夏バテの影響
こんばんは、Replay.fm 第 41 回です。
こんばんは。
うん。
はい。
41 回。
暑くなってきたなー。
いやー、普通にちょっと夏バテ気味なんだけど、確かに。
なんか、昨日気づいたわ。
あ、これは夏バテだ。
あー、夏バテ…
家から出なすぎて夏バテの概念、今すげー久々に感じた。
確かその概念だったね。
なんかねー、具合悪いんだよねー。
休んでほしいな、それを。
いや、なんか熱がこもってる感じというかさ、なんか。
それは夏バテ感あるな。
そうそうそう、別に元気なんだよ、その、なんか、元気だけど元気がないって言い方をした方がいいのかな。
夏バテってさ、なんか、その概念としてはさ、実在するの、あんま分かってない。
あー、科学的にってことだよね。
そうそうそう、今ふと思ったんだけど。
あー、自立神経の乱れ、水分の乱れ、食欲不振、あ、食欲不振?
あー、そうめんや冷たいものばっか食べてるとエアバランスが崩れて、夏バテは悪化させる。
なるほどねー。
夏のきつさにいろいろ起因して、いろいろ不備が出るみたいな概念だったんだけど。
なるほど。
まあねー、まだ転職して1ヶ月も経ってないしなー、その辺もきっとあるんだろうね、きっとね。
無自覚なね、新しい環境のストレスも、暑さと、いろいろあるだろうね。
いやー、正気の沙汰じゃないんだよなー、こんなんすか。
意味が分からん。6ヶ月でしょ、だってまだ。
6ヶ月ね。
なんか、4ヶ月目ぐらいの感じがするよ。
うんうん。
いやー。
頑張ってこうな。
頑張っていこう。
頑張っていこうと言いつつ、今日は初めて以来一番記事が少ないんじゃないかな。
クラウドフレアのDDoS攻撃
本当に?
たぶんねー。
なんか、あれ作んなかったっけ前に。
まあいっか、最後でもいいけど。
うーん、そうね。
たぶんね、でも、8記事とかじゃない?せいぜい。一番少なくても。
6か8。
6があったのか。
あー、じゃあ今日があれっすね。
そうだね、最低記録。
今日は5記事。
5記事。
まあそんなに話すことじゃないわけじゃないけど。
本気かってちょっともう、なんかね、あのピックしてないだけで突っ込んでる記事はそこそこあるんだよね。
そうそうそうそう、結構ね、あのーそうなんですよ、僕らサボってるわけじゃなくて、20記事か、20記事目を通しているんだから、2人を合わせて。
うん。
まあ5記事してね。
まあ波は、みんながたぶんせいぜいしてるんじゃね。
まあそんな、そうかもしんない。
寂しさ、でもさ、国内だけじゃないから記事は。
残念なの。
うん、ほんまや。
まあまあ。
まあそんな5記事。
この5記事は割と、まあ、まあいいや。
やんのいいよ。
じゃあ1個目からいきますか。
Defending the Internet. How Cloudflare Blocked a Monumental 7.3 TeraBPS DDoS Attack.
クラウドフレアの、これ何、テックブログ?クラウドフレアのブログなんだね、普通に。
クラウドフレアのブログかな。
すごい、公式がこんなにたくさんいろんな言語で提供してくれてる。
クラウドフレアは、クラウドフレアが2025年5月に、これ何、最大の帯域幅で7.3テラBPSのDDoSをさばいたよっていう話ですね。
そうだね、さばいたし、そういう攻撃を受けたみたいな感じかな。
また多分ね、DDoSの、まあ世界記録ってか別に公式じゃないけど、世界記録的なものをクラウドフレアのブログで日々更新、毎年更新されてる気がする。
前回も過去最大の攻撃みたいな。半年も経たない前に出てたんだけど、また出たって感じかな。
超人気なミュージシャンの、先着のコンサートのチケットの応募みたいな。
そういうのと比べてどれくらいの規模なのか。インフレがすごすぎてさ、わかんないよね。
でもさ、気持ちいい回だったんだけど、多分それも可愛いぐらいな気がしてて。
確かに。
