Engineer Blog

Kairi Ueno

Hiroki Tamiya

Yugo Tsuchiya

TomokiIchikawa

Yoshito Ikeda

Haruki Tazoe

Hajime Shiozawa

Kazuki Katsurada

masashi kobayashi

lapla

Takehiko Okayama

Kotaro Ito

Yuhei Yasuda

naoyashiga

Takumi Ishii

Sojiro Nishimura

Katsumi Kobayashi

Kota Momoki

Calloc

Shohei Shiraki

Takaaki Kanetsuki

Yui Taniyama

Kota Yatagai

Shuhei Kondo

kenshin tanaka

KARTE Team

Security Team

Tomoya Koike

Haruki Tosa

Daiki Sakuma

Takuma Shibuya

plaidinc

Takami Yamada

Blocks Team

Takanori Koga

Takumi Katayama

Yu Nishimura

Takuya Ogawa

akira.kasuga

Kosuke Oya

Yoshiyuki Komazaki

mizchi

Ryosuke Suzuki

koichi tanaka

Arnaud Avondet

kazupon

daigo.isamatsu

Jun Kusahana

Shinnosuke Ozawa

Rei Ishikawa

Hiroto Harada

Kei Tamiya

Nobuhiro Ito

kazushi oohira

Yohei Meguro

Kazuto Kojima

Tomoki Koga

Kenichi Suzuki

Takaaki Nakama

Takahiro Tokunaga

Kohei Kadowaki

kantetsu

Makoto Kataigi

Tatsuya Monoi

Jumpei Ikegami

Masahiro Yamauchi

Shinji Eto

Yuta Nishimura

Hideyuki Okada

Wataru Ikarashi

Naoto Kato

Yuki Makino

Atsushi Fujikawa

Naohiko Takemura

Daikichi Sasamori

Atsushi Kobayashi

Naoki Shibayama

Daiki Matsui

Yohei Noda

プレイドでエンジニアをしている田宮です。今回は Cloud Logging と BigQuery 用いて開発した 監査ログ の紹介をします。

マルチプロダクトにおける全操作を網羅する監査ログ収集基盤：設計思想と実装 - 収集編

<h1>はじめに</h1>
<p>こんにちはプレイドの<a href="https://cxclip.karte.io/products/info/message-beta/">KARTE Message</a>チームでエンジニアをしている<a href="https://x.com/prooooograming">土谷</a>です。</p>
<p>今回は大量メール配信を実現するためにKARTE Messageで取っている仕組みを紹介していきます。</p>
<h1>KARTE Messageについて</h1>
<p>本題に入る前に、まずKARTE Messageについて説明します。</p>
<p>KARTE Messageはマルチチャネル(Mail/アプリPush/LINE *)での大量配信を行えるMAツールとなっており、主に以下の機能を備えています。</p>
<ul>
<li>配信の管理
<ul>
<li>配信対象抽出の設定</li>
<li>配信コンテンツの設定・コンテンツへの埋め込み</li>
<li>配信速度・頻度の管理</li>
</ul>
</li>
<li>配信対象の管理
<ul>
<li>誰に配信するのかを取り扱うための配信対象を管理するためのリスト機能</li>
<li>リストに対するフィルタリング機能</li>
<li>リスト同士を組み合わせて配信対象を絞り込む機能</li>
</ul>
</li>
<li>配信コンテンツの管理
<ul>
<li>配信コンテンツをテンプレートとして管理</li>
</ul>
</li>
</ul>
<p>これらの機能に加えてKARTEの特有の機能を利用した配信対象の抽出などもできるようになっています。</p>
<p>* LINEとの連携機能は現状β版として提供しています。</p>
<h1>このブログで出てくる用語</h1>
<p>まずメール配信においてよく使われる用語の説明をします。理解している人は読み飛ばしてください。</p>
<p><code>Eメール</code> : 一般的にEメールはマーケティングメールとトランザクションメールに大別できます。</p>
<p><code>マーケティングメール</code> : 受信者がアクションをしていなくても送信者側が能動的に送信するメールです。メルマガ配信やクーポンメールなど。</p>
<p><code>トランザクションメール</code> :  受信者が何かしらのアクションを起こした時に受等的に送信するメールです。ログインメールやパスワードリセットメールなど。</p>
<p><code>メールバウンス</code> : 送信したメールが何らかの理由で相手のメールサーバーに拒否されて、送信者に戻ることです。メールバウンスはハードバウンスとソフトバウンスに大別できます。</p>
<p><code>ハードバウンス</code> : メールの拒否理由が恒久的な問題の場合のメールバウンスのことです。メールアドレスが存在しないなど。</p>
<p><code>ソフトバウンス</code> : メールの拒否理由が一時的な問題の場合のメールバウンスのことです。受信者のメールボックスがいっぱいなど。</p>
<p><code>IP/ドメインレビュテーション</code> : メール送信時に利用するサーバーのIPアドレスやFromドメインに対して付けられる評価をレピュテーションと呼びます。スパムメールのようなメールをたくさん配信しているとレピュテーションが下がり、メールプロバイダー(GmailやYahoo!メールなど)から受信を拒否される場合があります。レピュテーションの管理はメールプロバイダーがやっていたり、第三者機関がやっていたり、さまざまなパターンがあります。</p>
<p><code>SPF</code> : SPFレコードというDNSレコードを利用して、送信されたメールの送信元IPを確認することで送信者がなりすましをしていないかを確認する仕組みです。</p>
<p><code>DKIM</code> : DKIMレコードというDNSレコードを利用して、送信されたメールの内容が第三者に改竄されていないことを確認する仕組みです。</p>
