はじめに カミナシでID管理・認証基盤を開発しているmanaty（@manaty0226）です。 カミナシではAmazon Web Services（AWS）上で認証基盤を構築して動かしています。特にOpenID Providerのコア機能含めて内製しており、さまざまなOAuth拡張仕様を駆使してお客様の要求やプロダクト機能の実現に寄与しています。今回は、相互TLS（mTLS: mutual Transport Layer Security）と呼ばれる、クライアントとサーバーがともに証明書を提示して安全に接続する技術に立脚したRFC 8705 OAuth 2.0 Mutual-TLS Client Authentication and Certificate-Bound Access Tokens（以下、OAuth mTLSと呼びます）を実現するために検討した内容を書きます。 仕様自体の話

困っていた内容 オリジンを S3 として CloudFront を使用している。 存在しないオブジェクトにアクセスすると HTTP ステータスコード 403 Forbidden が返ってきてしまう。 これを、HTTP ステータスコード 404 Not Found を返すようにしたい。 どう対応すればいいの？ オリジンとして設定している S3 のバケットポリシーに、s3:ListBucket アクションを許可する設定を追加します。 また、Resource 句にバケットのルートを追加します。 設定前 { "Version": "2008-10-17", "Id": "PolicyForCloudFrontPrivateContent", "Statement": [ { "Sid": "1", "Effect": "Allow", "Principal": { "AWS": "arn:aws:

システムの運用を始めたばかりの頃は誰もが不安でいっぱいです。よくある不安と対処法を書きましたのでご覧ください。 はじめに 皆さまがシステムを運用にするあたり、様々な不安を抱えていらっしゃると思います。 そういったよくある「不安」を書き出し、解消するための対策や参考ページなども記載しましたので、本記事をご覧いただいている皆さまには抱えている不安を淡々と潰していただければと思います。 【ケース1】大量のアクセスによる高負荷への不安 近日中に Web サイトの広告を出す予定だが、現状のままで増加するアクセスに対応できるのか不安がある 以下のような対策が考えられます ELB（Elastic Load Balancing）を使用し、Webサーバー（Amazon EC2）の複数台構成にする アクセス数や負荷に応じて自動で Webサーバー（Amazon EC2）の台数を増やす（スケールアウト）、減らす（

後はcontent以下のディレクトリにMarkdown形式でファイルを置いていったりするだけです。 Themeも用意されており、簡単に導入できます。 hugoの導入は以下が詳しいです。 Hugo | Quick Start サイトを生成する hugo コマンドを実行することで、public以下に生成されます。 S3に設置する public以下に生成されたサイトを設置します。 パブリックアクセスを許可したS3 bucketを設置し、public以下をコピーします。 その後、プロパティからStatic website hostingを有効にします。 東京リージョンに設置した場合、以下のbucket名を置き換えることでアクセス出来るはずです。 https://[bucket_name].s3-website-ap-northeast-1.amazonaws.com CloudFrontを通す C

過去このブログでも取り上げてますが、AWSにおいて脆弱性診断を実施する際に、侵入テスト申請というものが必要となります。 ペネトレーションテスト（侵入テスト）- AWS セキュリティ｜AWS この侵入テスト申請について、実は2017年9月頃にアップデートがあり、申請フォームの内容が従来と変更されておりますので、こちらに変更点などをちょっとまとめておきます。 今後、侵入テストを申請される方の少しでもご参考になれば幸いです。 また、アカウントが無い方は申請フォームの中身を見ることができないので、キャプチャした現時点（2017年10月20日）の申請フォームの画像データもアップしておきます。 従来との変更点は？ 従来との大きな変更点として、今まではEC2やRDSしか診断の対象とすることができなかったのですが、以下のマネージドサービスを正式に診断の対象とすることができるようになりました！ EC2 RD

タイトルの通りです。 キャッシュしないCloudFrontなんて何に使うの？って感じなんですが、最近 AWS WAF がリリースされたりして、ELBのように前段に挟むだけでも意味があると思っています。 動的コンテンツが多いと恩恵は受けにくいのですが、それでも静的なファイルのみを指定してキャッシュを配信したり、DDoS対策したり…これから新たにウェブサービスのアーキテクティングする際はとりあえず間に噛ませておく、というのが良いと感じています。 ディストリビューションの設定 デフォルトの設定から変更するべき箇所を列挙します。 Create Distribution の画面で入力、変更する箇所を列挙します。 Origin Settings Origin Domain Name: クリックしてELB一覧からオリジンとなるサーバーを選択 Origin ID: 任意で（ELB設定時にデフォルトで付与さ

先日、CloudFrontでクラウド破産しかけたのでkeyCDNというCDNサービスを試してみた。 keyCDNはお手頃で何かと便利なのだが、日本語情報がとてつもなく少ないので紹介がてら使ってみた感想などをまとめておく。 keyCDNとは何か keyCDNとは、スイスのベンチャー企業がやっているCDNサービス。 世界中にエッジロケーションがあり、ちゃんと東京にも用意されてある。 数あるCDNサービスの中でkeyCDNを選んだ理由は、 S3をオリジンにできる 転送料金が安い(CloudFrontの東京リージョンの場合に比べて約1/3) 東京にエッジロケーションがある アクセスログなどが見られる素敵なダッシュボードがある というところ。 特にCloudFrontの転送料金ははじめの10TB(東京): $0.14/GB*1に対して、keyCDNの転送料金は、はじめの10TB: $0.04/GBと

