$30 off During Our Annual Pro Sale. View Details »

JAWS-UG 名古屋 AVAハンズオン+re:Inforceの復習

koara
August 05, 2023

JAWS-UG 名古屋 AVAハンズオン+re:Inforceの復習

koara

August 05, 2023
Tweet

More Decks by koara

Other Decks in Technology

Transcript

  1. ワタシを忘れないで
    Amazon Verified Permissions
    2023.08.05 JAWS-UG Nagoya

    View Slide

  2. Who am I?
    ■古賀巧(@koara__fftr)
     27歳
    ■最近 社内開発へ異動
    ■音楽
    ■AWS Lambda
     SageMaker Data Wrangler
    ■Stirlingはトモダチ

    View Slide

  3. Contents
    ・Amazon Verified Permissions
    ・RBACとABAC、そしてPBACへ
    ・まとめ・感想

    View Slide

  4. Amazon Verified Permissions?
    お客様が構築するアプリケーションのためのスケーラブルなアクセス許可の管
    理およびきめ細かな承認サービスです。デベロッパーと管理者は、表現力豊か
    で分析可能なオープンソースのポリシー言語であるCedarを使用して、ロールと
    属性を使用してポリシーベースのアクセス制御を定義し、よりきめ細かくコンテ
    キストに応じたアクセス制御を行うことができます。


    https://aws.amazon.com/jp/verified-permissions/


    View Slide

  5. アプリケーション内の認可

    View Slide

  6. RBAC
    Role-Based Access Control - STATICな権限制御
    事前に定義したロールをユーザーに1つ以上割り当てて権限を制御
    階層構造の組織だと上手く機能する
    ロールが1人のユーザーに特化したものではないため
    DAN☆DAN☆管理が難しくなっていく

    View Slide

  7. ABAC
    Attribute-Based Access Control - DYNAMICな権限制御
    ユーザーの属性に基づいてRBACより細かく権限を制御
    ABACはRBACよりも権限が動的になり管理が難しい
    実装・デバッグに時間がかかる

    View Slide

  8. ポリシー{
    RBACでベースの権限を付与して
    ABACで属性ごとの権限を追加する
    }
    Hybrid Access Control ー PBAC
    Amazon Verified Permissions

    View Slide

  9. Amazon Verified Permissions
    Hybrid Access Control ー PBAC
    ・パフォーマンスは?
    >数百のポリシーと数千のエンティティを含む
    一般的な認可の検証は1ms以内に処理される らしい
    ・可用性は?
    >高い可用性とスケーラビリティを実現するように設計さ
    れている らしい

    View Slide

  10. Cedar
    ABACを実現するための柔軟な表現力
    実行速度 ( 中身はRust )
    可読性
    検証

    View Slide

  11. Cedar
    permit ( )でロールベースの権限を定義
    permit { } で属性ベースの権限を定義

    View Slide

  12. Amazon Verified Permissions 料金
    https://aws.amazon.com/jp/verified-permissions/pricing/
    承認リクエスト数
    ポリシー管理リクエスト数 (CreatePolicy、UpdatePolicy、GetPolicy、ListPolicy API )

    View Slide

  13. まとめ・使ってみた感想
    ・良いと思ったところ
    権限を一元管理できる
    簡単に認可を実装
    管理が楽
    Cedarが読みやすい&書くのも簡単
    ・うーーん
    キャッシュされないので毎リクエスト課金される
    ドキュメント

    View Slide

  14. Amazon Verified Permissions ワークショップ

    View Slide