関西のインフラエンジニア（経験20年超）｜NW・クラウド・セキュリティの設計構築・PM｜CCIE Lifetime Emeritus / VCAP-DCA / Azure Solutions Architect Expert｜セキュリティや AI の話題を、現場の目線で発信
Joined August 2012
- Tweets647
- Following178
- Followers1.1K
- Likes1.6K
これからインフラエンジニアを目指す人に、伝えたいこと。
「インフラエンジニアになる」より、「何をやってみたいか」から始めるのもありだと思う。
AI を使えば、開発や創作を一人で形にできる時代。
でも、作ったものを公開しようとすると、すぐにサーバーやネットワーク、セキュリティの壁にぶつかる。
必要に迫られて学ぶインフラは強い。
自分も初めて AI で Web アプリを作って公開したとき、最初に決めたのは「秘密情報をどこに置くか」だった。
生成 AI の API キーは、漏れると第三者に使われ、課金や利用枠の消費につながる。
だからコードには書かず Secret Manager に置き、Cloud Run から参照してブラウザ側には出さないようにした。
認証まわりは Firebase に任せて、自分では作り込まなかった。
地味だけど、インフラを触ってきた人間が最初に気にするのはこういうところ。
肩書きはインフラエンジニア。でも、それは名刺がわり。
インフラ以外のことに挑戦するときも、その土台が支えになっている。
就職や転職で、インフラをやってみたいなと悩んでいる方の参考になればうれしいです。
個人的には、セキュリティを軸に経験を積めるところは特におすすめです。
認証局 eMudhra の弱い鍵の件。Kuman さんの要約が分かりやすいです。
Cloudflare の観測では、最新ブラウザはおおむね対応済みだが、Android WebView は30〜40%が、まだ問題の証明書を受け入れているとのこと。
なお、Cloudflare の通信が傍受された証拠は、今のところ見つかっていないそうです。
認証局のeMudhraが、インターネットを守る錠前に115桁の数を選ぶべき場面で「4」( 4桁ですらなく、ただの4) を選んでいた件。Cloudflareが1週間追いかけた記録。
▼何が起きたか
・影響した中間認証局の秘密鍵は、公開されている証明書から誰でもほぼ即座に復元できた
・弱かった鍵は8つ。4、56、66、115、155、156、230、237
・「同じ署名鍵を誰でも独立に復元でき、任意のドメインの証明書を作れる」
▼Cloudflareの初動
・10/19 影響の大きいシステムを即日パッチ。脆弱なeMudhra鍵を拒否するように
・着手から4時間で全体の分析を完了し、その日のうちにチームに確認を依頼
・10/21 ログ収集の展開が完了
▼1週間の観測
・弱いeMudhra鍵を使った接続の試みが約22,000件
・そのうち3分の2はテストサイトへの取得
・160件ほどが、それとは別の挙動として目立った
・偽造証明書の1つは10/20 18:19 UTC付。Mozillaのバグ報告が公開されてから1時間以内
▼パッチが届いていない側
・最新のブラウザはおおむね対応済み。ただしボットと古いブラウザは別
・5,000万件の調査で、Android WebViewは30〜40%がまだ受け入れる
・大規模なネットワークでは、半数以上が依然として侵害された証明書チェーンを受け入れる
blog.cloudflare.com/emudhra-…
①は、クラウドの「責任共有モデル」と同じ考え方。
サーバー会社が守るのは基盤まで。どの PHP バージョンで動かすかは、利用者側の判断になることが多いです。
A GPU over Wi-Fi, running on OpenWrt?
As a network engineer, squeezing ~8Gbps of traffic down to ~400Mbps is the part that blew my mind 🤯
フランス下院で、配信事業者に「1GB あたり 0.055 ユーロ」を課す修正案が可決。
ただし僅差の可決で、まだ上院の審議前とのこと。
計測は ISP が事業者・CDN ごとに行う仕組みのようですが、ISP 内のキャッシュや CDN 経由の通信をどう振り分けるのか、ネットワーク屋としては気になります。
丁寧にありがとうございます。鑑だなんて恐縮です…
瀬戸さんのご質問のおかげで、私も初めて Ansible に触れることができました。
良いきっかけをいただき、ありがとうございました。
記事にまとめました。
仮想環境で確認できたことと、担保できないことの切り分けも整理しています。
mytech-blog.com/ansible-netw…
S3 のプレフィックス末尾の「/」、権限設計でも要注意です。
「logs」と「logs/」では、対象になるキーが変わります。
IAM ポリシーやライフサイクルルールで「logs」と書くと、logs-archive/ まで対象に入ります。
Reoさんの記事、図と CLI の例で分かりやすいです。
記事を投稿しました！ 【AWS初心者向け】S3のフォルダとプレフィックスの違いをAWS CLIで確認する on #Qiita qiita.com/reo_infraengineer/…
ご質問をきっかけに、手元の仮想環境で Ansible を試してみました。
Ubuntu＋Cisco の仮想ルータ（CSR1000V）を使い、設定の取得・バックアップ、変更前の確認、設定投入、冪等性の確認までできました。
本番に近い環境で検証するのが理想ですが、仮想環境でも Playbook の動作や設定変更の事前確認はできそうです。
ただ、実際の通信への影響や機種固有の動作までは担保できないため、そこは実機相当の環境での確認や切り戻し手順が必要だと感じました。
今回の検証内容は、記事にもまとめてみようと思います。
Cursor で配布された改ざん版 Claude Code 拡張（2.1.312 / 2.1.313）の影響確認と復旧手順を整理しました。
拡張の削除や更新だけでは、不正な SSH 鍵と永続化が残る可能性があります。
mytech-blog.com/cursor-claud…
正直、私は Ansible を触ったことがなく、机上の知識になります。
以前の職場では社内に検証環境があり、そこで事前検証していました。
手元でも簡単な検証環境を作れそうなので、実際に触ってみます。
事前検証としてどこまで担保できそうか、分かったら共有しますね。
ネットワーク機器もコードで管理できると嬉しいですよね。
Ansible には cisco.ios など、ルータやスイッチ向けのコレクションもあります。
ネットワークの現場でも、以前から使われています。
Linux を学びたい方に、こすけさんのコマンド学習道場がおすすめです。
基礎から LPIC 相当まで、無料でまとまっています。
ターミナルモードで自由にコマンドを打てるのも良いです。
Linux学習サイト
コマンド学習道場
サイトが完成しました！！
◾️Linuxの基礎・LPIC-1.2相当の学習
◾️自由に打てるターミナルモード
◾️課題モードでLinux操作を養う
これら以外にもコンテンツを豊富にご用意！
全て無料でご利用可能😎
よろしくお願いいたします！
command-dojo.com/
