Security JAWS #6

Transcript

1. View Slide

2. • 名前
   • 牧⽥ 延⼤
   • 所属
   • F5ネットワークスジャパン
   • SEマネージャー （エンタープライズSE および パートナーSE）
   • 略歴
   • ⾦融系インフラSE
   • R&D、プログラマ（HDLC, PPP, 802.1x, RADIUS, SOAP, HTTP,..）
   • プリセールス
   

   View Slide

3. View Slide

4. はヒネって
   

   View Slide

5. セキュアなS3アクセス
   

   View Slide

6. View Slide

7. •
   •
   Private Subnet Public Subnet
   Internet
   gateway
   Amazon
   S3
   bucket
   NAT
   App
   Internet
   

   View Slide

8. 2015. 春
   

   View Slide

9. View Slide

10. •
    •
    Private Subnet
    Amazon
    S3
    bucket
    endpoints
    App
    

    View Slide

11. 2017. 夏
    

    View Slide

12. •
    •
    •
    •
    •
    •
    

    View Slide

13. •
    

    View Slide

14. •
    •
    Private Subnet Public Subnet
    Internet
    gateway
    Amazon
    S3
    bucket
    App
    Internet
    BIG-IP
    eth2 eth1
    

    View Slide

15. •
    •
    •
    •
    •
    •
    •
    •
    •
    •
    

    View Slide

16. •
    meets
    

    View Slide

17. •
    •
    HTTP
    リクエスト
    Internet
    Amazon
    S3
    iRules (TCL)
    iRulesLX (node.js)
    API call
    RPC
    HTTP
    リクエスト
    

    View Slide

18. Internet
    gateway
    Public Subnet
    Amazon
    S3
    bucket
    Internet
    App
    BIG-IP
    Private Subnet
    http://bigip.local/s3buket/document.pdf
    IAM
    S3 pre-sign url request
    AWSAccessKeyId=IAMAccessKEY
    &Expires=1234567890&Signatur
    e=XXXXXXXXXXXX
    https://s3.amazonaws.com/s3buket/document.pdf?
    AWSAccessKeyId=IAMAccessKEY&Expires=1234567
    890&Signature=XXXXXXXXXXXX
    PDF
    インターナルなURLに
    HTTPアクセス（署名なし）
    IAMユーザで時限署名
    URLをリクエスト
    署名付きURLを発⾏
    HTTPSで、S3のFQDNに、
    署名付きURLでアクセス
    バケットからドキュメント
    をレスポンス
    

    View Slide

19. •
    •
    •
    •
    •
    •
    •
    •
    •
    •
    

    View Slide

20. ちょっとデモ
    

    View Slide

21. •
    •
    •
    NAT VPC
    エンドポイント
    BIG-IP
    IAM認証＆
    pre-signed URL
    ▲ アプリで実装
    ▲ アプリで実装
    ● BIG-IPで巻取り
    経路の暗号化 ▲ アプリで実装考慮
    ● 閉域接続
    ● HTTPS対応
    APIセキュリティ ▲ 別途考慮
    ▲ 別途考慮
    ● WAFあり
    パフォーマンス ▲ 考慮が必要
    ● 基本的に考慮不要
    ● キャッシュあり
    値段 ● 安い
    ● 安い
    ▲ ちょい⾼い
    

    View Slide

22. F5 アップデート
    

    View Slide

23. 写真撮影無しでお願います (◍•ᴗ•◍)♡ ✧*。ｵﾈｶﾞｲ
    

    View Slide

24. New
    •
    •
    

    View Slide

25. •
    •
    Elastic Load
    Balancer
    App
    App
    App
    App
    Elastic Load
    Balancer
    Amazon
    CloudWatch
    Amazon
    SNS
    Amazon
    S3
    Elastic Load
    Balancer
    App
    App
    App
    App
    Amazon
    CloudWatch
    Amazon
    SNS
    Amazon
    S3
    エンハンス
    New
    Availability Zone Availability Zone
    Auto Scaling group
    Auto Scaling group
    Availability Zone Availability Zone
    Auto Scaling group
    Auto Scaling group
    

    View Slide

26. View Slide

27. View Slide