画像を処理するアプリに、必要な操作だけを許す

このアプリの仕事は、入力用の保存場所から画像を読むことと、出力用の保存場所へ変換結果を書くことです。どちらの場所も一般公開しません。

全データを削除すること、誰にでも見えるようにすること、別の保存場所を読むことは必要ありません。まず必要な仕事を書き出し、それに必要な操作だけを残します。

入力画像を読むために、会社の全ファイルを読める必要はありません。「入力用の場所を読む」「出力用の場所へ書く」のように、場所と操作を一組にします。

許可の一覧にない操作は禁止する考え方で、必要な組だけを追加します。このように必要な仕事に絞って許可することを、最小権限といいます。

今回のdeployment_policy.jsonではactionsが許す操作、resourcesが使う場所です。input:readは入力を読む、output:writeは出力を書く操作で、demo-inputとdemo-outputは架空の保存場所です。*は範囲が広すぎる指定です。

publicStorageは公開、runAsRootは強い管理権限での実行、mountDockerSocketはコンテナ管理機能の持込み、untrustedPullRequestReceivesSecretsは未確認コードへの秘密の受渡し、auditLogsは操作記録の有効化を表します。教材専用の設定形式で、実クラウドへそのまま適用するものではありません。

すべての操作や場所を許す*を残して、狭い許可を追加しても制限にはなりません。不要な広い指定を取り除き、必要な操作と場所だけを残します。

設定の検査は端末内で行い、実OSやクラウドの権限を変えません。実際のIAMでは拒否、継承、別の規則との組合せ、実際に動くIDなども確認します。

すべて禁止すると、画像を処理する仕事もできなくなります。入力を読めることと、出力へ書けることを確認してください。

同時に、不要な削除や一般公開ができないことも確かめます。止めた操作の数ではなく、今回の仕事に合う許可になっているかを見ます。

今回行うのは設定ファイルの検査です。実際のクラウドで読み書きを試した証拠とは分けます。実サービスへ適用するときは、実行するアカウントで正常操作と拒否する操作を別に確かめます。