GCPに管理者権限で入るのをやめる！ sudoコマンドのようなJust in Timeな権限管理
この記事はGoogle Cloud Platform Advent Calendar 2020の18日目です。 はじめに LinuxサーバやWindowsサーバに「rootやAdministoratorなどの特権アカウントで入らない」というのは良く利用。。。と言うかもはや鉄板中の鉄板のプラクティスだと思います。rm -rf / tmp/hogehogeを実行して顔を青くしたことがある人もいるのでは？ このような事故を防ぐために最小権限で通常はアクセスする考え方を 「最小権限の原則 (The least privilege principle)」 と呼びます。 (wheel権限が付いてるにしても)サーバへのログインで特権ユーザそのものを使う人は流石にほとんど無いと思います。でも、クラウド環境そのもの、つまりGCPコンソールへはオーナー権限等の特権アカウントで入ってしまう怠け者のエンジニアは誰
Cloud Schedulerへの期待とマネージドジョブ実行基盤の今後
Lv：19 Exp：20988 2017年12月より現職。インフラ担当としてIaC、Kubernetesを勉強していた。 2019年11月よりコンサルタントに転向。 好きな言語はJavascript。好きなGCPプロダクトはCloud Build。 好きなOCGカードは《超弩級砲塔列車グスタフ・マックス》。 葉桜が陽気を連れてくる初夏、いかがお過ごしでしょうか。クラウドエースSREチームの亀梨です。アルルとウィンは自引き出来ました。(RISING RAMPAGE BOX) 元オンプレの運用屋としては、「すっごいcron」を名乗っているCloud Schedulerが気になります。 昨年11月に出た、「フルマネージドなcron」です。まだBetaですが。 そのお題目はというと。 Cloud Scheduler は、エンタープライズ クラスのフルマネージド cron ジョブ スケジューラです。
Cloud Run で段階的なロールアウトとロールバックを支援 | Google Cloud 公式ブログ
※この投稿は米国時間 2020 年 7 月 31 日に、Google Cloud blog に投稿されたものの抄訳です。 すべてのデベロッパーは、次のデプロイが成功するという確証を求めています。 しかし、急に 100% のトラフィックにデプロイしては、何か問題が発生したときにリスクが生じかねません。ベスト プラクティスは、変更を段階的にロールアウトして、新しいバージョンのコードで新たな不具合やエラーが発生しないかを確認することです。実際 Google では、4 日かけてコンポーネントの多くのロールアウトを行っています。 Google のフルマネージド コンテナ コンピューティング プラットフォームである Cloud Run を使用すれば、変更のロールアウトをより詳細に管理できます。Cloud Run サービスの構成を変更した場合は常に、新しいリビジョンが作成されます。デフォルトでは、Clo
権限をQray -SREへの一時的な本番環境権限付与のしくみ- | メルカリエンジニアリング
メルペイSREチームの @tjunです。この記事は、Merpay Tech Openness Month 2020 の19日目の記事です。 今日は、メルペイSREチームのオペレーションのために開発して利用している Qray(クレイ) というツールの話をします。 はじめに メルペイでは、Google Cloud Platform(以下GCP)を利用してサービスを構築し動かしています。 GCPには Cloud Identity and Access Management (IAM) という権限管理の仕組みがあります。IAMを適切に管理して、アカウントに最低限の権限を付与することがクラウドサービスを安全に利用するためには必要なことです。これはSREが持つ本番環境に対する権限についても同様で、できるだけ本番環境に対する権限を持たないようにしておきたいのですが、障害対応など本番環境でのオペレーション
GCPでStreamなデータパイプライン始めました - Mercari Engineering Blog
こんにちは、はじめまして。メルカリでデータエンジニアをしている、しゅう (@shoe116)です。Mercari Advent Calendar 2018の3日目を担当することになりました。 メルカリではデータの活用が盛んな一方で、実はデータ処理を専門にやるエンジニアが最近まで存在しておらず、そんなこんなで僕がSREチームにデータエンジニア第1号としてjoinしました（実はこのあたりはメルペイのが少し先んじていて、あっちにはすでにデータプラットフォームチームがあって、僕は今彼らと一緒に並んでコードを書いている）。今日は僕らがGoogle Cloud Platform（以下GCP）に作っている、メルカリ（とメルペイ）の新しいログ収集基盤について簡単に紹介しようと思います。 メルカリの既存ログ収集基盤について 「新しいログ収集基盤を紹介しようと思います」と書いた数行後にこの章を持ってくるのは自