<p><code>DMARC</code> : SPF/DKIMの確認に引っかかった時に、どのように対応すべきかを送信元のサーバーが表明しておく仕組みです。</p>
<h1>大量メール配信の運用における課題</h1>
<p>マーケティングメールが大量に送信されている現在の環境では、同様に大量のスパムメールも送信されています。メールプロバイダーはメールの大量送信に対して、スパムメールかどうか・送信者がスパマーではないかという判定を厳しく行なっています。</p>
<p>そのためマーケティングメールをエンドユーザーに届けるためには、送信したメールがスパムメールでないことを証明する必要があります。</p>
<p>メールプロバイダーは送信されたメールがスパムメールでないことを確認するために、以下のような項目を確認しています。</p>
<ul>
<li>SPF/DKIM/DMARCの設定確認
<ul>
<li>これらのDNSレコードの設定がされていないとスパムメールと判断される場合があります。</li>
</ul>
</li>
<li>IPレピュテーション・ドメインレピュテーションの確認
<ul>
<li>送信元のIPレピュテーションやドメインレピュテーションが低いと、スパムメールと判断される場合があります。</li>
</ul>
</li>
<li>メールコンテンツの正当性の確認
<ul>
<li>メール内のコンテンツにhttpのセキュアではないリンクがあったり、不審なスクリプトなどが含まれていたりすると、スパムメールと判断される場合があります。</li>
</ul>
</li>
<li>メール配信量の急増の検知
<ul>
<li>特定IPからのメールの配信量が急増すると、スパムメールと判断される場合があります。</li>
</ul>
</li>
</ul>
<p>上記のようなスパムメールかどうかの大量のチェックが各メールプロバイダーごとで設定されているため、マーケティングメールをエンドユーザーに届けることが簡単ではないことが課題となっています。</p>
<h1>KARTE Messageにおける大量のメールをエンドユーザーに届けるための仕組み</h1>
<p>ここからは、KARTE Messageで行なっているマーケティングメールを正常にエンドユーザーに届けるための仕組みを紹介します。</p>
<h2>AWS SESを利用したマルチテナント構成</h2>
<p>大量メール配信においてIPレピュテーションを高く保つことは、上述した通り非常に重要です。これを実現するには、スパムメールと判定される可能性のある質の低いメールの送信を極力避け、メールプロバイダーに確実に受信される質の高いメールを送信する必要があります。</p>
<p>そのため、質の高いメールの配信量を最大限に増やすことが有効なアプローチの一つです。これにより、仮に少量の質の低いメールが送信されたとしても、全体におけるその割合を低く抑えることができ、結果としてIPレピュテーションを高く維持することにつながります。</p>
<p><img src="https://ik.imagekit.io/plaid/913abcd7-570a-481a-bc9b-b9cb0c8ff3e4/blog_image1.png" alt="blog_image1.png"></p>
<p>KARTE Messageでは、それを実現する仕組みとしてマルチテナントなメール配信を行なっており、KARTE Messageが所有しているIPアドレスをクライアントごとに固定せず、全てのIPに均等に振り分けて送信しています。</p>
<p><img src="https://ik.imagekit.io/plaid/c3e46daa-6c2d-4f66-b27e-b7a349813334/blog_image2.png" alt="blog_image2.png"></p>
<p>結果として冒頭で述べた通り、KARTE Messageを利用しているクライアント全配信量が母数となるので、特定のクライアントで質の低いメールが多少送信されても影響を小さくすることができます。</p>
<p>また、複数のクライアントの配信をKARTE MessageのIPで送信しているため、配信はほぼ24時間常に行われています。そのため、1クライアントが急な大量配信をしたとしてもKARTE Message全体では配信量の急増にはなりにくく、メール配信量の急増によるIPレピュテーションの低下を防ぐことができ、送信されたメールもスパムメールと判定されづらくなります。</p>
<p>こういったIPレピュテーションの運用は、1クライアントでやろうとすると配信量や配信時間の問題で運用が難しくなる場合があります。KARTE Messageではマルチテナント配信にすることで、その運用負荷をクライアントから取り除いています。</p>
<h2>まとめ</h2>
<p>マルチテナント配信以外にも、KARTE Messageではメール配信の細かなモニタリングを行ったり、SPF/DKIM/DMARCの設定の補助機能なども提供することで、なるべくマーケティングメールの運用負荷を下げるような機能提供を行なっています。</p>
<p>KARTE Messageでは、メールという長年コミュニケーションツールとして中心になっている技術であるからこそ難しくなっている部分を管理することで、価値を届けるプロダクトを作っています。</p>
<p>興味がある方は<a href="https://recruit.plaid.co.jp/product">採用ページ</a>をご覧ください。お待ちしております！</p>


KARTE MessageというMAツールでメールの大量配信を安定的に行うためのシステム設計やIP運用の考え方などを説明

KARTE Messageで採用している大量配信を実現するためのアーキテクチャ

KARTE Messageの大量メール配信を支える技術

こんにちは！10月初旬から4月末までの7ヶ月間、ソフトウェア開発のインターンとしてプレイドで働いていた[上野海吏](https://x.com/kairi_noel)(@kairi_noel)です。

プレイドで7ヶ月間の開発インターンで体験したことと得られた学び

AIエージェントによるセキュリティレビューの試みを紹介します。

AIエージェントによるセキュリティレビューことはじめ

この記事では、MongoDB Atlas Stream Processing を使った BigQuery へのレプリケーションシステムについて解説します。

MongoDB Atlas Stream Processing を使った BigQuery へのレプリケーション

KARTEサポートサイトの情報を検索し、質問文とともにChatGPTに入力して回答を生成するbotを作成しました。

KARTEの仕様に詳しいChatGPTを作ってみた

PLAIDには2021年の3月からインターンとして開発に携わり、2022年度にソフトウェアエンジニアとして新卒で入社しました。  この記事では、一年間開発インターンとしてどのような開発を行っていたのかについてお話ししていきたいと思います。