これは9,350本以上のフルHD映画でネットワークを氾濫させるのと同等であり、わずか45秒で7,480時間の高解像度動画をノンストップでストリーミングすることに相当します。
これはこの8年分の連続視聴に相当するから、1年間フルHD映画を。
YouTubeとかNetflixとかさ、なんか割と常時こういうの来てたりしないのかな。
フルHD9,300…
帯域幅で言うとなんかこれぐらい…だって9…あ、でも9,000フルHD映画を…これって別に同時視聴じゃなくて幅の話だから、その…
1年分のフルHD映画を45秒に詰め込んでるって感じだから。
まあでもYouTubeぐらいだったらもしかして言ってんのかもしんないけど、だからこれ…この攻撃を普通のサイトに仕掛けてるっていう話だよね。
まあターゲットの話は多分言及されてないが。
まあね、うん。
まあなんか…まあ…まあ落ちるよねっていう感じかな。
すごいね。
うん。
まあなんか割とこのマルチベクターで、まあほぼUDPフラットだったみたいだけど、
攻撃の影響と対策
まあマルチベクターでこの物量ってもうなんか割と、なんだろう、その辺の会社が自分たちでどうにかできるレベルではないよなと思っていて、
なんかクラウドフレアを使うか使わないかみたいなそういう世界にちょっとなっちゃってるよね。
うん、そうだね。
なんか脅威の、なんていうか、最悪想定をどこに置くかっていう話ではあるんだけれども。
うん。
うん。
パブリッキーさんかもなんかも、なんかDDoS食らった時にクラウドフレア入れて頑張ってしのいなみたいな感じだったよね、確か。
うん。
いやー、この…そうだね、だし、でもほんとそれしか多分選択肢ないと思うんだよな、なんか。
自分たちで備えるにはちょっとコスパがあるすぎるというか、この規模の来るかどうかわからん攻撃に備えて、
自前で投資をするってなるならクラウドフレア1枚かまして、まあ税金みたいな感じで払うぐらいしかないか、
まあ最悪やられてから考えるかとか、そういう感じ。
なんか業界的に狙われやすいところとか傾向はあるから、自分がそこに近いのかどうかで判断とか、まあできなくはないけど。
うーん、でもその、あの、ご記事だからすごく気持ちが緩んでるんだけど、
うん。
あの、ランサムDDoSみたいなのがあるじゃないですか。
あー、そうだねー。
そう思ってると見なされると、それだけでっていうパターンもあるから。
確かに。
なんか、まあ明日は我が身の感じではあると思うんだけど。
あとなんかピオログの、たぶんここにも紹介したけど、あの逆恨みでチャリンって。
あー、あったね。
テレグラムで5000円払って攻撃されるみたいな。
うーん。
もう僕チャリンって。
そんな、そんな別にこんな規模にはなんないからさ。
まあそれは確かに。
それで言うとこれなんかさ、そのこの攻撃、まあたぶん真相は知れないんだろうけど、いくらぐらい払ったらこの攻撃できるんだろうね。
市場最大だからさすがに、なんかユーザーザーサービスとか経由っていうよりかは、
うん。
ピオリアクターがいるかどうか。
なんかね、もはやさ、なんかフカティストの様相を何か定してる気もしてて、その。
確かに。
うーん、その、わからんけど、本当に攻撃の意図があったのかな。
なんかそういうのは気になっちゃうな。
なんかその、こう。
確かにね。
例えばだけど、その、うちならクラウドフレアも落とせますよっていう、その裏社会向けのアピールなのかもしんなくて。
うんうん。
例えばね。
確かに。
わかんないけど。
いやー、確かに。
広告なのかもしんない。
まあもしかしたら、
さすがに。
なんかプレゼンみたいなのもあり得るよね。
あーそうそうそうそう。
うーん、確かに。
わかんないけどね。
うーん。
真相はわからない。が。
うーん。
いやー、真相わからんのが腹立つよなーっていうのは。
うーん。
発生元とかの話もね、書いてあるんですけど、
多分まあもう基本無料、無料ボットネット?無料なの?