ゲスト投稿 : ML API、Cloud Pub/Sub、Cloud Functions でサーバーレス のデジタル アーカイブを構築した Incentro | Google Cloud 公式ブログ
ゲスト投稿 : ML API、Cloud Pub/Sub、Cloud Functions でサーバーレス のデジタル アーカイブを構築した Incentro 編集部注 : 今回はデジタル サービス プロバイダーで Google パートナーでもある Incentro の投稿記事をお届けします。同社は先ごろ、デジタル アセット管理ソリューションを Google Cloud Platform（GCP）で構築しました。このシステムでは、デジタル アセットの検索やタグ付けのために Cloud Vision API や Cloud Speech API などの機械学習（ML）サービスを使用するほか、サーバーレス ソリューションを自動化するにあたって Cloud Pub/Sub と Cloud Functions を使っています。本稿ではその実現方法を同社に解説していただきました。 私たち Incent
Google、「Kubernetes Service Catalog」と「Service Broker」を発表
Google、「Kubernetes Service Catalog」と「Service Broker」を発表：KubernetesクラスタからGoogle Cloud Platformサービスを手軽に利用できる Google Cloud Platform（GCP）上のKubernetesクラスタや、オンプレミスのKubernetesクラスタからGCPサービスへの接続を容易にする「Kubernetes Service Catalog」と「Service Broker」の各β版が間もなくリリースされる。 Googleは2018年4月26日（米国時間）、Google Cloud Platform（GCP）でホストされているKubernetesクラスタや、オンプレミスのKubernetesクラスタからGCPサービスへの接続を容易にする「Kubernetes Service Catalog」と「G
BeyondCorp Zero Trust Enterprise Security
BeyondCorp is Google's implementation of the zero trust model. It builds upon a decade of experience at Google, combined with ideas and best practices from the community. By shifting access controls from the network perimeter to individual users, BeyondCorp enables secure work from virtually any location without the need for a traditional VPN. BeyondCorp began as an internal Google initiative to e
AWSとGCPを運用してみてわかったこと | CyberAgent Developers Blog
はじめまして。 アドテクスタジオ インフラエンジニアの村井翔太朗(@Show_murai)です。 本記事は CyberAgent Developers Advent Calendar 2017 の 8 日目の記事となります。 私はアドテクスタジオのインフラ横断組織のCentral Infrastructure Agency(以下CIA)に所属しています。 CIAからアドベントカレンダーには6人参加しているので、 是非他のメンバーの記事も合わせてお読み下さい。 アドテクスタジオではパブリッククラウドのメインストリームの2つである、 Amazon Web Service(以下AWS)とGoogle Cloud Platform(以下GCP)を主に利用しています。 はじめに この記事を書こうかと思ったモチベーションとしては、 アドテクスタジオで利用しているパブリッククラウドとしてAWS、GCPを
[IPSec-VPN] クラウド間(GCP⇔AWS)通信 - Qiita
