Sachiko Kijima

ソフトウェア会社に所属するエンジニア。 マイクロサービスとかAPIとかアジャイル開発と…

Sachiko Kijima

ソフトウェア会社に所属するエンジニア。 マイクロサービスとかAPIとかアジャイル開発とかのモダンな開発を勉強中。 手当たり次第に勉強してどこに何が書いてあったか忘れがちなので、メモとして使います。 所属組織の意向とは関係ない個人の意見や経験を記載するものです。

  • Integration Dojo

    Integration Dojoあるいはインテグレーション錬成道場受講後の復習用にどうぞ！

  • API Essential

    API Essential受講後の復習にどうぞ！

  • ServiceNow & GraphQL で遊ぼう

    せっかくなのでServiceNowで行ったGraphQLの検証にまつわる記事をまとめて読めるようにしておきます

API脆弱性シリーズ: Trello (2024)

実際の攻撃が発生し情報漏洩が起こったケース。 ホワイトハッカーの報告ではないので、目にした記事が正しいという前提でまとめてみます。 Trelloとは？SaaSのタスク管理ツールです。 カンバン方式のタスク管理用スペースを簡単に立ち上げられる便利なツールです。 攻撃の結果起こったこと15万ユーザーの情報が販売されていました。 Trelloから抜かれた情報はメールアドレス、フルネーム、ユーザー名と、直接漏洩した項目はあまりおおくありません。 特徴的なのはTrelloではない

Sachiko Kij…

    • API脆弱性シリーズ: Uber (2019)

      しばらく調べていなかったのでまた調査を再開しました。 今回は少し前に見つけたUberの脆弱性。 ホワイトハッカーの方が2019年に見つけてUberに報告し、Uber側で既に修正済み。 ホワイトハッカーの方の脆弱性報告はどういう仕組みの脆弱性だったかまで明かしてくれるので、勉強になります。 脆弱性の内容ドライバー側が使用しているAPIと乗車ユーザー側のAPIを組み合わせると、電話番号からユーザーの情報を全て参照できるようになってしまっていました。 ステップは以下の通り。

      Sachiko Kij…

      • マイクロサービス化のグランドデザインフェーズ (をコンサルティングで支援する)

        マイクロサービスアーキテクチャ化案件っていうのは新規システムじゃなく既存システムで発生します。 では実装に入る前のグランドデザインフェーズってどう過ごしたらいいの? と最近よく質問されるので、言語化しておきたいと思います。 ここから先はあくまで マイクロサービスアーキテクチャなんてやったことないよ！ …という組織を、組織外のコンサルタントが支援する という視点でどのように進むものかという話をさせてください。 内容はマイクロサービスアーキテクチャやモダナイゼーション初

        Sachiko Kij…

        • OWASP Cloud-Native Application Security Top 10 を読んでみた

          以前からCloud-NativeアプリケーションのTop 10ページが存在することは知っていたのですが、ほとんどがTBDなのでなんだろうと思ってたんです。 今見たら内容の入っているTop 10記事ができていました。まだレビュー中のようです。 日本語訳あります。 そもそもCloud-Native Applicationってなんだコンテナ技術を活用して動いているアプリケーション、くらいで考えていただくと良いと思います。 Amazonの説明によるとコンテナオーケストレーション

          Sachiko Kij…

        API脆弱性シリーズ: Trello (2024)

        Sachiko Kijima

        マガジン

        • Integration Dojo
          3本
        • API Essential
          7本
        • ServiceNow & GraphQL で遊ぼう
          7本

        記事

          OWASP API Security Top 10 2023 リリースバージョンを読んでみた

          RCを書き換えようかとも思ったのですが、色々変更があったので別記事にしてみました。 大きな変更ではありませんが、順位が変わった、あるいは表現が変わったなどがRCとの違いです。 内容に変更がない場合は以前の記事をそのままコピペします。 API1:2023 オブジェクトレベルの認可の不備原文: Broken Object Level Authorization これは2019年から変わりません。 データベースでいうところのレコードレベルのアクセス権が設定されていないパターン

