JAWS-UG 名古屋 AVAハンズオン+re:Inforceの復習

Transcript

1. ワタシを忘れないで Amazon Verified Permissions 2023.08.05 JAWS-UG Nagoya
2. Who am I? ▪古賀巧(@koara__fftr) 　27歳 ▪最近 社内開発へ異動 ▪音楽 ▪AWS Lambda 　SageMaker Data Wrangler ▪Stirlingはトモダチ
3. Contents ・Amazon Verified Permissions ・RBACとABAC、そしてPBACへ ・まとめ・感想
4. Amazon Verified Permissions？ お客様が構築するアプリケーションのためのスケーラブルなアクセス許可の管 理およびきめ細かな承認サービスです。デベロッパーと管理者は、表現力豊か で分析可能なオープンソースのポリシー言語であるCedarを使用して、ロールと 属性を使用してポリシーベースのアクセス制御を定義し、よりきめ細かくコンテ キストに応じたアクセス制御を行うことができます。
 
 https://aws.amazon.com/jp/verified-permissions/

5. アプリケーション内の認可
6. RBAC Role-Based Access Control - STATICな権限制御 事前に定義したロールをユーザーに1つ以上割り当てて権限を制御 階層構造の組織だと上手く機能する ロールが1人のユーザーに特化したものではないため DAN☆DAN☆管理が難しくなっていく
7. ABAC Attribute-Based Access Control - DYNAMICな権限制御 ユーザーの属性に基づいてRBACより細かく権限を制御 ABACはRBACよりも権限が動的になり管理が難しい 実装･デバッグに時間がかかる
8. ポリシー{ RBACでベースの権限を付与して ABACで属性ごとの権限を追加する } Hybrid Access Control ー PBAC Amazon Verified Permissions
9. Amazon Verified Permissions Hybrid Access Control ー PBAC ・パフォーマンスは？ >数百のポリシーと数千のエンティティを含む 一般的な認可の検証は1ms以内に処理される らしい ・可用性は？ >高い可用性とスケーラビリティを実現するように設計さ れている らしい
10. Cedar ABACを実現するための柔軟な表現力 実行速度 ( 中身はRust ） 可読性 検証
11. Cedar permit ( )でロールベースの権限を定義 permit { } で属性ベースの権限を定義
12. Amazon Verified Permissions 料金 https://aws.amazon.com/jp/verified-permissions/pricing/ 承認リクエスト数 ポリシー管理リクエスト数 (CreatePolicy、UpdatePolicy、GetPolicy、ListPolicy API )
13. まとめ・使ってみた感想 ・良いと思ったところ 権限を一元管理できる 簡単に認可を実装 管理が楽 Cedarが読みやすい&書くのも簡単 ・うーーん キャッシュされないので毎リクエスト課金される ドキュメント
14. Amazon Verified Permissions ワークショップ