FACTUAL ACTIVITY RECORD · 実際の作業をもとにした活動記録
適用identityの無効な権限を除く
API operationとIAM permissionの違いを正し、最小権限検査を通す
対象期間: —
目的
基盤適用用のcustom権限には、実際に付与できるIAM permissionだけを含め、API operation名を誤って混ぜない必要があった。
実装
service identityを生成するAPI operation名がpermissionとして列挙されていた誤りを修正し、その項目を適用identityから除いた。権限検査にも無効なpermissionを拒否する規則を加え、必要なservice identityは別の明示的なbootstrap手順で扱う境界を維持した。
一次差分で、REST method名をpermissionとして誤って含めた項目をapply定義から外した。全permission列を省き、周辺の有効項目と不在条件を示す詳細値は公開せず、確認した挙動だけを記録した。
確認したこと
確認結果
無効なpermissionがcustom権限から除かれ、検査が同種の混入を拒否することを確認した。
cutoff時点では修正後の権限を外部環境へ適用した結果は未確認だった。
完了とした根拠
API operationとIAM permissionを正しく分離し、適用identityの権限定義と検査を修正したことをもって完了とした。