認証・認証情報

テスト環境や限定公開ページのBASIC認証について、運用担当がSSM Parameter Storeを入口としてパスワード更新できる構成を整理する。

踏み台サーバを、監査や緊急対応にも耐えられる運用入口として設計する構成を整理する。更新の仕組みは、操作できる画面で確かめられる。

Viewer mTLS を採用したあとに残るのは、秘密鍵をどこで生成し、発行・配布・更新・失効を誰がどう回すかである。鍵の生成場所の選択、3つの操作が別物であること、端末への取り込みで詰まる点を整理する。

ECSの環境変数とシークレットを、インフラ管理値・運用設定値・機密値の3系統に分ける。タスク定義の値の指定方式とTerraformのstateの性質から、誰がどの値を変え、変更がいつ反映されるかを整理する。

プロジェクトで使用するIAMロール・ポリシー・ユーザー・グループをTerraformで一括管理する設計パターンを解説する。マネージドポリシーとインラインポリシーの使い分け、AWSクォータを踏まえた設計判断を紹介する。

IPアドレス制限・BASIC認証・Cognito認証・クライアント証明書は、到達範囲と本人性という独立した2つの軸に分かれる。切り替えは軸を1つずつ動かす2手になり、本人性を替える手だけがSPAとAPIの改修を伴う。9通りの組み合わせごとに残る穴と、管理者が見る対象を整理する。