FACTUAL ACTIVITY RECORD · 実際の作業をもとにした活動記録
Model Armor runtime IAMを対応属性へ直す
非対応のresource条件を外し、sanitize専用permissionを維持する
対象期間: —
目的
Model Armor canaryが503になり、runtime IAMのresource.name条件がserviceで対応されずbinding自体を拒否していることを確認した。sanitize権限を機能させながら、permissionを広げない修正が必要だった。
実装
runtime IAM policyから、Model Armorで評価できないresource.name条件を削除した。runtime service accountに与えるcustom roleは、user promptをsanitizeする単一permissionだけを維持した。
module文書、統合仕様、infrastructure検証を同じIAM契約へ揃え、非対応条件の再導入とpermission増加を検出するようにした。
図を描画しています…
確認したこと
確認結果
Terraform format、validate、GCP検証、仕様監査、差分検査が成功した。
custom roleのpermissionがsanitize用の1件だけであることを静的確認した。
修正後の実canary成功はcutoff時点では未確認だった。
完了とした根拠
非対応条件を除き、sanitize専用permissionだけを保つIAM契約を静的検証できた時点で完了とした。