PLAIDのインターンシップで解析基盤の移行に携わった話

PLAIDのインターンシップでリアルタイムユーザー解析基盤の移行に携わった話

意図せずログに出てしまった機密情報を検知し、そのログをすぐ修正できる状態を、Datadogのセンシティブデータスキャナーを使い実装します。

機密情報が間違ってログ出力されたことを検知する仕組みを、Datadogのセンシティブデータスキャナーで作る

<p>不正アクセスの中でも、アカウントへの不正ログインはもっとも基本的な攻撃になります。<br>
なぜならログイン画面はどのサービスでも公開されていることが多く、<br>
最近は外部サイトから流出したパスワードリストを使ったCredential Stuffingといった攻撃も行われます。<br>
そのため、アカウントへの不正ログインは、攻撃者にとってはどのサイトでも共通の攻撃ができる比較的安易な攻撃方法となります。</p>
<p>この問題への根本的な対策は難しいですが、KARTEでも実装している多要素認証やアカウントロック機能といった対応が考えられます。<br>
一方で、このような攻撃が実際に行われているかを監視する仕組みは、直接的な対策とは別途必要になります。</p>
<p>なぜなら、対策に抜け道がある可能性や外的要因で攻撃が突発的に発生する可能性があり、それに気付く仕組みと組み合わせることが重要となるためです。</p>
<p>KARTEではログのモニタリングに<a href="https://www.datadoghq.com/ja/">Datadog</a>を使っているため、Datadogを使い不正ログインなどのモニタリングを実装していくことにしました。</p>
<h2>Datadogで不正ログインのモニタリングの実装方針</h2>
<p>元々部分的に不正ログインのモニタリングの仕組みを実装していましたが、網羅性をもっと強化する方法を検討していました。<br>
そこで、Datadogが用意している不正ログインなどのモンタリングテンプレートをベースにして、あらためて不正ログインのモニタリングの仕組みを作り直すことにしました。</p>
<ul>
<li><a href="https://docs.datadoghq.com/ja/security_platform/guide/monitor-authentication-logs-for-security-threats/">モニター認証ログによるセキュリティ対策</a></li>
</ul>
<p>このテンプレートでは、Datadogの<a href="https://docs.datadoghq.com/ja/logs/log_configuration/attributes_naming_convention/">標準属性</a>と呼ばれるスキーマにあわせたCustom Attributeをログと一緒に送る必要があります。</p>
<p>たとえば、ログに紐づくユーザーIDは<code>usr.id</code>というフィールドに入れて送るといった命名規則がある程度決まっています。<br>
この名前は独自に決めても問題ないですが、先ほども述べたようにテンプレートを利用するには、スキーマに合わせた方が楽になります。</p>
<p>そのため、今回はDatadogの<a href="https://docs.datadoghq.com/ja/logs/log_configuration/attributes_naming_convention/">標準属性</a>に合わせる形式でログを送り、そのログを使ってアラートやモニタリング用のダッシュボードを作成することにしました。</p>
<h2>ログイン成功/失敗のログを実装</h2>
<p>ログインの成功時と失敗時に、Datadogの<a href="https://docs.datadoghq.com/ja/logs/log_configuration/attributes_naming_convention/">標準属性</a>のCustom Attributeを含めるように実装します。<br>
具体的には、次のようなAttributeを実装することにしました。</p>
<ul>
<li><a href="https://docs.datadoghq.com/logs/log_configuration/attributes_naming_convention/#user-related-attributes">usr.id</a>: 管理画面にログインするアカウントの一意なID</li>
<li><a href="https://docs.datadoghq.com/logs/log_configuration/attributes_naming_convention/#events">evt.category</a>: &quot;authentication&quot;</li>
<li><a href="https://docs.datadoghq.com/logs/log_configuration/attributes_naming_convention/#events">evt.name</a>: &quot;authentication&quot; or &quot;Google Login&quot;</li>
<li><a href="https://docs.datadoghq.com/logs/log_configuration/attributes_naming_convention/#events">evt.outcome</a>: &quot;success&quot; or &quot;failture&quot;</li>
<li><a href="https://docs.datadoghq.com/logs/log_configuration/attributes_naming_convention/#network">network.client.ip</a>: リクエスト元のIPアドレス</li>
</ul>
<p>詳細は次のドキュメントでも解説されています。</p>
<ul>
<li><a href="https://docs.datadoghq.com/ja/security_platform/guide/monitor-authentication-logs-for-security-threats/">モニター認証ログによるセキュリティ対策</a></li>
</ul>
<p>Datadogへのログの送信方法は色々ありますが、KARTEでは社内で利用する共通のロガーライブラリがあるため、共通のロガー経由で送ることにしました。</p>
<ul>
<li><a href="https://docs.datadoghq.com/ja/logs/log_collection/?tab=%E3%82%A2%E3%83%97%E3%83%AA%E3%82%B1%E3%83%BC%E3%82%B7%E3%83%A7%E3%83%B3">ログの収集とインテグレーション</a></li>
</ul>
<p>たとえば、次のようなイメージでログイン成功と失敗のログをメッセージと一緒にCustom AttributesをDatadogに送っています。</p>
<pre><code class="language-js">// ログイン成功時のログ
logger.info(&quot;_check_and_login: login_successful&quot;, {
  usr: {
    id: user.id
  },
  evt: {
    category: &quot;authentication&quot;,
    name: &quot;authentication&quot;,
    outcome: &quot;success&quot;,
  },
  network: {
    client: {
      ip: req.ip // expressのreq.ip
    }
  }
});
// ログイン失敗時のログ
logger.error(new Error(&quot;_check_and_login: login_failure&quot;), {
