What happens when the internet disappears while using a cloud application? This article explores how to build offline-first applications using AWS services. Learn how local storage, Progressive Web Apps, API Gateway, AWS Lambda, and DynamoDB work together to preserve user data and synchronize it when connectivity returns. Discover practical architecture, data conflict handling, security considerations, and steps to build a more reliable cloud application.

Ever wondered what happens behind the scenes when you open a website? Explore how frontend, backend, databases, networking, and AWS services work together to transform local code into a scalable cloud application. Discover the architecture behind modern web applications and the technologies that bring them to life.

What really happens when your code runs in the cloud without you managing a server? Explore the mechanics of serverless computing through AWS Lambda, API Gateway, and DynamoDB. Understand event-driven execution, automatic scaling, cold starts, execution environments, and the trade-offs developers should consider when building serverless applications. Because serverless doesn't mean there are no servers—it means you don't have to manage them.

Explore how Artificial Intelligence and AWS services can work together to predict cloud infrastructure failures, identify hidden performance anomalies, and trigger automated preventive actions before disruptions impact applications and users.

Explore the fundamentals of AWS Cloud Security, the Shared Responsibility Model, and essential security best practices. Learn how AWS services such as IAM, KMS, CloudTrail, and GuardDuty help organizations protect cloud infrastructure, manage risks, secure sensitive data, and strengthen their overall security posture. Discover why cloud security is not just a technical responsibility but also an important part of Governance, Risk, and Compliance (GRC).

## はじめに こんにちは、BASE Department で PHPer をしている @meihei です。 BASE の商品検索では、Amazon OpenSearch Service を使っています。マルチテナントのプールモデルで、非常に多くのショップの商品を同じインデックスに入れています。そのため、基本的には自分のショップ以外の情報を検索できないようにする必要があります。 この記事では、商品検索の OpenSearch 化で実装した認証認可について、2回に分けて紹介します。今回はインフラが中心で、アプリケーションでの仕組みは後編でお話しします。 ## 背景 BASE の商品検索は、CloudSearch から OpenSearch Service へ移行しました。この移行に合わせて、アクセス制御も整備しています。 商品検索を使うアプリケーションは複数あり、必要な権限はそれぞれ異なります。例えば、ショップページではそのショップの公開中の商品だけを検索しますが、ショップ管理画面ではログイン中のショップの非公開の商品も検索します。インデックスを更新するバッチもあります。 ### アクセス制御の全体像 BASE の商品検索では、次の4つの層でアクセスを制御しています。下の3層は OpenSearch Service で、一番上の層はアプリケーションで制御します。下から順に、制御の単位が細かくなります。 層 | 制御の単位 | 制御する内容 ---|---|--- アプリケーション | ショップ | どのショップの商品を検索するか きめ細かなアクセスコントロール | OpenSearch のロールごとのインデックス、ドキュメント | ユーザーを認証し、OpenSearch のロールに応じて何を許可するか ドメインアクセスポリシー | IAM ロール | どの IAM ロールのリクエストを許可するか ネットワーク | 接続元 | リクエストがドメインに到達できるか docs.aws.amazon.com 今回は OpenSearch Service で制御する3層を説明します。 ## ネットワークとドメインアクセスポリシーで接続元を絞る 商品検索のドメインは VPC 内に置き、外部からのアクセスをブロックしています。 ドメインアクセスポリシーでは、最小権限の考え方に沿って、商品検索を使うアプリケーションと運用に必要な IAM ロールだけを許可しています。許可されていない IAM ロールのリクエストは、きめ細かなアクセスコントロールに届く前に拒否されます。 ## きめ細かなアクセスコントロールで認証認可する 内部ユーザーデータベースは使わず、IAM ロールで認証しています。マスターユーザーにも IAM ロールを指定しています。 ### アプリケーションを認証する AWS のブログでは、テナントごとに OpenSearch のロールを用意し、テナント ID で絞るドキュメントレベルのセキュリティ（DLS）でテナントを分離する方法を紹介しています。 aws.amazon.com BASE はテナントにあたるショップの数が非常に多いので、ショップごとに OpenSearch のロールとマッピングを用意する方法は現実的ではありません。そこで、ロールはアプリケーション単位で割り当てています。アプリケーションは ECS で動いているので、きめ細かなアクセスコントロールは ECS タスクロールに紐付けています。 ECS タスクロールを OpenSearch のロールにマッピングするときは、ロールマッピングの `backend_roles` に IAM ロールの ARN を指定します。例えばショップページの ECS タスクロールは、次のように指定します（ARN は例です）。 { "backend_roles": [ "arn:aws:iam::123456789012:role/shop-front-task-role" ] } これで、どのアプリケーションからのリクエストかによって、OpenSearch のロールが決まります。 ### ロールで権限を絞る 用途ごとに、次のロールを用意しています。 ロール | 権限 | 使うアプリケーション ---|---|--- `items_reader_public` | 公開情報の商品検索（読み込み）のみ | ショップページ `items_reader_full` | 全情報の商品検索（読み込み）のみ | ショップ管理画面、社内管理画面 `items_writer` | 商品情報の書き込みと読み込み（ドメイン自体の設定にはさわれない） | DB の内容をインデックスへ反映するバッチ `item_search_index_manager` | インデックスの操作のみ | 開発者がレビューを経て実行するワンショットのバッチ `items_reader_public` には、次のように DLS を設定しています（インデックス名は例です）。 { "index_permissions": [ { "index_patterns": ["items*"], "allowed_actions": ["read"], "dls": "{\"term\": {\"is_visible\": true}}" } ] } `is_visible` が `true` のドキュメントだけが検索対象になるので、ショップページからは公開中の商品だけを検索できます。 ロールの分け方は、管轄の境界にも沿っています。ドメインやロールの定義は SRE が管轄する Terraform のリポジトリに、インデックスのマッピングやエイリアスはアプリケーションエンジニアが管轄するアプリケーションのリポジトリにあります。 アプリケーションのバッチにはインデックスの操作だけができる `item_search_index_manager` を割り当て、ロールやロールマッピングを変更できる権限はアプリケーションには渡していません。 なお、これらのロールでは、どのショップの商品を検索するかまでは絞っていません。ここはアプリケーション上で制御していて、後編でお話しします。 ショップページの検索を例に、ここまでの流れを図にすると次のようになります。 ## おわりに 今回は、商品検索の認証認可のうち、インフラを中心に紹介しました。 VPC で外部からのアクセスをブロックし、ドメインアクセスポリシーで許可する IAM ロールを限定し、きめ細かなアクセスコントロールで ECS タスクロールごとに権限を絞っています。 後編ではアプリケーションでの仕組みを紹介します。自分のショップ以外の情報を検索できないようにする制御をアプリケーション上で行い、CODEOWNERS と PHPStan で守っている話をします。 こうした商品検索の基盤づくりに興味のある方は、ぜひ採用情報もご覧ください！ binc.jp

