#セキュリティ
15 件の記事
GitHub Actions 講座 #9 セキュリティ対策 — permissions 最小化、SHA 固定、pull_request_target
GITHUB_TOKEN のデフォルト権限を読み取りに下げ、ジョブごとに必要な権限だけを開く最小化から始めて、タグが可変であることから生まれるサードパーティアクションのサプライチェーンリスクと SHA 固定、Dependabot 自動更新の組み合わせを扱います。シークレットが漏れる代表的なルートである pull_request_target の罠と、タイトルやブランチ名の展開が生むスクリプトインジェクションの防御まで整理します。
Terraform 運用 #4 セキュリティ・コストスキャン — trivy、checkov、Infracost で PR ガードレール
セキュリティ設定のミスを apply の前に捕まえる静的スキャナー trivy と checkov を比較して導入し、誤検知の例外処理を理由つきでコードに残すルールを決めます。Infracost で PR に月額コストの変化をコメントとして表示してコストレビューをデプロイ前の段階に引き上げ、default_tags ベースのコスト追跡までつなげて PR ガードレールを完成させます。
Terraform 実践 #6 シークレット管理 — SSM vs Secrets Manager、write-only 引数
シークレットの保管先として SSM Parameter Store と Secrets Manager をコストと機能で比較して選択基準を立て、Terraform 1.11 の ephemeral リソースと write-only 引数で DB パスワードが plan にも state にも残らない構成を作ります。アプリケーションがシークレットをランタイムに読む流れまで設計し、前回の平文問題を構造的に解決します。
GitHub Foundations #8 Domain 6: プライバシー・セキュリティ・管理 — 権限・2FA・Dependabot
リポジトリroleの5段階とOrganizationの権限モデル、2FAとPATによる認証、branch protection、そしてDependabot・secret scanning・code scanningの境界まで。GitHub FoundationsのDomain 6を整理します。
Wails 実践講座 #5 署名と公証 — デプロイしたアプリが信頼される仕組み
完成したノートアプリを、他の人の端末で警告なしに実行されるようにします。署名していないアプリが macOS Gatekeeper と Windows SmartScreen でブロックされる理由、macOS のコード署名と公証(notarytool)の手順、Windows コード署名証明書の種類と費用、そしてこの過程を CI に渡す前に知っておくべきことを扱います。
Gitに秘密鍵をコミットしたとき — キーのローテーションとfilter-repoでの履歴整理
AWSキー、APIトークン、.envファイルをコミットしてpushまでしてしまった事故の対応手順を整理します。最優先は履歴の整理ではなくキーの無効化です。filter-repoで履歴を書き換える手順と予防の仕組みまで扱います。
Django上級 #7 デプロイのセキュリティ — settings 分離、ALLOWED_HOSTS、CSRF、secret 管理
settings 分離パターン、django-environ、DEBUG/ALLOWED_HOSTS/CSRF/HSTS、SECRET_KEY 管理、manage.py check --deploy まで — Django を運用に乗せる前に点検すべきこと。
AWS上級 #6 Secrets Manager / Parameter Store
Secrets Manager と SSM Parameter Store の違い、自動ローテーション、コードからの取得 (boto3 / キャッシング / Powertools)、ECS と Lambda 統合、IaC 接続、費用比較まで — AWS シークレット / 設定管理。
RHEL 上級 #4 SELinux 上級 — ポリシー作成と audit2allow
中級で SELinux のモードとラベル、audit2allow で拒否を解く流れまで見たなら、今回はその上に 1 階上がります。.te/.fc/.if ポリシーファイルの構造、audit2allow でモジュールを自動生成する流れと限界、checkmodule・semodule_package・semodule で直接コンパイル/インストールする手順、ブール値とインタフェース活用まで 1 サイクルで扱います。AVC 拒否が出たときに最後まで追って永続ポリシーモジュールに固める流れが目標です。
Docker 上級 #3 イメージセキュリティ — non-root, distroless, Trivy スキャン
コンテナセキュリティの基本道具を一箇所に。USER で非特権ユーザに落とす、read-only ルートと tmpfs、capabilities drop、distroless で攻撃面を狭める、Trivy/Grype の脆弱性スキャン、hadolint の Dockerfile lint まで。