  usr: {
    id: user.id
  },
  evt: {
    category: &quot;authentication&quot;,
    name: &quot;authentication&quot;,
    outcome: &quot;failure&quot;,
    reason: &quot;ログイン失敗の理由&quot; // ここはDatadogの標準属性にはないが必要な情報なので入れています
  },
  network: {
    client: {
      ip: req.ip // expressのreq.ip
    }
  }
});
</code></pre>
<p>しかし、社内で利用しているロガーでは、第二引数のCustom Attributesを<code>custom</code>というプロパティにまとめてから送信するという仕組みになっていました。</p>
<p>Datadogに送信されるJSONログは次のようなイメージです。</p>
<pre><code class="language-js">{
  timestamp: &quot;2022-07-22T06:54:48.787Z&quot;,
  status: &quot;info&quot;,
  message: &quot;_check_and_login: login_successful&quot;,
  custom: {
    usr: {
      id: &quot;example@example.com&quot;,
    },
    evt: {
      category: &quot;authentication&quot;,
      name: &quot;authentication&quot;,
      outcome: &quot;success&quot;,
    },
    network: { client: { ip: &quot;127.0.0.1&quot; } },
  }
}
</code></pre>
<p><code>custom</code>プロパティにまとめているのは、DatadogのCustom Attributesには<a href="https://docs.datadoghq.com/logs/log_configuration/attributes_naming_convention/#reserved-attributes">予約語</a>が存在し、名前が衝突してしまうのを避けるためです。<br>
そのため、<code>custom.usr.id</code>として送信したものを<code>usr.id</code>にマッピングする必要があります。</p>
<h3>Datadog PipelineでCustom Attributesのマッピングをする</h3>
<p>Datadogには<a href="https://docs.datadoghq.com/ja/logs/processing/pipelines/">パイプライン</a>という仕組みがあります。<br>
パイプラインでは、ログを取り込む際にCustom Attributesを別の名前にマッピングしたり、不要なログを取り込まないように無視できます。</p>
<p>パイプラインを使い<code>custom</code>プロパティを必要なDatadogの<a href="https://docs.datadoghq.com/ja/logs/log_configuration/attributes_naming_convention/">標準属性</a>へとマッピングできます。</p>
<p>パイプラインページではStandard Attributesという専用のタブも用意されていて、デフォルトでいくつかのAttributeは登録されています。<br>
今回は、このStandard Attributesに<code>usr.id</code>などを追加し、<code>custom.usr.id</code>を<code>usr.id</code>マップする設定を追加しました。</p>
<p><img src="https://ik.imagekit.io/plaid/df391cce-f710-4680-a58d-d2afaff9d600/datadog-standard-attributes.png" alt="Datadogのstandard-attributesの画面"></p>
<blockquote>
<p>DatadogのStandard Attributesの画面</p>
</blockquote>
<p><img src="https://ik.imagekit.io/plaid/3ada5405-ef68-4b86-a8d3-f653aa51b478/edit-standard-atttribute.png" alt="をにマッピングする設定"></p>
<blockquote>
<p><code>custom.usr.id</code>を<code>usr.id</code>にマッピングする設定]</p>
</blockquote>
<p>これでパイプライン設定後に送られたログに関しては、<code>custom.usr.id</code>を送ったら<code>usr.id</code>へとマッピングされるようになります。</p>
<h2>ログを使った不正ログインのアラートを設定する</h2>
<p>ここまでで、ログインの成功や失敗のログとCustom Attributesが送信されるようになりました。<br>
このログを使い不正ログインに関連するアラートを設定していきます。</p>
<p>Datadogには<a href="https://docs.datadoghq.com/ja/security_platform/explorer/">セキュリティシグナル</a>というセキュリティアラート向けの仕組みが用意されています。<br>
セキュリティシグナルは、複数のログの組み合わせからアラートを設定できたり、ログなどに対してコンテキスト情報を付与(特定のログにSeverity:Highラベルをつけるなど)ができます。</p>
<ul>
<li><a href="https://www.datadoghq.com/ja/blog/announcing-cloud-siem/">Datadog セキュリティモニタリングが新登場 | Datadog</a></li>
</ul>
<p>また、<a href="https://docs.datadoghq.com/ja/security_platform/explorer/">セキュリティシグナル</a>の<a href="https://docs.datadoghq.com/security_platform/default_rules/">検出ルール</a>には、AWSやGCPなどのビルトインのルールが用意されています。<br>
不正ログインに関しても、いくつかのテンプレートとなる検出ルールが用意されています。</p>
<ul>
<li><a href="https://app.datadoghq.com/security/configuration/rules?query=brute%20force%20attack&amp;all=false&amp;sort=rule_name">ブルートフォース攻撃</a>
<ul>
<li>パスワードを総当たり攻撃する手法</li>
</ul>
</li>
<li><a href="https://app.datadoghq.com/security/configuration/rules?query=credential%20stuffing%20attack&amp;sort=rule">クレデンシャルスタッフィング攻撃</a>
<ul>
<li>外部のサービスから流出したアカウント名とパスワードのリストを使って、ログインできるかを試行する攻撃手法</li>
<li>パスワードリスト攻撃とも言われる</li>