🚀 The future is in the cloud! AWS is transforming technology through Cloud Computing, AI, Machine Learning, and IoT. As an ECE student and tech enthusiast, I'm excited to explore AWS, learn new skills, and turn innovative ideas into real-world solutions. 💡 Let's Learn. Build. Innovate. Together! 🌍 What would you like to build using AWS? 👇 #AWS #AWSBuilder #CloudComputing #AI #IoT #MachineLearning #BuildOnAWS #TechInnovation

While exploring the latest AWS updates, I came across a really interesting improvement for Kafka + Lambda.

Host and scale a modern, responsive single-page budget manager (Money Explorer) using AWS serverless edge infrastructure (Amazon S3, CloudFront, ACM, and Route 53) for sub-second latency and zero server maintenance.

Explore how Amazon Bedrock AgentCore and Apache SkyWalking can help developers collect AI agent execution sessions, analyze agent behaviour locally, identify issues, and improve performance. Learn how observability and session evaluation contribute to building more reliable, transparent, and production-ready AI agents.

Explore how Amazon Web Services (AWS) is empowering modern AI and Data Science through cloud computing, machine learning, data engineering, and scalable analytics. Discover how AWS services help transform raw data into intelligent insights and real-world AI solutions.

Discover how Amazon Web Services (AWS) helps students, developers, and businesses transform creative ideas into real-world digital solutions. Explore how cloud computing, storage, security, and scalable services make innovation easier and more accessible.

Discover how Amazon Web Services (AWS) empowers developers and students to build smarter AI projects using cloud computing, machine learning, and scalable infrastructure. Learn about essential AWS services and how they can transform innovative ideas into real-world solutions.

A beginner-friendly introduction to Artificial Intelligence, Machine Learning, and Data Science, covering essential concepts, programming skills, and a practical learning roadmap for aspiring AI engineers.

Want to host a website using AWS? Learn how Amazon S3 can store your website files and help you understand the basics of cloud hosting in this beginner-friendly guide.

Discover how Amazon CloudFront delivers content faster, reduces latency, and helps developers build responsive web applications.

I am preparing for the AWS Certified Cloud Practitioner exam and learning about core AWS services, cloud security, and cost management. Here are the key concepts I am learning as a beginner.

Cloud security doesn’t always require complex tools. Sometimes, small security practices make the biggest difference. One of the most important principles in AWS is Least Privilege.

Discover how AI Cloud combines artificial intelligence and cloud computing to deliver smarter, faster, and more scalable digital solutions. Explore its benefits, applications, challenges, and future potential across industries.

Explore how AI agents work and how AWS services like Amazon Bedrock and SageMaker help build intelligent applications. Discover beginner-friendly ideas, practical learning opportunities, and ways students can develop AI skills to solve real-world problems and innovate for the future.

AWS ECS Gateway can simplify ingress networking for containerized applications. Discover what it changes for DevOps teams and what to consider.

AWS Identity and Access Management (IAM) helps control who can access AWS resources and what actions they can perform. Explore IAM users, groups, roles, policies, and essential security practices for building a more secure cloud environment.

Explore how AWS cloud technology helps developers build secure, scalable, and intelligent applications while creating new opportunities for innovation and career development.

A quick cheat sheet explaining key Amazon S3 storage classes (Standard, IA, Intelligent-Tiering, Glacier) to help developers optimize cloud storage costs.

A developer's guide to understanding the power of serverless computing on AWS and best practices to keep your Lambda functions secure.