この記事はGoogle Cloud Platform Advent Calendar 2020の18日目です。 はじめに LinuxサーバやWindowsサーバに「rootやAdministoratorなどの特権アカウントで入らない」というのは良く利用。。。と言うかもはや鉄板中の鉄板のプラクティスだと思います。rm -rf / tmp/hogehogeを実行して顔を青くしたことがある人もいるのでは？ このような事故を防ぐために最小権限で通常はアクセスする考え方を 「最小権限の原則 (The least privilege principle)」 と呼びます。 (wheel権限が付いてるにしても)サーバへのログインで特権ユーザそのものを使う人は流石にほとんど無いと思います。でも、クラウド環境そのもの、つまりGCPコンソールへはオーナー権限等の特権アカウントで入ってしまう怠け者のエンジニアは誰

※この投稿は米国時間 2020 年 7 月 31 日に、Google Cloud blog に投稿されたものの抄訳です。 すべてのデベロッパーは、次のデプロイが成功するという確証を求めています。 しかし、急に 100% のトラフィックにデプロイしては、何か問題が発生したときにリスクが生じかねません。ベスト プラクティスは、変更を段階的にロールアウトして、新しいバージョンのコードで新たな不具合やエラーが発生しないかを確認することです。実際 Google では、4 日かけてコンポーネントの多くのロールアウトを行っています。 Google のフルマネージド コンテナ コンピューティング プラットフォームである Cloud Run を使用すれば、変更のロールアウトをより詳細に管理できます。Cloud Run サービスの構成を変更した場合は常に、新しいリビジョンが作成されます。デフォルトでは、Clo

メルペイSREチームの @tjunです。この記事は、Merpay Tech Openness Month 2020 の19日目の記事です。 今日は、メルペイSREチームのオペレーションのために開発して利用している Qray(クレイ) というツールの話をします。 はじめに メルペイでは、Google Cloud Platform(以下GCP)を利用してサービスを構築し動かしています。 GCPには Cloud Identity and Access Management (IAM) という権限管理の仕組みがあります。IAMを適切に管理して、アカウントに最低限の権限を付与することがクラウドサービスを安全に利用するためには必要なことです。これはSREが持つ本番環境に対する権限についても同様で、できるだけ本番環境に対する権限を持たないようにしておきたいのですが、障害対応など本番環境でのオペレーション

こんにちは、はじめまして。メルカリでデータエンジニアをしている、しゅう (@shoe116)です。Mercari Advent Calendar 2018の3日目を担当することになりました。 メルカリではデータの活用が盛んな一方で、実はデータ処理を専門にやるエンジニアが最近まで存在しておらず、そんなこんなで僕がSREチームにデータエンジニア第1号としてjoinしました（実はこのあたりはメルペイのが少し先んじていて、あっちにはすでにデータプラットフォームチームがあって、僕は今彼らと一緒に並んでコードを書いている）。今日は僕らがGoogle Cloud Platform（以下GCP）に作っている、メルカリ（とメルペイ）の新しいログ収集基盤について簡単に紹介しようと思います。 メルカリの既存ログ収集基盤について 「新しいログ収集基盤を紹介しようと思います」と書いた数行後にこの章を持ってくるのは自

YouTube is now cracking down on ad-blocker usage globally, by showing warnings about breaking the platform’s terms of service. In some cases, the company is preventing users from viewing more vi

ゲスト投稿 : ML API、Cloud Pub/Sub、Cloud Functions でサーバーレス のデジタル アーカイブを構築した Incentro 編集部注 : 今回はデジタル サービス プロバイダーで Google パートナーでもある Incentro の投稿記事をお届けします。同社は先ごろ、デジタル アセット管理ソリューションを Google Cloud Platform（GCP）で構築しました。このシステムでは、デジタル アセットの検索やタグ付けのために Cloud Vision API や Cloud Speech API などの機械学習（ML）サービスを使用するほか、サーバーレス ソリューションを自動化するにあたって Cloud Pub/Sub と Cloud Functions を使っています。本稿ではその実現方法を同社に解説していただきました。 私たち Incent

Google、「Kubernetes Service Catalog」と「Service Broker」を発表：KubernetesクラスタからGoogle Cloud Platformサービスを手軽に利用できる Google Cloud Platform（GCP）上のKubernetesクラスタや、オンプレミスのKubernetesクラスタからGCPサービスへの接続を容易にする「Kubernetes Service Catalog」と「Service Broker」の各β版が間もなくリリースされる。 Googleは2018年4月26日（米国時間）、Google Cloud Platform（GCP）でホストされているKubernetesクラスタや、オンプレミスのKubernetesクラスタからGCPサービスへの接続を容易にする「Kubernetes Service Catalog」と「G

BeyondCorp is Google's implementation of the zero trust model. It builds upon a decade of experience at Google, combined with ideas and best practices from the community. By shifting access controls from the network perimeter to individual users, BeyondCorp enables secure work from virtually any location without the need for a traditional VPN. BeyondCorp began as an internal Google initiative to e

はじめまして。 アドテクスタジオ インフラエンジニアの村井翔太朗(@Show_murai)です。 本記事は CyberAgent Developers Advent Calendar 2017 の 8 日目の記事となります。 私はアドテクスタジオのインフラ横断組織のCentral Infrastructure Agency(以下CIA)に所属しています。 CIAからアドベントカレンダーには6人参加しているので、 是非他のメンバーの記事も合わせてお読み下さい。 アドテクスタジオではパブリッククラウドのメインストリームの2つである、 Amazon Web Service(以下AWS)とGoogle Cloud Platform(以下GCP)を主に利用しています。 はじめに この記事を書こうかと思ったモチベーションとしては、 アドテクスタジオで利用しているパブリッククラウドとしてAWS、GCPを