まあボットネットって呼ばれるあの、もう各ご自宅の脆弱性のあるルーターしかり、いろんなIoT製品にマネージャーが入ってて、
管理画面でポチっと押すと、全世界のそれからいっぱいアクセスが来るみたいなのが多分原点的な技術行為なんですけど。
うん。
まあその話もちょっと書いてますね。
ブラジルからが一番、なんかブラジルは確かに、なんだっけな、何かのルーターで脆弱性ありがちみたいなのがあったような気もする。
そう。で、なんかまあ結構対策の話も書いてくれてて。
うん。
割と英語だとusing the distributed nature of DDoS attacks against itっていうとこかな。
えっとね、日本語で言うともうちょっと上のDDoS攻撃の分散性を逆手に取るってやつね。
うんうんうん。
なんか、まあDDoSなのでいろんなとこから分散してアクセスが来るから、
最寄りのクラウドフレアのデータセンターにルーティングすることによって、
なんか分散してコトに当たるっていうのができるよっていう話とか。
まあでもこんなんさ、CDNレベルの公開要請サービスを提供しているところじゃないとそもそも持ち得ないリソースだから。
そうだね。
うん。
もうCDNの使いしか多分。
そうそうそうそう。
回答にはなり得ないっていう。
そうそう。
あとはリアルタイムフィンガープリンティングの話も面白くって。
なんかEBPFとかユーザーランドに入る前に、
なんかもうフィンガープリント取って、
悪意のあるものかどうかを判断してるよっていう話とか。
そのDDoSのパケットのパターンを見つけたらそれをこういろんなとこで共有して、
クラウド触れないで共有して横展開するよみたいなことをやってるらしくて。
これは結構シンプルに面白かった。
うん。
いやー頑張ってるんだな。
もうCDN目線も落ちたら困るし。
まあね。
対策最前線って感じがするね。
うん。
いやしんどいな。
ほんとお疲れ様でしたって感じ。
ほんとお疲れ様だね。
うん。
いやーなんかBotnetがなくなったらDDoS攻撃なくなるのかなとかちょっと読みながらぼんやり考えてたけど、
まあでも別のバージョン2だけかなとか一人でグルグル考えてたわ。
まあ結構いろんな手法がちょこちょこ見つかってると思っていて、
うん。
うん。
なんかなんとかリフレクションみたいなやつとかさちょこちょこできたりするから、
なんかうーんどうなんだろうね。
回り回ってBotnetがめっちゃ効率いいみたいなのが結構面白いなって個人的には思うけど。
あーなるほどね確かに。
うん。
集めて回んなきゃいけないの大変だろうなと思うし。
うんうん。
うん。
はい。
まあそんな感じの記事でございました。
ああそうか。
はい。
PayPayのフィッシング詐欺
えー次がPayPayのフィッシングが簡単すぎた話。
ちょっと読み方わかんないなんとかさんのノートの記事です。
うん。
えーとことの発端がPayPayで一瞬にして73万円を騙し取られた話っていうのがあって、
まあそれに対してその検証記事的な感じで、
あのー今回Winchketっていうなんだっけ。
競馬?かなんかの。
競馬かな。
あのーサービスが狙われててWinchketだとこんな感じだから、
まあそりゃできちゃうよねーみたいな記事を書いてくれてるのがこの記事です。
はい。
うん。
で、まあQRコード2つ読み込むとなんか別に特にこのWinchketに連携しますよみたいなのが出ることもなく、
こうアカウント連携が完了しちゃうっていうのが割と要点なのかな記事の中では。
うーん。
うん。
かつ連携先のアカウント情報とかも出ないみたいな感じではね多分。
まあ一応裏にグレーアウトされてしまってその出てるんだけどもう誰の裏側に。
なるほど。
で、うーんとモーダルじゃないのかこれなんだっけ忘れてたけど、あのー出てるんだけど。
だから連携後はその。
あーこの、はいはいはい。
そうそうそうWinchket側に自動チャージできるようになって。
で、だからまあバカすかそのーなんていうか、あれが残高が取られていく抜かれていくっていうことが発生するよっていう。
いやー。
はい。
まあなんか厳しいなっていうのが率直な感想で。
うーん。
まあもときちの方も結構生々しくてすごいんだけど。
うんうんうん。
まあぜひまだ見てなかったらちょっと現代社会を生きる人としてちょっと読んでみてもいいんじゃないかなとは思いました。
うーん。
うーん。
まあちょっと見てる感じ多分10万円で何かしらの検知ロジックが働くんだろうなーみたいなことを見ながら思ってたんだけどもときちの方を。
うーん。
9万円と9万9千円でなんかやってるんだよね。
はいはいはい。
それは見てなかった。
あーそういうことかチャージの流動ね。
うん。
いやーでもこれ面白いなー。結局さ9万9千円で何回も引き出しちゃってるってことだよね。
うーん。
うーん。うーん。いやーこれ、これ、なんかムズイとだけ面白いコメントした。
そうだねー。
なんか直すとしたらどう直す?もう。
えーでもなんかウィンチケットに連携しますよっていうのさえ出してくれればなんか救われるケースが出てくるだろうなと思うし。
