Athenz + SPIFFE によるアクセス制御

2.6K Views

February 25, 21

スライド概要

SPIFFE Meetup Tokyo #1
https://spiffe-jp.connpass.com/event/126507/

Yahoo!デベロッパーネットワーク

@ydnjp

スライド一覧

2023年10月からSpeaker Deckに移行しました。最新情報はこちらをご覧ください。 https://speakerdeck.com/lycorptech_jp

埋め込む »CMSなどでJSが使えない場合

関連スライド

深層学習による自然言語処理入門: word2vecからBERT, GPT-3まで

Yahoo!デベロッパーネットワーク 133.6K

ゼロから始める転移学習

Yahoo!デベロッパーネットワーク 75.1K

ヤフーにおける WebAuthn と Passkey の UX の紹介と考察 #idcon #fidcon

idcon fidcon

Yahoo!デベロッパーネットワーク 64.5K

OpenID Connectとネイティブアプリを取り巻く仕様と動向 Yahoo! JAPANの取り組み #openid #openid_tokyo

openid openid_tokyo

Yahoo!デベロッパーネットワーク 52.2K

運用業務とスクラムは本当に組み合わせにくいのか︖運用業務が大半を占めるプロダクト開発での試行錯誤

devsumi

Yahoo!デベロッパーネットワーク 28.1K

ヤフーのオンプレ機械学習基盤AIPFについて #ml_kubernetes

ml_kubernetes

Yahoo!デベロッパーネットワーク 25.8K

各ページのテキスト

Athenz + SPIFFE によるアクセス制御ヤフー株式会社矢野達也 2019/05/14

自己紹介矢野達也 Web ServiceやSmartphone Appの開発/運用に従事した後、現在はAthenzの DevOpsを行うチームでProduct Ownerを担当しています。 Athenz OSSのContributorとしても活動しており、社外での活動も行なっています。今やっていること Athenz の Yahoo!JAPAN 社内での導入、機能拡充など好きなもの自動化、システム連携など Copyright (C) 2019 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 2

SVID and SPIFFE ID • SVID • X.509-SVID • JWT-SVID • SPIFFE ID • サービスを直接識別 (Identifying services directly) • サービスとそのオーナーを識別 (Identifying service owners) • 不透明（外部依存）な識別子 (Opaque SPIFFE identity) Copyright (C) 2019 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 5

SPIFFE ID • サービスを直接識別 (Identifying services directly) spiffe://staging.example.com/payments/web-fe spiffe://staging.example.com/payments/mysql • サービスとそのオーナーを識別 (Identifying service owners) spiffe://k8s-west.example.com/ns/staging/sa/default • 不透明（外部依存）な識別子 (Opaque SPIFFE identity) spiffe://example.com/9eebccd2-12bf-40a6-b262-65fe0487d453 Copyright (C) 2019 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 6

Workload API • SVID を各 Workload に配布するための仕組み • Zero Trust Network では、 SVID を配布するために Workload をどのように認証するかが課題 • Athenz では Copper Argos という検証の仕組みを提供 Copyright (C) 2019 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 7

10.

Athenzの機能 • Service Authentication • 各 Workload に X.509証明書を自動配布 (Copper Argos) • Authorization • Roleベースのアクセス制御 (RBAC) • Policy による Fine-grained Authorization Copyright (C) 2019 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 10

11.

AthenzによるX.509証明書の自動配布 (Copper Argos) • 各 Workload に X.509証明書を自動配布する仕組みを提供 • Workload をどのように認証するかはクラウド環境毎に異なる Cloud computing environments OpenStack Kubernetes Screwdriver Amazon EC2 AWS ECS AWS Lambda Copyright (C) 2019 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 11

12.

13.

14.

15.

16.

17.

18.

19.

20.

21.

22.

23.

SPIFFE ID • サービスを直接識別 (Identifying services directly) spiffe://<athenz-domain>/sa/<athenz-service> spiffe://<athenz-domain>/ra/<athenz-role> e.g.) spiffe://sports/sa/config-mgr • サービスとそのオーナーを識別 (Identifying service owners) spiffe://<provider-cluster>/ns/<athenz-domain>/sa/<athenz-service> spiffe://<provider-cluster>/ns/<athenz-domain>/ra/<athenz-role> e.g.) spiffe://k8s-west.cluster/ns/sports/sa/config-mgr Copyright (C) 2019 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 23

24.

25.

26.

Athenz • Website : http://www.athenz.io • Github: https://github.com/yahoo/athenz • Slack Channel: https://athenz.slack.com/ • Discussion Group: • Google Group: Athenz-Users • Questions or Comments: • Tatsuya Yano: https://github.com/tatyano Copyright (C) 2019 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 26

27.

28.

Appendix • Athenz with Istio https://www.youtube.com/watch?v=jhutgE6NwsM • Slides https://github.com/tatyano/SPIFFE-Meetup-Tokyo-1 Copyright (C) 2019 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 28

29.