プロローグ GCP(Google Cloud Platform)とAWS(Amazon Web Service)の間のSite-to-Site VPN通信（クラウド間VPN通信）は、超簡単にできる！ GCPの「VPN接続」機能とAWSの「VGW(Virtual Private GW)」は、直結可能！ Azureの「仮想ネットワークゲートウェイ」とAWSのVGWは、（数年前は）繋げなかった... 確か「どちらが先にグローバルIPアドレスを払い出す？」問題。 ARM版では未検証。 AWSのようにWindows-VPNを試してみたが、不発... 詳細は（エピローグ中の）「gcpとAWSのNW観点の差異」をご参照。 手順 [gcp] 外部IPアドレス(以下、この値をGIPと呼ぶ)を取得する。 AWSのVGWはグローバルIPアドレスが自動的に割り振られる（＝Uncontrollable）なので、gc

こんにちは。アドテクスタジオでネットワークエンジニアをしている山本 孔明です。 コンテナ流行ってますね。そんなコンテナを使いたいとなった時にクラウドで利用することを考える方も多いと思います。今日は、AWS と GCP の2つのパブリッククラウドサービスで提供されているコンテナのマネージドサービスである「Amazon EC2 Container Service (ECS)」と「Google Container Engine (GKE)」の比較をしてみました。 はじめに Google Trend の結果を見てみます。ECS で検索すると他のワードが入ってきたりとノイズもありますので、それぞれ正式名称で比較しています。 やはりどちらもコンテナのマネージドサービスとして同程度の関心をもたれていることがわかります。 1. サービス概要について 簡単に両者のサービスを説明します。 1-1. GKE G

こんにちは。グリフォンでインフラエンジニアをしている徳田です。 日々運用しているインフラの改善や新規ゲームのインフラ設計などを行っているのですが、先日、グリフォンで4年運用しているブラウザゲーム「不良遊戯　シャッフル・ザ・カード」(以下、不良遊戯)のインフラをGoogle Cloud Platform(以下、GCP)へ移設しました。今回は、その時の経緯や設計、行った作業やTipsについてご紹介します。 経緯 大まかな経緯として、 インフラコストの削減 パフォーマンスの向上 インフラ環境の整備 技術的な挑戦 がありました。しかし、事の発端は私がGCPを使いたい・試してみたいというなんとも自分勝手な提案だったのですが（笑）。 「インフラコストの削減」と「パフォーマンスの向上」については、不良遊戯をリリースしたのが2014年の5月で3年経っており、リリース時に比べVMのコア単価が安く、CPU性能

IT 戦略の一環として複数ベンダーのクラウド サービスを併用したいと考える企業は少なくありません。そうすることで、さまざまなクラウド ベンダーが提供する独自のサービスを活用できるほか、災害や復旧の際にアプリケーションの可用性を保てるからです。 ただし、複数ベンダーのクラウドを運用していくには、プロバイダーによって異なる IAM（ID およびアクセス管理）のポリシーを扱うなど、より洗練された計画や管理が必要となります。さまざまなプラットフォームでリソースやデータを保護する際にカギとなるのは、正しい IAM ポリシーを設定することなのです。 私たち Google は先ごろ、Amazon Web Services（AWS）に備わる IAM の利用経験があるユーザーを対象に、Google Cloud Platform（GCP）の IAM ポリシーについて記したガイドを公開しました。AWS と GC

projects.locations.workloadIdentityPools.providers.operations

フィードバックを送信 コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。 Google Cloud コンソールを使用して IAM ロールを付与する Google Cloud コンソールを使用して、プリンシパルにプロジェクト レベルで IAM ロールを付与する方法を学習します。 次の動画をご覧ください。 このタスクを Google Cloud コンソールで直接行う際の順を追ったガイダンスについては、[ガイドを表示] をクリックしてください。 ガイドを表示 始める前に Google Cloud プロジェクトを作成する このクイックスタートでは、新しい Google Cloud プロジェクトが必要になります。 In the Google Cloud console, go to the project selector page. Go to project sel

フィードバックを送信 IAM の概要 コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。 このページでは、Google Cloud の Identity and Access Management（IAM）システムの仕組みと、IAM を使用して Google Cloud でアクセスを管理する方法について説明します。 IAM を使用すると、特定の Google Cloud リソースに対するアクセス権をきめ細かく設定し、他のリソースへのアクセスを防ぐことができます。IAM を使用すると最小権限のセキュリティ原則を導入できます。この原則では、必要以上に多くの権限を付与しないことが規定されています。 IAM の仕組み IAM では、誰（ID）がどのリソースに対してどのようなアクセス権（ロール）を持つかを定義することにより、アクセス制御を管理します。たとえば、Compu

フィードバックを送信 コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。 BigQuery の IAM ロールと権限 このドキュメントでは、BigQuery の Identity and Access Management（IAM）のロールと権限について説明します。IAM を使用すると、特定の BigQuery リソースに対するアクセス権をきめ細かく設定し、他のリソースへのアクセスを防ぐことができます。IAM を使用すると、最小権限のセキュリティ原則を適用できます。この原則では、必要以上に多くの権限を付与しないことが規定されています。 プリンシパル（ユーザー、グループ、またはサービス アカウント）が Google Cloud API を呼び出す場合、そのプリンシパルにはリソースを使用するための適切な IAM 権限が必要です。プリンシパルに必要な権限を付与するに