そこはなんかもう少しその、これをこの操作をすると何が起こりますよっていうのはもう少し丁寧に説明してほしいなーとはちょっと思ったな。
うーん。
うーん。
結構、まあここまでちゃんと表現すれば間違いないよねっていうところまで表現しきるっていうところまでが、まあテーペイ側の責務になるのかなーそういうと。
うーん。どうだろうね。まあ難しいね。
なんかどこまでやればっていうのは結構難しくて、そのどんだけ丁寧にいろんなことやってても、まあやっぱそのスルーされてしまうことっていうのはあるし。
うーん。
キリがないっちゃキリがないので、そこは難しいとこだとは思うんだけど、うーん。
銀行の連携とかどんな感じだっけなー。でもなんかさー読まないよなーなんていうか。
うーん。
まああとはこれはえーっと、なんかテーペイが補填をするのかがちょっと気になってる。
うーん。
うーん。
うーん。
まああとウィンチケット側も多分これはこれで問題で、そのペイペイ側の名義とウィンチケット側の名義のその都合とかをやってないよねっていうのを確か基礎で研究してくれてたのかな。
はいはいはい確かに。
うーん。
それやってれば確かにある程度可能できるね。
ただ別にウィンチケット側からしたら知ったこっちゃねーよっていう話だし、なんかだってペイペイでログインできてんじゃんっていうペイペイが、ペイペイがそこは納得するべき話なんじゃないのっていう風に言えてしまう側面はあるし、
ペイペイからするとなんか本当に難しいんだけど、そのこうこれを本人の意思でやってるかどうかが判別つかないじゃん。
うんうんうんうん。
そうだね。
うーん。
確かにね。
ウィンチケット側のアカウントの話は別に知らんわけでペイペイからしたら。
うんうんうん。
それがウィンチケット側のアカウントが明らかに他人のアカウントですっていうのがペイペイ側からしたら知らんわっていう話になるし、
うん。
なんか別にあなたが操作してあなたがなんか払ったんじゃないんですかって、あなたが操作してない証拠ってあるんですかってペイペイ側からするとなっちゃうわけで、なんか補填するのかしないのかはちょっと気になるところかな。
まあだから結局じゃあ警察へっていう話に多分なっちゃうんだけど、なんか大変じゃん。
いやーそうだね。
うーん。
まあ一ユーザ目線だと自衛しましょうって感じなんだけど。
うーん。
悩ましいね。
うーん。
まあだからなんかどうなるのかなっていうのはちょっとはっきりして見ておきたいなと思っておりますという記事でした。
QRコード決済の問題点
はい。
ちょっともっと記事ちゃんと読もう。
あのね、連携は止まったけど別の手法でのフィッシングはまだあるんだな。
うん。
いやー、QRコードをスキャンして即支払いっていう。
うーん。
いやこれなんか自分、全然足り事じゃないな気をつけよう。
いやマジでなんか、うん。
いやもうやめたから言うけど、なんでこんなもの流行らしちゃったの?とは思ってる。
うふふふふ。
QRコードを決済ねー。
うんうんうん。
いやー、なんか。
だってさ。
なんか。
頭おかしいじゃん。
その。
流行らせたのに。
だってさ。
要は流行ったよな。
ここまで。
いやー。
なんかなるべくしてなってるなって思うんだよね。
だって、無理じゃんこんなんなんか、まともに扱うの。
そうねー。
中国とかどうなってんだろうな結局。
中国発祥の認識ですけどQRコード。
うーん。
どうなってんだろうね。
うーん。
気になるなー。
ね。
ありがとうございます。
そんな感じですか。
いやーマジ。
皆さんお気を付けくださいマジで。
はい。
パスキーの実装チェックリスト
えー次は安全でシームレスなパスキーデプロイチェックリスト。
えーこの記事を貼っとけばよかったな。
もう一回。
なんか、まあぶっちゃけ読み物系じゃないので。
なんか。
まあなんか紹介するっていうものでもないんだけど。
あのーパスキー使うのに、えっと。
まあ実装上のそのチェックリストみたいなのをこう、
なんか提供してくれてるっていう解釈でいいのかな。
うーんいいかも。
パスキーのそのUX面でのベストプラクティスっていうのを
あの紹介してくれていて。
はい。
で結構なんか実装上ここがこうなってるとみたいな
そういうところに言及してるようなチートシートですね。
うん。
はい。
でなんか割とそのAPIとか見てても
その実装の自由度が高いっていうか
いじれる範囲が結構あるなと思ってたので
なんかこういうのはすごく助かるというか
あのめちゃくちゃいいなと思って持ってきました。
いいねー。
web.div自分はもうせんのってないけど
やっぱこういうリファレンスに関しては素晴らしいな。
うん。
だし、そうだね。
これはweb開発者はみんな脳内に
こういうものがあるっていうのは覚えておきたい
うん。
感じがするね。
ね。
記事一覧としてあるな。
これちょっとサブスクリプション。
RSSあんのかな。
うーん。
どうなんでしょう。
ありそうですね。
まあでも多分流量すごいんだよな。
まあいいんじゃないですか。
