2018、19日目の記事です。今年入社したElixir大好きっ子の@ttokitです。Elixir好きをアピールしつつ、この記事はElixirとは何の関連もありません。2018に参加してきました。この記事では、私が聴講したセッションについて簡単にまとめます。新発表のサービスやキーノートなどについては、AWSの公式サイトや日本語記事がたくさんありますので、適宜探してください。いくつか参考リンクを掲載しておきます。(CEO)特にオススメです。このキーノートを生で聴講して、私はAWSのファンになりました。(CTO)会場の規模感は、この動画の最初の部分が分かりやすいかも。以下の点は予めご了承ください。一部、意訳が含まれる部分がありますが、翻訳精度は保証されません。全セッションについて、原文へのリンクを掲載していますので、正確な英語記述についてはそちらをご覧ください。タイトルにある通り、参加セッションの一部を載せています。全部書こうとして間に合わなかったわけではありません。引用について:本記事内の画像は、一部を除いて各セッションのスライドから引用させていただいております。linkを記述はしていませんが、セッション毎にスライドへのリンクを記述していますので、そちらをご覧ください。私はre:Inventへの参加は初めてですし、入社1年目で、AWSを業務として触った経験が長いわけではありません。実際の業務に直結する、というよりも自身の興味を基にセッションを選びました。re:Inventでは各セッション毎に以下の種類やレベルがあります。Typeは"Session"が大人数が参加可能な講義形式ですが、その他は少人数制のものが多く、予約の段階で埋まっているものも多々ありました。Yellowなど)で区切り、様々なセッションの中継を大画面モニターで映す形式です。一つ一つの椅子にヘッドフォンが用意されており、それを着用します。"Overflow"は予約不要なので、(開始時間が合えば)時間潰しにセッション聴講したり、急遽予定していたものとは別のセッションを聴く、といったことも可能です。残念ながら英語スキルが壊滅的な私は、Sessionをメインにスケジュールを組みました。当初はIntroductoryのSessionを多くしようと考えていましたが、興味のあるセッションを選ぶうちに、最終的にはAdvancedの方が少し多いくらいの構成になりました。(Expertに挑む勇気は無かった。Gatewayに基づくサーバレスアプリケーションのセキュリティモデルについて。Managerなどのサービスも紹介。AdvancedContent参考リンクSlideShareIntroductionいくつかのAWSサービスについての紹介。Cognitoウェブアプリケーションやモバイルアプリケーションの認証、許可、ユーザー管理をサポートするサービス。Bto*、IoT向けなど、様々なシナリオが用意されている。サインアップ、サインイン機能や、サインインの為のUI、ソーシャルサインイン機能などを有したユーザープールと呼ばれるユーザーディレクトリがある。Store設定データ管理のための階層型ストレージ。IAMと統合され、階層ツリーの個々のパラメータまたはブランチに対して、細かいアクセス制御が可能。CloudTrail自身のAWSアカウント内のユーザーアクティビティとAPI使用状況の追跡。操作上のトラブルシューティングを支援する。ConfigAWSリソースの設定を評価、監査、審査できるサービス。以降は、様々な脅威シナリオと、それを解決する為の方法を紹介する形で講義が進む。doorエンドユーザーによる単純なパスワードの利用やサイト間のパスワードの使い回し。Cognitoを使う。Cognitoの高度なセキュリティ機能を有効にする。生存期間の長いcredential。Cognitoを使う。Cogniteトークンを自動的に検証する。APIの中で検証をしてはいけない。GatewayのAPIキーを定期的にrotateする。サービスは複数のAPIを持ち、その全てに対して一貫した認証が必要である。認可の実施を中央化する。Authorizerを使う。authenticationを使うことでロードバランサーのレイヤーで認証を強制する。複数の種類のトークンを許容しない。resources悪者が悪意あるinputでリソースやユーザへのアクセスを試みる。(未検証の入力値に対する脅威)全ての入力に対し、フィルター、エスケープ、サニタイズを行う。入力サイズを制限する。PreparedStatementを使う。secretや生存期間の長いcredentialがハードコードされている。secretはコードから分離して保存する。機密情報に対してLambdaの環境変数を使わない。Managerを使って、DBパスワードやその他のsecretを保存する。Storeを使って設定を保存し、secretと設定の一貫性のあるビューを提供する。trailLoggingが不完全だと、障害やエラーが起きた際のトラブルシューティングが不可能になってしまう。最低でも、誰が「いつ」「何を」したのかをログを取るべきである。X-Rayを有効化し、他のサービスに対する呼び出しについて詳細を監視する。リソースへの認可されていないアクセスログイン情報を使い回さず、分離したIAMユーザーやフェデレーションユーザーを用いる。Authentication)を有効化する。CroudTrailを使い、API権限の変更などを検知できるようにする。short今日のデジタル組織では、数分のダウンタイムでも何百万ドルも失われたり、顧客が離れていってしまう可能性がある。分析により、運用パフォーマンスやチームの生産性を向上させ、ビジネス成果を向上させる方法を紹介する。Cliffe氏がとてもユーモアのある方なので、YouTubeを見ることをオススメします。Operations48%の開発者たちが、セキュリティの重要性を理解している。セキュリティに割く時間は十分では無い。Operations「開発チームと運用チームがお互いに協調し合うことで、開発・運用するソフトウェアによってビジネスの価値を高め、それをもって顧客に価値を届ける」というDevOpsの概念にセキュリティの観点を加えたもの。マインドセットと全体論のアプローチであり、ワンパターンのアプローチでは無い。プロセスとツールの集合であり、単一のツールや手法では無い。ソフトウェアにおけるセキュリティやコンプライアンスの構築を意味しており、継続的デリバリに対してセキュリティを追加するだけでは無い。コミュニティ主導型の取り組みであり、ベンダーにより作られるものでは無い。学習と実験によって推進されるストラテジーであり、完全性とコンプライアンスによって推進される戦略では無い。2に関して、新機能や他のLinuxディストリビューションなどについて。support2023年6月までのセキュリティ・メンテナンスアップデート。CorrettoLTSが含まれたOpenJDKディストリビューション。OSまたはKVM仮想化ホストとして動作可能。CLIがインストール、設定済みのAMI。