</ul>
</li>
</ul>
<p>これらのテンプレートは先ほども紹介していたDatadogの<a href="https://docs.datadoghq.com/ja/logs/log_configuration/attributes_naming_convention/">標準属性</a>が利用されています。<br>
そのため、送るログもDatadogの<a href="https://docs.datadoghq.com/ja/logs/log_configuration/attributes_naming_convention/">標準属性</a>の名前に合わせる(マッピングする)ことで、アラートの実装が簡単になります。</p>
<p>これらの用意されたテンプレートなどをベースに、次のようなルールを作成しています。</p>
<ul>
<li>ブルートフォース攻撃(IPアドレス単位)</li>
<li>クレデンシャルスタッフィング攻撃</li>
<li>Annomalyを使った異常検知のアラート
<ul>
<li>Detection methods: Anomaly</li>
<li><code>@evt.category:authentication @evt.outcome:failure</code></li>
<li>普段とはログイン失敗の傾向が異なるなら飛ぶアラート</li>
<li><a href="https://www.datadoghq.com/ja/blog/anomaly-detection-rules-datadog/">Detect Security Threats With Anomaly Detection Rules | Datadog</a></li>
</ul>
</li>
</ul>
<p>たとえば、&quot;ブルートフォース攻撃(IPアドレス単位)&quot;なら次のようなルール設定になります(実際の値とは細かいところは異なります)。</p>
<p><img src="https://ik.imagekit.io/plaid/822eb073-db7f-4366-a9c9-30566cd0f46a/brute-force-attack-grouped-by-user.png" alt="ブルートフォース攻撃(IPアドレス単位)"></p>
<blockquote>
<p>ブルートフォース攻撃(IPアドレス単位) のルール設定</p>
</blockquote>
<p>このルールでは、ログのCustom Attributesを元にログインの成功と失敗を、ログインしようとしたIPアドレスでグルーピングしています。<br>
グルーピングした結果、&quot;5分以内に、特定のIPアドレスからのログイン失敗が5回 かつ ログイン成功1回&quot; を、攻撃の成功として判定し、Severity:Highのラベルをつけてアラートを飛ばしています。<br>
また、攻撃の予兆の検知として &quot;5分以内に、特定のIPアドレスに関するログイン失敗が5回&quot; を検知し、Severity:Infoのラベルをつけています。(成功はしてない)</p>
<p>もちろん、普通に利用しているユーザーがパスワードを何回も入力ミスしてからログインに成功するというケースもあるので、これらの値は実際のアプリケーションに合わせて調整するのが良いです。</p>
<p>どのアラートも目的、対応方法などの何をするべきかという説明を書き、アラートが発生したときに何をするかが明確になっていることが重要です。</p>
<p>これでアラートが設定できましたが、個別のアラートだけ見ても全体でどのような問題が起きてるかは分かりにくいです。<br>
そのため、不正ログインに関連するダッシュボードを作成し、そこで起きているアラート(Signal)を一覧できるようにしています。</p>
<h2>アラートの全体像を掴むダッシュボードを作成する</h2>
<p>Datadogには、今回設定した不正ログインなどのアラートをまとめたダッシュボードのテンプレートが用意されています。</p>
<ul>
<li><a href="https://app.datadoghq.com/dashboard/lists/preset/100">Security and Compliance</a>
<ul>
<li>IP Investigation</li>
</ul>
</li>
</ul>
<p>このダッシュボードのテンプレートを元に、実際に不正ログイン周りの運用をするためのダッシュボードを作成しています。</p>
<p><img src="https://ik.imagekit.io/plaid/1664b19f-ee44-4b15-86bc-eb3f76329ae3/datadog-dashboard.png" alt="Datadog セキュリティダッシュボードのイメージ"></p>
<blockquote>
<p>Datadog セキュリティダッシュボードのイメージ(意図的にアラートを発生させている)</p>
</blockquote>
<p>ダッシュボードでは、発生してるアラートをSeverity別で表示したり、ログイン全体の様子、調査方法などをまとめています。<br>
発生したアラートからログを調査したり、そのアラートが実際に問題なのかを確認できるようにしています。</p>
<p>また、ダッシュボードに関連するアラートのモニターを一覧するには、モニター自体にタグを設定しておくと便利です。<br>
たとえば、<code>category:authentication</code> というタグをつけておけば、<code>tag:&quot;category:authentication&quot;</code> でモニターの一覧を検索できるようになります。</p>
<h2>おわりに</h2>
<p>この記事では、Datadogを使い不正ログインのアラートとダッシュボードといったモニタリング方法について紹介しました。<br>
Datadogの<a href="https://docs.datadoghq.com/ja/logs/log_configuration/attributes_naming_convention/">標準属性</a>に従ったログを出すことで、テンプレートを使ったセットアップが簡単にできるようになっています。<br>
一から仕組みを作ると大変ですが、テンプレートをベースにカスタムしていくことで、ある程度形になったものが簡単に作成できます。</p>
<ul>
<li><a href="https://docs.datadoghq.com/ja/security_platform/guide/monitor-authentication-logs-for-security-threats/">モニター認証ログによるセキュリティ対策</a></li>
</ul>
<p>また、今回はログインの成功と失敗のログを中心にして紹介しましたが、他にもアカウントへの不正アクセスのシグナルとなるものはあります。<br>
たとえば、パスワードリセットや2要素認証などのログも、不正アクセスに関係する攻撃が発生しているかの判断材料として利用できます。<br>
KARTEではこれらのログに対するモニタリングの追加や運用しながらのアラートの調整などを行なっています。</p>
<p>CX（顧客体験）プラットフォーム「<a href="https://karte.io/">KARTE</a>」を運営する<a href="https://plaid.co.jp/">PLAID</a>では、セキュリティのモニタリングの設計から運用までを考えて実装していくエンジニアを募集しています。<br>
詳しくは、<a href="https://recruit.plaid.co.jp/">弊社採用ページ</a>をご覧ください。</p>
<ul>
<li><a href="https://recruit.plaid.co.jp/requisitions/security-engineer">セキュリティエンジニア | 募集ポジション | 株式会社プレイド</a></li>
</ul>