プロローグ GCP(Google Cloud Platform)とAWS(Amazon Web Service)の間のSite-to-Site VPN通信（クラウド間VPN通信）は、超簡単にできる！ GCPの「VPN接続」機能とAWSの「VGW(Virtual Private GW)」は、直結可能！ Azureの「仮想ネットワークゲートウェイ」とAWSのVGWは、（数年前は）繋げなかった... 確か「どちらが先にグローバルIPアドレスを払い出す？」問題。 ARM版では未検証。 AWSのようにWindows-VPNを試してみたが、不発... 詳細は（エピローグ中の）「gcpとAWSのNW観点の差異」をご参照。 手順 [gcp] 外部IPアドレス(以下、この値をGIPと呼ぶ)を取得する。 AWSのVGWはグローバルIPアドレスが自動的に割り振られる（＝Uncontrollable）なので、gc
![[IPSec-VPN] クラウド間(GCP⇔AWS)通信 - Qiita](https://cdn-ak-scissors.b.st-hatena.com/image/square/7b518db7911f706f8e0cc57c5203bc06f2707f08/height=288;version=1;width=512/https%3A%2F%2Fqiita-user-contents.imgix.net%2Fhttps%253A%252F%252Fcdn.qiita.com%252Fassets%252Fpublic%252Farticle-ogp-background-9f5428127621718a910c8b63951390ad.png%3Fixlib%3Drb-4.0.0%26w%3D1200%26mark64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTkxNiZoPTMzNiZ0eHQ9JTVCSVBTZWMtVlBOJTVEJTIwJUUzJTgyJUFGJUUzJTgzJUE5JUUzJTgyJUE2JUUzJTgzJTg5JUU5JTk2JTkzJTI4R0NQJUUyJTg3JTk0QVdTJTI5JUU5JTgwJTlBJUU0JUJGJUExJnR4dC1jb2xvcj0lMjMyMTIxMjEmdHh0LWZvbnQ9SGlyYWdpbm8lMjBTYW5zJTIwVzYmdHh0LXNpemU9NTYmdHh0LWNsaXA9ZWxsaXBzaXMmdHh0LWFsaWduPWxlZnQlMkN0b3Amcz1iNTZhMzliYTMzOTYwMDhmOGM1YjZjYTRhMGMwNzgyOQ%26mark-x%3D142%26mark-y%3D112%26blend64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTYxNiZ0eHQ9JTQwY29nYTIwMDAmdHh0LWNvbG9yPSUyMzIxMjEyMSZ0eHQtZm9udD1IaXJhZ2lubyUyMFNhbnMlMjBXNiZ0eHQtc2l6ZT0zNiZ0eHQtYWxpZ249bGVmdCUyQ3RvcCZzPTU3YjcwMmRjNTcxNWIxNWQ1Nzg3ZTdjM2RjYTRkODQ4%26blend-x%3D142%26blend-y%3D491%26blend-mode%3Dnormal%26s%3Dbbfa16a5cd0a639f0c7bdde1366668f9)
[Google Cloud Platform] GKE と ECS を色んな角度から比較してみた | AI tech studio
こんにちは。アドテクスタジオでネットワークエンジニアをしている山本 孔明です。 コンテナ流行ってますね。そんなコンテナを使いたいとなった時にクラウドで利用することを考える方も多いと思います。今日は、AWS と GCP の2つのパブリッククラウドサービスで提供されているコンテナのマネージドサービスである「Amazon EC2 Container Service (ECS)」と「Google Container Engine (GKE)」の比較をしてみました。 はじめに Google Trend の結果を見てみます。ECS で検索すると他のワードが入ってきたりとノイズもありますので、それぞれ正式名称で比較しています。 やはりどちらもコンテナのマネージドサービスとして同程度の関心をもたれていることがわかります。 1. サービス概要について 簡単に両者のサービスを説明します。 1-1. GKE G
![[Google Cloud Platform] GKE と ECS を色んな角度から比較してみた | AI tech studio](https://cdn-ak-scissors.b.st-hatena.com/image/square/1490f323b28df0dbfabb0fb6b832def7cf6223e8/height=288;version=1;width=512/https%3A%2F%2Fcyberagent.ai%2Fwp-content%2Fuploads%2F2016%2F10%2Ffa6e7a57a3593f1e4d53d33265387fb4_s.jpg)
運用4年目のサービスのインフラをGCPへ移設した裏側 | CyberAgent
