JAWS-UG 名古屋 AVAハンズオン+re:Inforceの復習

Transcript

1. ワタシを忘れないで
   Amazon Verified Permissions
   2023.08.05 JAWS-UG Nagoya
   

   View Slide

2. Who am I?
   ■古賀巧(@koara__fftr)
   　27歳
   ■最近 社内開発へ異動
   ■音楽
   ■AWS Lambda
   　SageMaker Data Wrangler
   ■Stirlingはトモダチ
   

   View Slide

3. Contents
   ・Amazon Verified Permissions
   ・RBACとABAC、そしてPBACへ
   ・まとめ・感想
   

   View Slide

4. Amazon Verified Permissions？
   お客様が構築するアプリケーションのためのスケーラブルなアクセス許可の管
   理およびきめ細かな承認サービスです。デベロッパーと管理者は、表現力豊か
   で分析可能なオープンソースのポリシー言語であるCedarを使用して、ロールと
   属性を使用してポリシーベースのアクセス制御を定義し、よりきめ細かくコンテ
   キストに応じたアクセス制御を行うことができます。

   

   https://aws.amazon.com/jp/verified-permissions/

   

   View Slide

5. アプリケーション内の認可
   

   View Slide

6. RBAC
   Role-Based Access Control - STATICな権限制御
   事前に定義したロールをユーザーに1つ以上割り当てて権限を制御
   階層構造の組織だと上手く機能する
   ロールが1人のユーザーに特化したものではないため
   DAN☆DAN☆管理が難しくなっていく
   

   View Slide

7. ABAC
   Attribute-Based Access Control - DYNAMICな権限制御
   ユーザーの属性に基づいてRBACより細かく権限を制御
   ABACはRBACよりも権限が動的になり管理が難しい
   実装･デバッグに時間がかかる
   

   View Slide

8. ポリシー{
   RBACでベースの権限を付与して
   ABACで属性ごとの権限を追加する
   }
   Hybrid Access Control ー PBAC
   Amazon Verified Permissions
   

   View Slide

9. Amazon Verified Permissions
   Hybrid Access Control ー PBAC
   ・パフォーマンスは？
   >数百のポリシーと数千のエンティティを含む
   一般的な認可の検証は1ms以内に処理される らしい
   ・可用性は？
   >高い可用性とスケーラビリティを実現するように設計さ
   れている らしい
   

   View Slide

10. Cedar
    ABACを実現するための柔軟な表現力
    実行速度 ( 中身はRust ）
    可読性
    検証
    

    View Slide

11. Cedar
    permit ( )でロールベースの権限を定義
    permit { } で属性ベースの権限を定義
    

    View Slide

12. Amazon Verified Permissions 料金
    https://aws.amazon.com/jp/verified-permissions/pricing/
    承認リクエスト数
    ポリシー管理リクエスト数 (CreatePolicy、UpdatePolicy、GetPolicy、ListPolicy API )
    

    View Slide

13. まとめ・使ってみた感想
    ・良いと思ったところ
    権限を一元管理できる
    簡単に認可を実装
    管理が楽
    Cedarが読みやすい&書くのも簡単
    ・うーーん
    キャッシュされないので毎リクエスト課金される
    ドキュメント
    

    View Slide

14. Amazon Verified Permissions ワークショップ
    

    View Slide