入れてから考える。
確かに。
いやーなんかこの記事やすぶりしたいな。
なんか認証のある
認証のある趣味サイト作ったことないんだよな。
自分のポートフリオサイトに認証機能無駄につけるか。
なんかジャックさんの
ジャックさんはなんかやるみたいな。
さっき休んでやる。
うーん。
やったのかなちょっと。
やるって言ってたっていうか
なんかポッドキャストで聞いたって感じなんですけど。
うん。
なんか作ればいいじゃん。
リプレイFMのサイトでも作るか。
リプレイFMファンクラブで作る。
ファンクラブ。
無料ファンクラブ。
うん。
パスキーでログインして。
うん。
何、何提供しようかな。
ログインしても何も起こんないでしょ。
ログインすると
うん、そう。
なんか
ログインすると
ログイン得点をなんかつける。
ログインボーナスつけるか。
うーん。
あ、毎日ログイン。
キリ版とかさ、やろうよ。
掲示板作ろう。
で、キリキリ版踏み逃げると
その、バンされる。
こっちが悪いな。
うん。
いやでもありだな、なんか。
もう、全ての素振りをそこに集約して。
素振り集約しまくったらなんかいつの間にかそれっぽいものになってそうじゃない。
なんか分かんないけど色んな機能がある。
謎サイトができるかもしれない。
いや。
分からんけどね。
リプレイFMファンクラブ。
それに
差し当ててこれを参考にさせていただきたく。
覚えておきます。
ファンクラブに欲しい機能を募集してます。
待ってまーす。
俺らプライベートブログでも書くか。
なんか、ありかもしんない。
うん。ランチ食べてまーすと。
じゃあ次行こう。
次行きましょう。
絶対2日でなんか更新されなくなる。
交差乗っ取り、金融庁全額保証の意向化、証券会社反発で調整難航、朝日新聞の有料記事ですね。
実際読んでなくて、無料で読める範囲しか読んでないんだけど、話題としては十分触れられそうだからピークしようと思ってもらってきました。
なんかさっきもフェイペイのフィッシングの話で補填するしないの話をしたと思うんだけど、これもやっぱ同じで、
どこまでがユーザーの責任なのっていう話。
サービスプロバイダーの責任
なんか厳しいなっていうのも、反発するのも分からなくはないんだけど、バカにならない金額だろうし、普通にね。
そうね、運全満とかいるだろうね、もしかしたら。
なんか、じゃあでもサービス提供者としてやれること全部やってたんすかっていう質問に対して、
100%イエスと言えるかというと、そうじゃないからこうなってるんじゃないのとは思うんで。
でもじゃあサービス提供者としてやれること全部やってなかったら、全額補填しないといけないのかっていうのも、
それはそれでどうなんだっていう意見があるのも分からなくはないんだけど。
正解がない、終われない議論感があるね。
でもなんか、世の中の流れとしては多分こっちの方が正しいと思うんだよ。
一定のラインまではね。
過渡期な感じはするよね、おそらく。
なんかサービス提供者として、やれるところのラインをギリギリを見極めた上で、
やれるだけやりました、あとはもうユーザーの責任ですって。
言えるところまでやってたら初めて、じゃあ例えばパスキー使ってなかったよね。
ユーザー側で選べたけど使ってなかったよねっていう話とか。
使えるようにはなってたけど全然宣伝をしてなかったよねみたいな話とか、
そういう議論ができるんじゃないかなって思うんだよね。
絶対的にサービス提供者優位じゃん、これって。
そうだね、そうだね。
サービス提供者側からお漏らしとかしたパターンじゃない限りは。
っていうのもそうだし、機能が提供されてなかったら使いようがないじゃん。
そうだね、確かに確かに。それもそうだね。選択肢がないっていうか。
なんか過去に似た事例とかないのかな。
金融庁がこのスタンスを取るのが初めてなのかどうかは結構気になってるんだよね。
銀行とかは割と全額補填のあれだった気がするけどな。
フィッシングの傾向
よほど可視がない限り、契約書側に。
なるほどね。
まあそれで言うとそこの一貫性はあるというか。
パスキー、ツレフェ入ってなかったらサービスが悪いでしょみたいな世界線になっていくのかな。
なって欲しいとは思ってるよ、個人的にはね。
なんか…
うん、そうね。
いや、なって欲しいと思いつつ切なさを個人的には感じる場面なんだよな。
こうなってから後いいよくなっていくというか、結構そういうことの繰り返し感があるよな。
まあ、犯罪の歴史ってずっとそうなんじゃないかなって。
まあ、そうね。
どっちかと言うとなんかその、参入コストが上がるというかさ、
まあでもな、必ずしもそうでもないのかな、なんか。
でも、その何か新しいことを始めようと思った時の実装コストが上がるっていうのは明確になんか出てくるよね。
そうね。
世の中としてそのなんていうか、やれることできるだけ全部やってねっていうのが当たり前になることによって、
なんかいろんなことをやってからじゃないとローンチできないみたいなのが普通に当たり前になってくると重くなってくると思うし。
トータされるというか。
まあでもそこでまたぐるぐる回るんじゃない?