こんにちは。グリフォンでインフラエンジニアをしている徳田です。 日々運用しているインフラの改善や新規ゲームのインフラ設計などを行っているのですが、先日、グリフォンで4年運用しているブラウザゲーム「不良遊戯 シャッフル・ザ・カード」(以下、不良遊戯)のインフラをGoogle Cloud Platform(以下、GCP)へ移設しました。今回は、その時の経緯や設計、行った作業やTipsについてご紹介します。 経緯 大まかな経緯として、 インフラコストの削減 パフォーマンスの向上 インフラ環境の整備 技術的な挑戦 がありました。しかし、事の発端は私がGCPを使いたい・試してみたいというなんとも自分勝手な提案だったのですが（笑）。 「インフラコストの削減」と「パフォーマンスの向上」については、不良遊戯をリリースしたのが2014年の5月で3年経っており、リリース時に比べVMのコア単価が安く、CPU性能
Google Cloud Platform Japan 公式ブログ: AWS ユーザー向けの Google Cloud IAM ガイドを公開
IT 戦略の一環として複数ベンダーのクラウド サービスを併用したいと考える企業は少なくありません。そうすることで、さまざまなクラウド ベンダーが提供する独自のサービスを活用できるほか、災害や復旧の際にアプリケーションの可用性を保てるからです。 ただし、複数ベンダーのクラウドを運用していくには、プロバイダーによって異なる IAM（ID およびアクセス管理）のポリシーを扱うなど、より洗練された計画や管理が必要となります。さまざまなプラットフォームでリソースやデータを保護する際にカギとなるのは、正しい IAM ポリシーを設定することなのです。 私たち Google は先ごろ、Amazon Web Services（AWS）に備わる IAM の利用経験があるユーザーを対象に、Google Cloud Platform（GCP）の IAM ポリシーについて記したガイドを公開しました。AWS と GC
IAM basic and predefined roles reference | IAM Documentation | Google Cloud
projects.locations.workloadIdentityPools.providers.operations
クイックスタート: Google Cloud コンソールでロールを付与する | IAM のドキュメント
フィードバックを送信 コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。 Google Cloud コンソールを使用して IAM ロールを付与する Google Cloud コンソールを使用して、プリンシパルにプロジェクト レベルで IAM ロールを付与する方法を学習します。 次の動画をご覧ください。 このタスクを Google Cloud コンソールで直接行う際の順を追ったガイダンスについては、「ガイドを表示」をクリックしてください。 ガイドを表示 始める前に Google Cloud プロジェクトを作成する このクイックスタートでは、新しい Google Cloud プロジェクトが必要になります。 Google Cloud コンソールでプロジェクトの選択ページに移動します。 プロジェクト セレクタに移動 Google Cloud プロジェクトの作成を開始す
IAM の概要 | IAM のドキュメント | Google Cloud
フィードバックを送信 IAM の概要 コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。 このページでは、Google Cloud の Identity and Access Management（IAM）システムの仕組みと、IAM を使用して Google Cloud でアクセスを管理する方法について説明します。 IAM を使用すると、特定の Google Cloud リソースに対するアクセス権をきめ細かく設定し、他のリソースへのアクセスを防ぐことができます。IAM を使用すると、最小権限のセキュリティ原則を導入できます。この原則では、必要以上に多くの権限を付与しないことが規定されています。 IAM の仕組み IAM では、誰（ID）がどのリソースに対してどのようなアクセス権（ロール）を持つかを定義することにより、アクセス制御を管理します。たとえば、Comp
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch
Amazon.co.jp: プログラマのためのGoogle Cloud Platform: サービスの全体像からクラウドネイティブアプリケーション構築まで: 阿佐志保, 中井悦司: 本
RailsでログをFluent::Loggerで埋め込んでBigQueryに送ってRe:dashで参照する手順メモ
BigQuery の IAM ロールと権限 | Google Cloud