもの 多要素認証を設定しない場合、AWSアカウント発行時に設定したメールアドレス（＝rootアカウント）とパスワードだけで最高権限でAWSアカウントにアクセスできてしまいます。多要素認証を

こんにちは、インフラストラクチャー部の沼沢です。 今回は、CloudFront + S3 での IP アドレスベースのアクセス制限を実現する方法をご紹介します。 実現したかったこと 特定の外部拠点から参照されるファイルを S3 に配置したい 独自ドメインが使いたかったため、CloudFront を前段に用意 ファイルへのアクセスを特定の外部拠点の IP アドレスのみに制限したい S3 の URL への直アクセスはさせたくない これを実現しようとしてググってみると、 CloudFront の IP アドレス

APIは一般的にプル型の技術です。クライアント側からアクセスがあるまでは待ちの状態になります。クライアント側から見ても、サーバ内部でどのデータが更新されているのかはアクセスしてみるまで分かりません。この手の問題で厄介になるのが「どのデータが削除されたのか」が確認しづらいということです。すべてのデータを見た上で、抜け落ちていれば削除されたといった確認方法であったり、処理の履歴を見て判断すると言った方法になってしまいます。 そこでサーバ側からでもデータの更新を伝えられる方法を使って、クライアントとのコミュニケ

こんにちは。システム本部の山田です。 (この記事は mediba Advent Calendar 2016 の19日目です) 弊社では機械的に実施する脆弱性診断はOWASP ZAPを利用しており、アプリを立ち上げGUIから脆弱性診断を実施しています。ただ継続的に実施していくには面倒でつい後回しになるため、自動化して開発プロセスに組み込む検討を始めました。 調査の際に作ったOWASP ZAP APIを使ったサンプルの紹介をします。 サンプルコード こちら 利用技術 Docker OWASP ZAP php-

みなさんこんにちは！ 12月に入社しました、 インフラストラクチャー部のあだちん(安達)です。 まだ入社したばかりなのに、もうブログ書くの！？ てな感じですが笑 さてさて、 medibaでは検証としてAWSを思う存分使える制度があります。 (hoge万円まで)→素晴らしい しかし、開発メンバーらが、そのままインスタンス起動しっぱなしで、 コストが上がったり。。 セキュリティーグループなどぐちゃぐちゃ。。 インフラメンバーが毎回コンソール入って一つ一つ確認するのは とても荷が重い。。。。 今回はLambda

前前回の記事「サーバーレスへの道(1) ~DevOpsと人~」前回の記事「サーバーレスへの道(2) ~アーキテクチャとセキュリティ~」に続き、A Cloud Guru の John McKim (@johncmckim) さんがサーバーレスについての記事「Adopting Serverless — Outsourcing」を書いてくれました。John さんに許可をいただきまして翻訳してみました。 https://twitter.com/johncmckim/status/80099645968851353

APIは外部リソースからデータを取得して他のデータと合わせて自分たちのサービスに付加価値を追加できますが、同じように外部からデータを取得する手法としてスクレイピングが知られています。今回はスクレイピングとAPIの違いを紹介します。 スクレイピングとは？ スクレイピングはサーバサイドのプログラミング言語を使って外部サーバへアクセスし、そのコンテンツから自分たちの欲しい情報を引き出す手法です。多くはHTMLを返す場合に使われ、DOMを解析したり正規表現を使ってデータを抜き出します。 スクレイピングはサービスが

前回の記事「サーバーレスへの道(1) ~DevOpsと人~」に続き、A Cloud Guru の John McKim (@johncmckim) さんがサーバーレスについての記事「Adopting Serverless — Architectures and Security」を書いてくれました。John さんに許可をとったうえで翻訳してみました。 https://twitter.com/johncmckim/status/793660981968642048 ↓ここから翻訳↓ サーバーレスへの道(2)

こんにちは、Cloud Automatorの柳瀬です。 全ページをSSL化してセキュリティを高めるウェブサイトが増えておりますが、SSLサーバー証明書の運用管理は手作業となることも多くそれなりのコストがかかります。 こちらの記事でご紹介したように、AWS には Certificate Manager という SSL 証明書の運用管理を簡単にするサービスがあり、前回のリリースで「タグで指定されたディストリビューションにCertificate Managerが使われていること」というポリシーテンプレートを公開

Webブラウザは常にセキュリティ、ユーザへの安全なインターネット提供を前提に作られています。そのため外部リソースを組み合わせて使うAPIとは相性が悪いことがあります。iOSやAndroidといったスマートフォンアプリやサーバサイドのプログラミング言語では当たり前のようにできることがWebブラウザではできないのです。 今回はAPI利用時に注意したいJavaScriptによる外部リソース取得方法について紹介します。 JSONP HTML4の時代において、JavaScriptから外部リソースを取得する方法は限ら