Datadogのセキュリティモニタリングを使った不正ログイン検知の実装方法について

Datadogを使った不正ログインのモニタリングの実装

Datadogを使った不正ログインのモニタリング実装

<p>こんにちは、エンジニアの <a href="https://tech.plaid.co.jp/author/takanori_koga">@koga</a> です。<br>
今回は開発でよく使うGitHubとSlackのスレッドを同期する仕組みの取り組みと実装例を紹介します。プレイドでは、社内開発した Slack App 「<a href="https://issit.plaid.co.jp/">issit</a>」を使って、SlackメッセージからGitHub issueを作成し日々のタスク管理などに活用しています。</p>
<p>「issit」とは、Slack上で流れていってしまうやりとりをGitHub issueにすることで、フロー情報をストック情報に変換するためのアプリです。このアプリにより、SlackからGitHub Issueへストックする流れができました。<br>
<img src="https://ik.imagekit.io/plaid/d00392d8-4759-4a64-867d-00fc66afafaa/issit-1.png" alt="issit-1.png"></p>
<p>2022年8月のPLAIDのデータを確認すると、作成されたissueの約5.8%が「issit」からの作成であることが分かりました。<br>
しかし、やっていくうちに課題も出てきました。</p>
<h2>見えてきた課題</h2>
<p>GitHub issueのコメントに気付けないことがある。ということが見えてきました。</p>
<p>issueはclosedにしているけれど、Slackで終わったか確認している会話を見かけたり、issueにコメントを書いた後、Slackで「issueにコメントしました！」という会話も見かけることがありました。<br>
Slackでコメントしている理由は簡単で、GitHubへのコメントでは気づかれないからです。</p>
<h2>解決した方法</h2>
<p>この課題を解決するために、GitHub issueのコメントやステータスをSlackに反映する仕組みを<a href="https://docs.github.com/ja/get-started/customizing-your-github-workflow/exploring-integrations/about-webhooks">GitHub webhook</a>を使って実装しました。<br>
これによって “新しいissitの図” のように、SlackとGitHubで双方向の流れができ、issueのコメントに気づけるような仕組みにすることができます。<br>
<img src="https://ik.imagekit.io/plaid/1d84ef34-c593-464c-8a11-ee4dd7957a18/issit-2.png" alt="issit-2.png"></p>
<h2>解決した実例紹介</h2>
<p>「issit」はSlackのメッセージショートカットからGitHub issueを作成することができます。<br>
メッセージショートカットを実行するとモーダルが表示され、GitHub webhookの設定もモーダルでおこなえます。</p>
<p>GitHub webhookの設定項目は２つあります。</p>
<ul>
<li>issueのcloseをSlackのスレッドへ通知する設定</li>
<li>issueコメントをSlackスレッドへSyncする設定</li>
</ul>
<p><img src="https://ik.imagekit.io/plaid/0c63f389-b0a8-4098-b0d6-75ad44dba515/issit-example-1.png" alt="issit-example-1.png"></p>
<p>issue作成したあとにGitHub webhook設定を変更することも可能です。<br>
「issit」の投稿で、Slackのメッセージショートカット「issitのGitHub webhook設定」を実行するとモーダルが表示されます。<br>
<img src="https://ik.imagekit.io/plaid/7cdb2bc4-d46d-460e-861b-9f6248a4020b/issit-example-2.png" alt="issit-example-2.png"></p>
<p>そのモーダル内で各項目を変更し保存することでGitHub wobhook設定を変更することができます。<br>
<img src="https://ik.imagekit.io/plaid/e933315f-a74b-4c2f-ab96-3e3c2146a249/issit-example-3.png" alt="issit-example-3.png"></p>
<p>defaultのGitHub webhookを設定しておくことも可能です。<br>
設定したいチャンネルで <code>/issit</code>とコマンドを実行するとチャンネルで設定したリポジトリ一覧が表示されます。<br>
<img src="https://ik.imagekit.io/plaid/816fb676-7717-4995-9d9e-4a4c4e302045/issit-example-4.png" alt="issit-example-4.png"></p>
<p>リポジトリの「Settings」を押すと、issue作成時のdefault値を設定できるモーダルが表示され設定することができます。<br>
<img src="https://ik.imagekit.io/plaid/16f45527-0f48-431e-ab62-bf7ebd74d4fe/issit-example-5.png" alt="issit-example-5.png"></p>
<h2>実装の紹介</h2>
<p>「issit」は<a href="https://github.com/slackapi/bolt-js">slack/bolt</a>を使用して実装しているため、GitHub webhookを受け付ける実装もboltに対応している必要があります。Expressを使用したサンプルはよく見かけますが、slack/boltでのサンプルはなかなかありませんでした。</p>
<p>ただ、slack/boltには <a href="https://slack.dev/bolt-js/reference#app-options">receiver</a> という機能があり、外部からのアクセスを受け取ることができます。このreceiver機能を使用することでGitHub webhookを受け取るようにしました。</p>
<pre><code class="language-typescript">// Bolt.ts
const receiver = new ExpressReceiver({
  signingSecret: credentials.SLACK_SIGNING_SECRET,
})

export const app = new App({
  authorize: SlackInstaller.authorize,
  signingSecret: credentials.SLACK_SIGNING_SECRET,
  endpoints: '/slack/events',
  receiver,
})
</code></pre>
<pre><code class="language-typescript">// index.ts
import { app } from &quot;./Bolt&quot;
// express router
import github from &quot;./routes/GitHub&quot;

// express routerのように使用できます
app.receiver.app.use('/github', github)
</code></pre>
<p>GitHub webhookの実装には、<a href="https://github.com/octokit/webhooks">octokit/webhooks</a>を使用することにしました。<br>
octokit/webhooksは、受け付けるwebhookのイベントとアクションごとに指定できるためとても便利です。<br>
参考: <a href="https://docs.github.com/ja/developers/webhooks-and-events/webhooks/webhook-events-and-payloads">GitHub Webhook のイベントとペイロード</a></p>
<pre><code class="language-typescript">// index.ts
import { createMiddlewareGitHubWebhooks } from './routes/github'

const middlewareGitHubWebhooks = await createMiddlewareGitHubWebhooks()
app.receiver.app.use(middlewareGitHubWebhooks)
</code></pre>
<pre><code class="language-typescript">// routes/github.ts
import { Webhooks, createNodeMiddleware } from '@octokit/webhooks'

import { IssueClosedUseCase } from './IssueClosedUseCase'
import { IssueCommentCreatedUseCase } from './IssueCommentCreatedUseCase'
import { IssueCommentEditdUseCase } from './IssueCommentEditdUseCase'
import { IssueCommentDeletedUseCase } from './IssueCommentDeletedUseCase'

export const createMiddlewareGitHubWebhooks = async () =&gt; {
  const webhooks = new Webhooks({
    secret: credentials.GITHUB_WEBHOOK_SECRET_TOKEN,
  })

  webhooks.on('issues.closed', IssueClosedUseCase)
  webhooks.on('issue_comment.created', IssueCommentCreatedUseCase)
  webhooks.on('issue_comment.edited', IssueCommentEditdUseCase)
  webhooks.on('issue_comment.deleted', IssueCommentDeletedUseCase)

  return createNodeMiddleware(webhooks, { path: '/github-webhooks' })
}
</code></pre>
<h2>GitHub App の設定</h2>
<p>「Issit」のGitHub連携は、<a href="https://docs.github.com/ja/developers/apps/building-github-apps/creating-a-github-app">GitHub App</a> を作成しGitHub Organizationへインストールすることで実現しています。</p>
<p>GitHub webhookを使用するためにはGitHub Appの設定でwebhookを有効にする必要があります。設定する項目は以下の３つです。</p>
<ul>
<li>App settings画面 「General」でWebhookをActiveにし受け付けるURL を指定する。<br>
<img src="https://ik.imagekit.io/plaid/baa5e133-0c24-4823-9c44-e14157b5048f/github-app-setting-1.png" alt="github-app-setting-1.png"></li>
<li>App settings画面 「Permissions &amp; events」にて、webhookで受け取りたいイベントの権限を付与する
<ul>
<li>Issue: Read and write - Issueの作成、Issueのコメントを取得するため</li>
</ul>
</li>
<li>App settings画面 「Permissions &amp; events」の Subscribe to events で、受け取りたいイベントにチェックを入れる
<ul>
<li>Issues: Issueの変更内容やCloseされたことを検知するため</li>
<li>Issues comment: Issueのコメントの作成・変更・削除を検知するため<br>
<img src="https://ik.imagekit.io/plaid/8cb82e50-5293-468a-b0fb-fbfc77decb11/github-app-setting-2.png" alt="github-app-setting-2.png"></li>
</ul>
</li>
</ul>
<p>Permissionsを指定した状態でGitHub Marketplaceへ公開した場合、Subscribe to eventsの変更はリリース申請なしに変更することができました。「issit」の場合も、issueの作成と読み込みの権限を指定しGitHub Marketplaceへ公開していたため、Subscribe to eventsの変更は申請なしに使用することができました。</p>
<h2>「issit」での動作確認</h2>
<p>Slack App「Issit」をSlackワークスペースへインストールし、GitHub Appの「<a href="https://github.com/apps/issit-app">issit-app</a>」をGitHub Organizationへインストールすることで、SlackとGitHub間で相互に連携できるようになりました。</p>
<p><img src="https://ik.imagekit.io/plaid/68f0b2f5-3b39-4837-8e7d-44b83f4881c2/issit-comment-sync-3.png" alt="issit-comment-sync-3.png"></p>
<h2>まとめ</h2>
<p>SlackからGitHubへの一方向ではなく、GitHubからSlackの双方向にすることで、issueの状態をSlackでも確認しやすくすることができました。GitHubやSlackはAPIやwebhookが充実していますので、職場やプロジェクトの運用にあったAppを実装してみるのも良いのではないでしょうか。</p>
<p>実装が難しい場合は、 「<a href="https://issit.plaid.co.jp/">issit</a>」 の導入も検討していただけたら嬉しいです。</p>


