Athenz & Spire によるアクセス制御

Athenz & Spire によるアクセス制御 ヤフー株式会社 矢野 達也 2021/04/20

自己紹介 矢野 達也 Web ServiceやSmartphone Appの開発/運用に従事した後、現在はYahoo! JAPAN におけるアプリケーション間アクセス制御のDevOpsを行うチームでProduct Ownerを担当しています。AthenzのContributorとしても活動しており、KubeCon 等のカンファレンスでの発表も行なっています。 今やっていること Athenz の Yahoo!JAPAN 社内での導入、機能拡充など 好きなもの 自動化、システム連携など Copyright (C) 2021 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 2

Yahoo! JAPANにおけるクラウド環境 Yahoo! JAPAN Cloud computing environments AuthN / AuthZ OpenStack Kubernetes AuthN / AuthZ AuthN / AuthZ Pivotal Application Service Instance Instance Screwdriver AuthN / AuthZ Copyright (C) 2021 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 3

クラウド環境におけるアクセス制御の課題 • 認証情報の確実さや設定の作業コスト • IPアドレスでは同一Nodeのアプリ AuthN credential ケーションを識別できない AuthZ Policy AuthN / AuthZ Instance • 認証情報を手動で設定するコスト AuthN / AuthZ AuthN / AuthZ • アクセス制御設定の複雑さ • スケールアウトに応じた反映コスト Copyright (C) 2021 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 Instance AuthN / AuthZ 4

とは • クラウド環境でのアプリケーション間アクセス制御（SSoT） • ロールベースのアクセス制御（RBAC） • Yahoo Inc.（現 Verizon Media）が開発しオープンソース化 • Yahoo! JAPANにてコントリビュート • CNCF Sandbox project Copyright (C) 2021 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 5

の機能 • 認可 - Authorization (AuthZ) X.509 certificate or Token Fine-grained RBAC Policy • Role ベースのアクセス制御 (RBAC) Application • Policy による細かなアクセス制御 AuthN / AuthZ • 認証 - Service Authentication (AuthN) • 接続元IPアドレスに依存しない公開鍵認証 Application Cloud • 各 Application に Token 又は X.509証明書 を自動配布 Copyright (C) 2021 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 6

Athenz による Policy を用いた RBAC Copyright (C) 2021 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 7

なぜ を導入するのか • AthenzによるTokenやX.509証明書の自動配布 (Copper Argos) • Copper Argos では OpenStack 向けのオープンソース実装がない • Spire で各 Workload に X.509証明書 を自動配布する仕組みを実現 Copper Argos open-source specification OpenStack Kubernetes Screwdriver Amazon EC2 AWS ECS AWS Lambda Copyright (C) 2021 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 8

X.509証明書の自動配布 (Identity Provisioning) Node attestation Workload attestation Copper Argos mTLS mTLS Instance mTLS mTLS Instance Copyright (C) 2021 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 9

Athenz と Spire で共有される SPIFFE ID • Athenz Copper Argos で発行される X.509証明書 spiffe://<athenz-domain>/sa/<athenz-service> spiffe://<athenz-domain>/ra/<athenz-service> • Spire で発行される X.509証明書 (SVID) spiffe://<spire-trust-domain>/ns/<athenz-domain>/sa/<athenz-service> spiffe://<spire-trust-domain>/ns/<athenz-domain>/ra/<athenz-service> Copyright (C) 2021 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 10

Athenz • Website: http://www.athenz.io • CNCF Sandbox: https://www.cncf.io/sandbox-projects/ • Github: https://github.com/yahoo/athenz • Slack Channel: https://athenz.slack.com/ • Athenz Case Studies: • Kubernetes: https://www.athenz.io/casestudies.html#kubernetes • Google Group: Athenz-Users • Questions or Comments: https://github.com/tatyano Copyright (C) 2021 Yahoo Japan Corporation. All Rights Reserved. 無断引用・転載禁止 11

• http://www.athenz.io/
• https://www.cncf.io/sandbox-projects/
• https://github.com/yahoo/athenz
• https://athenz.slack.com/
• https://www.athenz.io/casestudies.html#kubernetes
• https://groups.google.com/forum/#!forum/athenz-users
• https://github.com/tatyano