          Sachiko Kij…

          OWASP API Security Top 10 2023 リリースバージョンを読んでみた

          Sachiko Kijima

          Public APIの料金体系 (2023/7)

          調査メモ。前回調査は2020/8。 誰得かわかりませんが、比較用に前回の調査メモ置いておきます。 従量型 (リクエストあたりいくら)従量型は利用者側 (APIクライアント開発者側) にとって支払い料金が読みにくいのがデメリットですが、その代わり呼ばれなかった時は料金が発生しないのが良いところです。 従量型から定額型に流れたと思ったのですが、また従量型に戻っているところがあったりなどして面白い。 新しい従量制のAPIを探す時は「pay as you go」などで見つかる。

          Sachiko Kij…

          Public APIの料金体系 (2023/7)

          Sachiko Kijima

          紙のノートデジタル化記録 (10年越しの！)

          10年かかってやっと「紙を最小化できた」というところまで来ました。 ノート術とか大好きで、紙のノート多用してたんです。 でも検索性が悪かったりして書いても情報を再利用しづらいとか、保管スペースの限界などでどんどんノートを捨てなければならず、デジタル化したいと思ってました。 普段ライフハック的なものは共有しないんですが、試行錯誤の時に記事をあちらこちら読ませていただいたので、同じように試行錯誤中の方々の何らかのヒントになりましたら幸いです。 ノートを使う目的を考えてみた最

          Sachiko Kij…

          紙のノートデジタル化記録 (10年越しの！)

          Sachiko Kijima

          ソフトウェア製品 (SaaS, パッケージ) を扱うときの心構え

          意外とこういうのSaaSやソフトウェア製品の導入支援をしているときはお客さんに気を使って言えないんだけど今なら製品を扱ってないので言える。 ソフトウェア製品はIDEとかたたき台じゃないんだぞ！ 10年ほどソフトウェア製品を提供する会社におりますので、そこでみたトラブル事例から、SaaSやパッケージソフトウェアなどのソフトウェア製品をうまく活用する場合の心構えを書いてみました。 既存のソフトウェア製品を採用するって、初期開発はコスト削減になるかもしれませんが、戦略的にやらない

          Sachiko Kij…

          ソフトウェア製品 (SaaS, パッケージ) を扱うときの心構え

          Sachiko Kijima

          読書感想文: Istioがなぜマイクロサービスアーキテクチャをやめたのか

          マイクロサービスアーキテクチャにした事例もあるけども、マイクロサービスアーキテクチャじゃなくした事例も目にするようになりました。 Istioはサービスメッシュとして使われるソフトウェアです。 最初Istioのコントロールプレーンの仕組みをマイクロサービスアーキテクチャを使って実現していましたが、弊害の方が強すぎてモノリスにしました、と言う話です。 コントロールプレーンの仕組み画像をサイトから引用させていただきます。 (a) がマイクロサービスアーキテクチャを採用していた時

          Sachiko Kij…

          読書感想文: Istioがなぜマイクロサービスアーキテクチャをやめたのか

          Sachiko Kijima

          OWASP API Security Top 10 (2023) RCを読んでみた

          新しいバージョンがRC (Release Candidate、リリース候補バージョン) になっているようです！ せっかくなので読んでみましょう。 正式にリリースされたら別の記事書くか、この記事を更新します。 オリジナルはこちら。まだGithubにあります。 ここからはまだ日本語の翻訳がないので、2019年版からタイトルの表現が変わっていないものは2019年版の日本語訳を踏襲し、表現が変わっているものや新しいものは英語で表現して本文中に適当な訳文をつけておきます。 ここでは