それをやりやすくするようなそのBE向けのサービスがまたできて。
うーん。
まあでもそれで言うとさ、もうパスキーが完全にそれだからさ。
まあね。
うん。
ちなみに久しく取り上げてないですけど、今月のフィッシング協会のレポートでは証券系がめちゃくちゃ爆増してますね、やっぱり。
あら。
23%ぐらいがSBI証券。
うーん。
その証券、まあAmazon増えてて。
うーんって感じかな。あ、で、全体で言うと32%が証券なのか。
うーん。
クレジット系とかが減って証券が爆増してみたいな傾向があったりする。
まあ引き続き狙われているって感じなんでしょうね。
そうだね、前月は25%で、2ヶ月前は。
2ヶ月前だって4%、4%から35%まで2ヶ月で増えてるから。
33%か。
まあまあまあ。
まあこの被害の大きさみたいなところもあるよな。
GitLabのアクセス管理
はい。
お話でした。
うんうん。
はい。
真摯に向き合い切っていきたい。
うーん。
終わり?
あ、もう1個あったわ。
お願いします。
最後。
えーっと。
これもでも俺が。
ごめん。
いや、どうぞ。
最後の1個目のACMは、
Automating Role-Based Access Control at Scale
GitLabの記事ですね。
僕ちょっと斜め読みなんですけど、
えーっと、まあサマリー、AIサマリーからピックして読むと、
まあ、ロールベースアクセスコントロール、RBACを自動化する話ですね。
で、具体的ななんかGitLabの、
多分、本当斜め読みなんですけど、
GitLab側にRBACの仕組みがあって、
それっちで設定した、そのRBACの構成を、
まあ、キークロック側にある種自動的に同期して、
まあ、実装するみたいな話っぽく見えた。
ほんとに?
なんで、違うかな。
その実装例とかは結構具体的にこうやって。
2人ともサラッとしか眺めてないっていう、このガバガバ具合なんだけど。
一応ね、全部目通したんだよ。
目通したんだけど、
すごい話だったと思うんだよな。
で、どっかの会社に実際にこれを支援したみたいな話もあって、
何したのっていうのをサラッと。
ユーザージャーニーの話があって。
そうだね。
キークロックのそのロールと、
ロールがGitLabのアクセスレベルにマッピングされてるよっていうふうに書いてあるね。
そういうことか。
逆か、だから流れは。
そうそう。で、思ったんだよ。
失礼しました。
そうですね。
はい、そういう話です。
なんかGitLabのチームリポジトリパーミッションのモデルと比べて、
何か差分があるのかなみたいなことをちょっと考えながら読んでたんだけど、
そういうとこは全然触れられてなかったから。
そうだね。
今一番から。
でも何か似てるものなのかなとかかって思うけど、
GitLabは相当出ないからな。
話すうちやっけ、GitLabのパーミッションモデルちょっとおもろいんだよな、発信的には。
オーソレイザーシャーアカデミーっていう、
OSOっていう、
認可をDSLで書いて、
それでコード生成したりするようなエンジンをSaaSとして提供してる会社があるんですけど、
それが提供しているオーソレイザーシャーアカデミーっていう記事というかアセットがあって、
読んだことない人で認可を決められる人はぜひ読んでみると面白いと思うんですけど、
それで何だろう、コード管理システムみたいなのを作るっていう前提で、
RBAC、REBAC、あとは、
ECLの話とかも言ってたかな。
具体的にこういうコードで、実装するならこういうコードで書くよねみたいな話があったんだけど、
なんていうか、
そこでたびたびGitHubとか聞くと、いいよみたいなのあって、
現実はこういうスケースがあるからこういう風に設計されてるよねみたいな話とか。
それを読んだ後にGitHubのやつを見てみると結構、
何だろうな、
いい分け方をしてる、できてる部分と、
過渡期なんだなって部分がずっと座ってると見られて面白いというか。
分け方って言ってのは、
例えばリポジトリロールとオーガニゼーションロールが、
そもそもオーガニゼーションロール自体が結構最近出てきたはずで、
ここ2年、3年ぐらいで、
少なくともユーザー側から触れるようになった概念だし、