ちなみに、本来CloudFrontとELBは取捨選択するものではなく、両方を使うことでお互いの機能を補完することができます。今回のCloudFront as Reverse Proxy構成でも、Webサーバーの手前にELBを組み合わせることが可能です。 それでは、それぞれの機能について少し詳しく見ていきます。 CloudFrontのキャッシュ機能 CloudFrontの最低限の用語をここで押さえておきます。CloudFrontでは、元のコンテンツを持つWebサーバーをオリジン、オリジンへの振り分けルールをビヘイビアと呼びます。CloudFrontによるキャッシュ動作の流れを以下に示します。 初回アクセス クライアントがCloudFrontのキャッシュサーバー(エッジロケーション)にアクセス キャッシュサーバーは、ビヘイビアを確認しオリジン(WordPressのWebサーバー)にアクセス オ

#概要 ##CloudFrontとは CloudFrontはAWSのCDN(Contents Delivery Network)サービスで、Webサイトの前段に入れるだけでサイトアクセスが爆速になります。爆速になる理由は主に下記2点。 初回リクエストはCloudFrontがオリジンにコンテンツを取りに行きますが、2回目以降は超高速でCloudFrontのキャッシュから返答します。ただし、TTL(有効期間)を過ぎたキャッシュは削除されます ユーザーがアクセスするCloudFrontのエッジロケーションは全世界に54ヶ所(2016年1月現在)あり、ユーザーはネットワーク的に最も近いエッジロケーションに誘導されます。それぞれのエッジロケーションは、超広帯域なネットワークと超大容量なキャッシュ処理機構に支えられており、ユーザーがサイジングに悩む必要はありません メディア暴露によるスパイク、いわゆる

多くの企業が、今年中にWebサービスの暗号化を進めなくてはいけなくなったかと思います。 Webに接続するiOSアプリは2017年1月からHTTPSの使用が絶対条件になる、デベロッパーはご注意を | TechCrunch Japan ということで、基本的な内容ではありますが、AWSにおけるSSL証明書の扱いについて復習してみます。 AWSで扱う証明書の種類 ここでいう種類とは、EV SSL だの ワイルドカードだの、証明書の製品としての種類ではありません。 １つは AWS Certificate Manager（以下、ACM）の無償証明書、もう１つは従来のSSLサーバ証明書販売サイトで購入する有償証明書、の２種類となります。 それぞれの証明書を、AWSのリソースにどのように登録し、運用していくかについてまとめていきます。 ACMの証明書を利用する 2016年1月にリリースされ、5月にはTok

はじめに AWSチームのすずきです。 無料で使えるSSL証明書発行サービスとしてリリースされたAWSのACM、 テスト環境での動作や、公式ページのドキュメント、FAQなどの確認を通じて確認できた仕様などについて、 紹介させて頂きます。 ACMで出来ること SSL証明書の発行 証明書の仕様 鍵の暗号化方式はRSA、鍵長2048ビット、SHA-256 証明書の認証局（CA）はAmazonになります ルート証明はStarfield Services（Go Daddy系列、業界シェア上位）です。 料金 証明書の発行費用は無料です。 証明書を利用するELB、CloudFrontの実費のみで利用です。 対応環境 99％のOS、ブラウザに対応するとされています。 Windows XP SP3、Java 6 以降の対応 OSベンダのサポート対象となる現行OS、ブラウザ環境であればまず問題なく利用出来る事が

はじめに AWSが提供するACM（AWS Certificate Manager）、 CloudFront、ELB（2016年4月17日より東京リージョンでも利用可能になりました）で利用できる、 HTTPS通信用のサーバ証明書を、追加費用なく利用できるサービスです。 AWSの無料SSL証明書サービスCertificate Manager について調べてみた ACMではサーバ証明書の作成時、対象ドメインの正当な保有者である事の確認のため、 メール認証が行われます。 通知先はwhoisに登録されたドメインの管理者と、 admin@<ドメイン> administrator@<ドメイン> hostmaster@<ドメイン> postmaster@<ドメイン> webmaster@<ドメイン> 宛に確認URLを含むメールが送信されます。 今回、 上位ドメインに委任されたサブドメインのみ、Route5

The document provides an overview of an AWS webinar on CloudFormation that will cover: 1) An introduction to CloudFormation and how to get started with it. 2) Development, testing, deployment, and operation methods for CloudFormation. 3) The webinar is intended for those new to CloudFormation or already using it to learn about useful CloudFormation features and efficient automation methods in 2020

本日、AWSがSSL/TLS証明書のマネージドサービスをリリースしたので早速使ってみました。 New – AWS Certificate Manager – Deploy SSL/TLS-Based Apps on AWS | AWS Official Blog リリース情報、ドキュメントより ACM takes care of the complexity surrounding the provisioning, deployment, and renewal of digital certificates 証明書のプロビジョニング, デプロイ, 更新を管理してくれるとのこと。 Certificates provided by ACM are verified by Amazon’s certificate authority (CA) AmazonのCAによってベリファイされた証明書

概要 S3+CloudFrontで認証付きURL発行して、認証なしのアクセスを弾きたい。 設定手順 S3バケットの作成 コンテンツ格納先のS3の作成をします マネージメントコンソールからS3をクリック バケットの作成をクリック 任意のバケット名を入力して作成をクリック 作成されたらプロパティをおして、アクセス許可の項目を確認 現在はなにも設定されていないので、 「バケットポリシーの追加」などしか表示されていない CloudFrontの設定 S3のファイルを配信するCloudFrontを設定します マネージメントコンソールからCouldFrontをクリック CreateDistributionをクリック デリバリーメソッドの選択 今回はWebコンテンツの配信なのでWebの項目から「Get Started」をクリック Origin Domain Nameの項目をクリックして、 先程作成したS3