re:Invent 2022 recap

1. JAWS-UG 名古屋 2022年”re:Invent”の復習~忘年会
Cedarって何？
２０２２年１２月２３日

2. 自己紹介
 名前：田中 隆博（すえぞう）
 ついったー：@led_suezou
 Note：https://note.com/ledsue
 仕事：ユーザ系IT子会社にてインフラ構築、運用を担当
 好きなAWSサービス：EC2、CDK

3. はじめに
 今日お話しすること
 re:Invent 2022で発表された新サービス「Verified Permissions」と「Verified Access」の裏にCedarという
仕組みがいるということ
 なんかIAMとは少し違うポリシー定義の仕方をするらしいので、その辺の定義の書き方とか

4. Amazon Verified Permissions（プレビュー）
 アプリケーションの権限管理機能を提供するサービス
 機能やデータに対するアクセス許可管理をアプリケーションから切り離しで開発することできる。
 アクセス許可はCedarというポリシー言語で記述

5. AWS Verified Access（プレビュー）
 組織内のシステムに対して、VPNを利用せずに安全なリモートアクセスを提供するサービス
 アクセスポリシーはCedar言語を利用して定義をする。
 接続にはChromeやFirefoxといったウェブブラウザを利用します。
デバイスのトラストデータプロバイダーとしては
以下の2つが現在利用可能
・Jamf(Mac向け）
・CloudStrike(Windows 10 or Windows 11向け)

6. …でCedarって何？
 AWSが開発した新しいDSL
 RBAC(Role Based Access Control)とABAC(Attributed Base Access Control)の両方が表現可能
 PBAC（Policy Based Access Policy）とセッションでは紹介
 評価エンジンはRustで実装
 評価時間は1ms未満
Cedar
authorizer
evaluator
• リクエスト
• エンティティデータ
• ポリシー
Allow / Deny
入力 出力

7. 各ブロックの説明
名称 解説
effect ポリシーステートメントが許可なのか、禁止なのかを指定
許可…permit
禁止…forbid
scope effectで許可/禁止されるプリンシパル、アクションおよびリソースを指定。
特定のプリンシパル、アクション、リソースを指定しないことで、Cedarのスコープを
未定義のままにすることができる。この場合、ポリシーは考えられるすべてのプリン
シパル、アクション、リソースに対して適用される。
condition 効果が適用されるコンテキストを指定
例）
context.device.location == "US"
context.authn == "MFA"

8. 例えば…
 フォトシェアリングするアプリを例にして ◆Janeの友達グループに所属しているユーザにアル
バム「art」の写真の参照を許可
permit(
principal in Group::”jane/friends”,
action == Action::”view”,
resource in Album::”jane/art”)
when{
resource.kb <= 2000 &&
resource.tags.contains(“nature”)
};
Bob Alice
Jane
family
friends
trips
conference vacation art
receipt.jpg flower.jpg
{
“tags” :[“nature”],
“kb” :1024,
“raw” :Photo::”flower.raw”,
“aspect” :{“w”:16, “h”:9},
“color” :true
}

9. RBACとABACを柔軟に表現可能
◆Janeの友達グループに所属しているユーザにアルバム「art」の写真の参照を許可
permit(
principal in Group::”jane/friends”,
action == Action::”view”,
resource in Album::”jane/art”)
when{
resource.kb <= 2000 &&
resource.tags.contains(“nature”)
};
RBACのルールを表現
ABACのルールを表現

10. まとめ
 AWSの新しい権限評価の仕組みとして「Cedar」が追加されました。
 Cedar向けのポリシーを記述する言語として、「Cedar言語」というDSLが提供されています。
 Cedarでは、RBACとABACを組み合わせたアクセスポリシーの表現が可能になります。

11. 参考情報
 Cedar – Policy Based access control
 https://www.cedarpolicy.com/
 Amazon Verified Permissions
 https://aws.amazon.com/jp/verified-permissions/
 AWS Verified Access
 https://docs.aws.amazon.com/verified-access/latest/ug/work-with-verified-access-policies.html
 Amazon Verified Permissions について妄想を膨らませ損ねました #reInvent #cmregrowth
 https://dev.classmethod.jp/articles/amazon-verified-permissions-reinvent-cmregrowth/
 AWS re:Invent 2022 - [NEW] Use policies to manage permissions w/Amazon Verified Permissions (SEC335)
 https://www.youtube.com/watch?v=k6pPcnLuOXY

12.  ご清聴ありがとうございました。