そことリポジトリロールのひも付きみたいなのも多分、
何だろうな、上手いことやってるんですよね。
結構そこのデザインミスるとさ、
分かりづらくなるじゃないですか。
オーガニゼーションがこうだから、
何だろうな、このリポジトリでこの操作したいんだけど、
何か上手くいけないってなったら、
オーガニゼーションロール側の設定が原因で、
みたいなハマり方ってすごいよくあるあるだと思うし、
結構何も考えず作っちゃうとそういうのってすごい起きると思うんだけど、
ギターはその辺結構上手だなっていう気がしてて。
今の話でいうと、
リポジトリのパーミッションページ見ると、
リポジトリロールでこの権限が付いてるっていうのと、
オーガニゼーションロールでこの権限が付いてるっていうのが、
UIとして分かれてるし、
このリポジトリでライト権限が付いてる理由は、
オーガニゼーションでこういう権限が付いてるからだよ、
みたいなのも結構分かりやすく表現してくれてたり、
とかしてたりとか、
あとは最近だとオーガニゼーションロールがだんだん進化してきて、
何だろうな、機能としても拡充されてるというか、
例えばで言うと、今までだと、
なんかGitHubオタク語りみたいになっちゃってるんだけど、
今までだとGitHubのオーガニゼーションって、
そのベースロールって概念があって、
オーガニゼーションに所属した時点で、
全員が最低は、最低このレベルのパーミッションを
全リポジトリに持つっていう設定があるんですよ。
例えばそれがリードだと、
オーガニゼーションに入ったら全リポジトリのリード権限が
全員付与されるっていう状態になってて、
っていうのが今までの仕組みで、
これ個人的に辛いし、
多分他の心当たりある人もいるんじゃないかなと思うんですけど、
ちょっと辛いのが、例えば、
業務委託の方は一部のリポジトリだけ見えるようにしたい
みたいなパターンで結構困るはずで、
何が困るかっていうと、
ベースロールをリードにしちゃうと、
オーガニゼーション入れたら全部見えるってなっちゃうから、
二択になるんですよね。
一つはベースロールを落として、
一個一個ロールを付けてもらう。
これは業務委託の人はいいんだけど、
正社員は全部見えて欲しいとかなったときに、
かなり辛いはずで、
全部一個一個付けて、
漏れなく付けなきゃいけないし、
リポジトリ増えたときに、
それも漏れなく付けなきゃいけないっていうので、
多分現実的に運用できないという話で、
そうなるとアートサイドコラボレーターとして
一個一個招待しましょうってなるんだけど、
アートサイドコラボレーターにしちゃうと、
Orgで制御できるものが制御できなくなる。
例えばサムル認証を通すとかもできないし、
あと最近地味に困ったのが、
コパイロットのライセンスが振れない。
業務委託の方に、
振るか振らないかは各社いろいろ方針があって、
ギターブの機能と役割
振れないことに仕事で気づいて、
ちょっとどうしようもないですね、
みたいな話をしたりしたんだけど、
その辺モバイゼーションロールが拡充されて、
Org-wideのリポジトリロールみたいな概念があって、
今は。
全リポジトリにリード権限を持つ
オーガニゼーションロールっていうのを
カスタムで作れるようになったんで、
ベースロールをノーンにして、
でも社員は社員グループみたいなのを作ってて、
そのグループは全リポジトリリード権限を
作るみたいなこともできるし、
今だとカスタムプロパティで、
例えばラベルを付けた、
このラベルが付いているリポジトリに対して、
このグループがライト権限を持つみたいな、
Orgロールみたいなのを作る対して、
すごいね、
かゆいとこに手が届くなって気持ちで
僕は見てたりします。
また逆に全然独立、
あえて独立して管理してるんだけど、
それがうまくいってるんだろうなって
ギッターブのチームのロールとかは
全然別立てで動いてるし、
細かいとか、あとギッターブアップの
アップマネージャーみたいな表現が
されてるんですけど、そっちもロールの概念があって、
それとかも全然Orgからは、
一部Orgのアドミントが継承してるのかな、
なんで、繋がっているんだけど、
そんなに密に繋げすぎずになってて、