GitHub issueとSlackスレッドを同期する仕組みと「issit」での実装例

PLAIDのインターンを通して ~ KARTE接客におけるユーザ体験の向上 ~

<p>こんにちは、エンジニアの @koga です。<br>
2022/06/27から公開されました <a href="https://cloudopsdays.com/">Cloud Operator Days Tokyo 2022</a> の<a href="https://cloudopsdays.com/ondemand/">オンデマンドセッション</a>に参加しましたので、ブログでもその内容を簡単にまとめておきます。</p>
<script async class="speakerdeck-embed" data-id="7a4edd766e4b448db48cbc7651dd9138" data-ratio="1.77725118483412" src="//speakerdeck.com/assets/embed.js"></script>
<p><a href="https://youtu.be/UgcSp-H4eK4">Cloud Operator Days Tokyo 2022 セッション動画</a></p>
<p>セッションでは、PLAIDがすでに取り組んでいるSlackbotを活用した３つの事例を紹介させていただきました。<br>
３つの事例は、あらゆる業務を対象としておりますので、担当しているチームや部署ごとに分けて紹介しています。</p>
<ul>
<li>Dialogflowを使用したお問合せBot</li>
<li>SaaS Admin権限の申請/付与/削除の自動化</li>
<li>Slackメッセージからissueを作成するSlackアプリ</li>
</ul>
<h2>Dialogflowを使用したお問合せBot</h2>
<script async class="speakerdeck-embed" data-slide="8" data-id="7a4edd766e4b448db48cbc7651dd9138" data-ratio="1.77725118483412" src="//speakerdeck.com/assets/embed.js"></script>
<p>情シスや社内ITと呼ばれるメンバーにて活用している「Dialogflowを使用したお問合せBot」についてです。</p>
<h3>開発した背景</h3>
<ul>
<li>同じような内容のお問合せがあること
<ul>
<li>お問い合わせしているユーザーは変わるのですが、受ける側としては同じような内容を頻繁に聞かれることがありました。</li>
<li>例えば、Slackの共有チャンネルの作成方法だったり、Notionのページを社外へ共有する方法だったり。このようなお問い合わせがありました。</li>
</ul>
</li>
<li>使用しているSaaSが多く検索に時間がかかる
<ul>
<li>PLAIDでは多くのSaaSを活用していることもあり、Notionやesa、GitHubやSlackなど多くのSaaSに情報が保存されている</li>
<li>欲しい情報を得るためには、１つ１つのSaaSを検索する必要があり時間がかかる</li>
</ul>
</li>
</ul>
<h3>解決方法</h3>
<ul>
<li>Slackbotからお問い合わせできるBotの開発・導入を行いました。
<ul>
<li>Dialogflowを用いて、自然な会話で検索できるようにした</li>
<li>中の人チャンネルを作成し、botで解決できなかった場合は人が対応できる仕組みにした</li>
</ul>
</li>
</ul>
<h2>SaaS Admin権限の申請/付与/削除の自動化</h2>
<script async class="speakerdeck-embed" data-slide="14" data-id="7a4edd766e4b448db48cbc7651dd9138" data-ratio="1.77725118483412" src="//speakerdeck.com/assets/embed.js"></script>
<p>DevOps・SREと呼ばれるメンバーにて活用している「SaaS Admin権限の申請/付与/削除の自動化」についてです。</p>
<h3>開発した背景</h3>
<ul>
<li>権限に関するお問合せが増えてきた
<ul>
<li>会社が急成長している時期だったため、権限付与の仕組み化が出来ておらず、お問い合わせが増えていました</li>
</ul>
</li>
<li>エンジニアメンバーの自由度をあげるため
<ul>
<li>権限付与のSTEPが、ボトルネックになってしまう可能性がありました</li>
</ul>
</li>
</ul>
<h3>解決方法</h3>
<ul>
<li>Slackbotから申請できる仕組みを開発・導入しました
<ul>
<li>申請・承認・解除のlog専用のチャンネルを作成し見える化も実現</li>
</ul>
</li>
</ul>
<h2>Slackメッセージからissueを作成するSlackアプリ</h2>
<script async class="speakerdeck-embed" data-slide="18" data-id="7a4edd766e4b448db48cbc7651dd9138" data-ratio="1.77725118483412" src="//speakerdeck.com/assets/embed.js"></script>
<p>全てのメンバーにて活用している「Slackメッセージからissueを作成するSlackアプリ」についてです。</p>
<h3>開発した背景</h3>
<ul>
<li>Slackにて活発に議論がされている。</li>
<li>議論した内容が流れてしまい、探すのに時間がかかることがしばしばあった</li>
<li>issueを使ったタスク管理を、全社で行っている</li>
</ul>
<h3>解決方法</h3>
<ul>
<li>SlackからGitHub issueを作成できるSlackApp 「<a href="https://issit.plaid.co.jp/">issit</a>」を開発・導入しました
<ul>
<li>メッセージからissueを作成できるようにした</li>
<li>チャンネルとレポジトリを事前に紐付け、簡単に選択できるようにした</li>
</ul>
</li>
</ul>
<h2>まとめ</h2>
<p>SlackBotであらゆる業務を自動化した事例を３つ紹介させていただきました。</p>
<ul>
<li>Dialogflowを使用したお問合せBot</li>
<li>SaaS Admin権限の申請/付与/削除の自動化</li>
<li>Slackメッセージからissueを作成するSlackアプリ</li>
</ul>
<p>これら３つの事例が、メンバーになぜ使ってもらえるようになったのか。を考えると、コミュニケーションツールとして全員が使っていることが大きな要因ではないかなと思います。</p>
<p>これらを踏まえて、社内コミュニケーションツールであるSlackを活かした 生産性向上の取り組みを継続していきたいと思っています。システムや仕組みが素晴らしいことはもちろん大切なのですが、まず使ってもらえることも同じくらい大切なことではないかなと思います。</p>
<p>最後に、こういった活動をしておりますので、一緒に進める仲間を募集しています。<br>
少しでも興味を持っていただけたら、<a href="https://recruit.plaid.co.jp/">採用ページ</a>もぜひご覧ください。</p>