          Sachiko Kij…

          OWASP API Security Top 10 (2023) RCを読んでみた

          Sachiko Kijima

          自分がプロダクトを選んだ経験から選ばれるプロダクトを考えよう

          私は月に3-4回のワークショップをやっているのですが、その中で最近お気に入りの演習があります。 誰か一人のこだわりの一品を掘り下げ、以下を考えてもらうものです。 それが自分にもたらす効果 これがなくなって手に入らない場合何を買うか 意外とこれ本人も質問されないと答えられなかったりするんですよね。 自分のこだわりの一品を考えてみた考えてみたというより、社内の方にご協力した時に聞かれて初めて自分がなぜ買ったか説明がついたものがありました。 私はこのフィギュアが好きでみる

          Sachiko Kij…

          自分がプロダクトを選んだ経験から選ばれるプロダクトを考えよう

          Sachiko Kijima

          読書感想文: State of APIs 2022

          　毎年読んでいるので今年も読みます。 去年のパスが変わってました。画像に「2022」って書いてありますが、2021年バージョンへのリンクです。 2020年版にはアクセスできなくなっている。残念ですが私の記事へどうぞ。 2019年版はこちら。PDFへの直リンクなのでご注意。 https://rapidapi.com/blog/wp-content/uploads/2020/02/rapidapi-dev-survey.pdf 回答の傾向回答者のポジション的にはさまざま

          Sachiko Kij…

          読書感想文: State of APIs 2022

          Sachiko Kijima

          読書感想文: 世界のエリートはなぜ「美意識」を鍛えるのか?

          これです！ ものすごく発見があり1ページごとにうなずく本でした。 アート、サイエンス、クラフト (by ミンツバーグ)ミンツバーグによると、経営とはアート、サイエンス、クラフトが混じり合ったものなんだそうです。 アート: 組織の創造性を後押しし、社会の展望を直感し、ビジョンを生み出す サイエンス: 体系的な分析や評価を通じてビジョンに裏付けを与える クラフト: 経験や知識をもとにビジョンを現実化するための実行力を生み出す この3つの関係性についてはこの記事がわかりや

          Sachiko Kij…

          読書感想文: 世界のエリートはなぜ「美意識」を鍛えるのか?

          Sachiko Kijima

          読書感想文: The Problem with Software: Why Smart Engineers Write Bad Code

          長年マイクロソフトにいらっしゃった方なのですが、ご自身の経験から良いコードを書くことが難しい状況をさまざまな観点から議論されています。 私自身はコードはVBAで止まっているのですが、頷けるところが多くありました。 残念ながら日本語版が見当たりません。 例えば担当者の違うところ。 AのモジュールをXさん、Aを参照するBのモジュールをYさんが開発したとします。 このときXさんがAのモジュールを設計した意図や考え方と、Yさんが理解したAのモジュールの意図や考え方にずれが生じた

          Sachiko Kij…

          読書感想文: The Problem with Software: Why Smart Engineers Write Bad Code

          Sachiko Kijima

          読書感想文: The Luck Factor

          これはすごい本です。 「運がいい人」「運が悪い人」のリアルラックには実は差がなくて、運がいい人は運が良くなるようなマインドセットや行いをしているし、運が悪い人はそれに反したマインドセットや行いをしていることを、長年の調査と心理学的な実験から割り出して法則を導き出した本です。 英語。 日本語バージョンあります。 リアルラックでは差は出ないまず初めにTV番組を使って実験をしてみたそうなんです。運がいい人、悪い人、普通の人を集め、実際に宝くじを買ってみて当選確率を確認したと

          Sachiko Kij…

          読書感想文: The Luck Factor

          Sachiko Kijima

          読みたい本リストの管理ってどうしてます?

          これはむしろRFI (Request for Information) って感じの記事なんですが。 デジタル書籍を中心としながら、それでも本屋さんにいる時のワクワク感が手に入るような方法って何かないかと模索中なんです。 もしご自身のやり方を確立された方がいらっしゃいましたら記事やコメントやその他諸々の方法で情報提供いただけると嬉しいです。 20年くらい前から本棚のスペース問題 (および本棚の耐久性問題) により私の読書環境はデジタルに移行してきており、現在積極的にデジタル

          Sachiko Kij…

          読みたい本リストの管理ってどうしてます?

          Sachiko Kijima