ユースケースが別だから、
そういう風に僕でも作るなとか思ったりするし、
なかなか上手だなと思ったりする。
めっちゃ語っちゃったけど、
面白いです。
僕は結構ギターブのロールのデザインは好き。
ギッターブはどうなんでしょう。
ギッターブもちゃんとやってそうだけどね、
どうなんでしょうね。
でも、物は違いそうだからな。
考え方とかモデルとかもやっぱ違うんじゃないかなと。
そうだね。
それで言うと今言ったと思ったけど、
規模がでかくなってきたら、
KeycloakでもEnterIDでもGoogleワークスペースでもいいけど、
その会社におけるマスターのIDと、
そこに紐づく組織構造に基づいたグループ分けとかを、
このコード管理システム側にも自動で同期したみたいな、
ユースケースは全然あるなって思ったな。
うちはせいぜいギッターブに、
アカウントだろ、30、40しかないんで、
手で管理でも間に合うけど、
100、200とかになるとたぶん同じことをやるんだろうなって気づくなどしましたね。
ふわっと終わってしまったけど。
エピソードの総括
いやーギッターブ、
なんか、みんな悟しいな。
なんかちょっとオルグ、オーガニスオーナーの特権感ちょっとあるんだけど、
無料でオーグ作ってどうなんだろう、できるよね多分。
機能面ではどうなんだろうな。
有料だとあれなのかな。
ちょっと見てみよう今。
でもできるじゃん。
多分普通に無料でオーグ作ってそれでもできる。
今言ったのがこれなんですけど。
オールリポジトリライトとか。
これが課金すると多分カスタムできるんですよね。
見てみようか。
今見てる画面だったら、
僕が無料で作っているオーグなんで、それがないんですけど。
えっと、オーガニゼーションロールのロールマネジメント?
リポジトリロール?
カスタムロールがあるかどうか見ればいいのかな。
そうだね、オーガニゼーションロール。
リポジトリロールのカスタムロールが、
私のプランだとエンタープライズじゃないと無理だな。
そうだよね。
そうだよね、オーガニゼーションロールは
エンタープライズじゃないととかはもう早く書いてなくて、
無料だとワーク自体がないんだけど、
これもエンタープライズプランだと出てくるはずって感じかな。
まあでも一部は買い間見えるから、やってみてもいいな。
結構無料でもいろいろ見えるな。
ね、楽しいよね。
楽しい。
いやーいいんすよ、ギターブ。
ギターブマジ触れば触ること好きだな。
2ヶ月置きぐらいにね、
あーそれが欲しいんだよって機能がちょこちょこ追加されてくる。
まあもちろん完璧ではなくて、たまには嫌なんですけど。
いい感じです。
GitLubの記事読んだらギターブめっちゃ上げちゃったな。
GitLubもうね、まあまあわかんないです。
最悪だよ。
教えてください。
超怒られるよ。
怒られちゃうかな。
ごめんなさい、いや全然ギターブ嫌いじゃないです。
本当もう申し訳ないけど触ってないって言ってたけどね。
5、記事。
うーん、一瞬で終わったね。
いや一瞬じゃないんだよな、なんか別に。
いつもが長いだけで。
まあ聞いてる感覚はどうなんでしょうね。
ちょっとわかんないですけど。
どうなんすかね。
まあ瞬殺だなってちょっと思って。
いつものノリからすればね。
うーん。
まあ梅雨だし、みんな夏は撤収し、
来週はきっと、まあ今週始まったばっかなんで。
あれですけど、今日はそんな感じですか。
そんな感じですね。
41回、もう3ヶ月で1年か。
もう3ヶ月で1年ってなんか、まあいいけど。
なに、なに、なに。
そんなに1年、1年、もうすぐ1年だねってほどでもねえなって3ヶ月って。
ああ、いやでも考え深いよ。
習慣として染み付いてるのをね、最近染みじん実感してるから。
偉いなあと思いながら。
記事もなあ、まじなんかその簡易的なオートメーションでその、
この読む前のスクリーニング用のノーションデータベースの追加っていう作業があるんだけど。
めちゃくちゃ無意識バーってやってる。
偉いなあ。
何の習慣にもなってないな、まだ。
そこはね、多様性なんで、僕の場合はね。
まあこのまま引き続きやりましょう。
はい。
じゃあ短めでしたけど、皆さん次回もお楽しみにしててください。
おやすみなさい。
おやすみなさい。