SlackBotで自動化した事例を紹介。問い合わせ〜DevOpsまで。Dialogflowを使用したお問合せBot・SaaS Admin権限の申請/付与/削除の自動化・Slackメッセージからissueを作成するSlackアプリ

SlackBotであらゆる業務を自動化。問い合わせ〜DevOpsまで

<p>こんにちは、エンジニアの oga  です。</p>
<p>2022/6/7-8 に行われた <a href="https://cloudonair.withgoogle.com/events/solution-data-analytics">Data Analytics/Database OnAir</a> に AlloyDBの分析基盤での活用に関する内容で登壇させて頂きました。</p>
<p>こちらのブログでもその内容を簡単にまとめておきます。</p>
<p>また、AlloyDBのアナウンスに関する各種公式ドキュメントや特徴的な機能のサマリーについて、<a href="https://tech.plaid.co.jp/attended_private_preview_of_alloydb">こちらの記事</a>でもご紹介しているので、良ければ併せてご覧ください。</p>
<h1>「AlloyDB のデータ分析基盤での活用におけるポテンシャルとは？」</h1>
<p>KARTEでは大規模データに対するさまざまな分析機能をご提供しています。<br>
そのデータ基盤としてBigQueryを中心としてGoogle cloudのDB製品を利用していますが、<br>
AlloyDBがさらなる強力なソリューションとなり得るのか、Columnar Engineを中心に特に分析ワークロードに関わる機能に着目し検証・検討を行っています。<br>
パフォーマンス面は非常に優位な結果が得られたことと、運用上の考慮点やアーキテクチャ案、今後特に要望したい機能について発表しています。</p>
<p><a href="https://cloudonair.withgoogle.com/events/solution-data-analytics?talk=0608-3">セッション動画</a></p>
<iframe src="//www.slideshare.net/slideshow/embed_code/key/CHaRm91of4Z30t" width="595" height="485" frameborder="0" marginwidth="0" marginheight="0" scrolling="no" style="border:1px solid #CCC; border-width:1px; margin-bottom:5px; max-width: 100%;" allowfullscreen> </iframe> <div style="margin-bottom:5px"> <strong> <a href="//www.slideshare.net/TakuyaOgawa8/whatisthepotentialofalloydbindataanalysisinfrastructurepdf" title="AlloyDB のデータ分析基盤での活用におけるポテンシャルとは？" target="_blank">AlloyDB のデータ分析基盤での活用におけるポテンシャルとは？</a> </strong> from <strong><a href="//www.slideshare.net/TakuyaOgawa8" target="_blank">Takuya Ogawa</a></strong> </div>
<h1>最後に</h1>
<p>今回AlloyDBに関するセッションとして、Google Cloudの江川さんによる <a href="https://cloudonair.withgoogle.com/events/solution-data-analytics?talk=0608-1">AlloyDB for PostgreSQL 概要とアーキテクチャ</a> は機能特徴やアーキテクチャ、他DBとの棲み分けなど全体像を掴むのに非常に学びになりました。また、NRIさんによる <a href="https://cloudonair.withgoogle.com/events/solution-data-analytics?talk=0608-2">サービス比較検証から探る AlloyDB の真価</a>では踏み込んだ非機能面での比較検証結果を中心に発表されていて、優位な面劣勢な面が見えつつ、検証の過程でGoogleのエンジニアにより日々改善されていることが垣間見得たのも面白かったです。</p>
<p>今後もデータを事業の中心とする弊社では、AlloyDBのみならずデータに関しては様々な取り組みをしていきますのでデータが好きな方は是非、<a href="https://meet.plaid.co.jp/">弊社採用ページ</a> または <a href="https://www.wantedly.com/companies/plaid/projects">Wantedly</a> からお気軽にご連絡ください！</p>


2022/6/7-8 に行われた Data Analytics/Database OnAir にAlloyDBの分析基盤での活用に関する内容で登壇させて頂きました。こちらのブログでもその内容を簡単にまとめておきます。

Data Analytics OnAir / Database OnAir でAlloyDBの分析基盤での活用について登壇しました

<p>こんにちは、エンジニアの oga です。</p>
<p>5/12(日本時間)にGoogle I/Oで <a href="https://cloud.google.com/alloydb/">AlloyDB</a> と呼ばれる新しいデータベースプロダクトがアナウンスされました。<br>
アナウンスブログ: <a href="https://cloud.google.com/blog/ja/products/databases/introducing-alloydb-for-postgresql">AlloyDB for PostgreSQL を発表：高額なレガシー データベースからの解放 | Google Cloud Blog</a></p>
<p>PLAIDでは、Private previewの段階で紹介をして頂き非常に興味深いものだったのでpreviewに参加して検証を行なっていて、以下の様なコメントを寄稿させて頂きました。<br>
<img src="https://ik.imagekit.io/plaid/3108b9ec-ad62-483a-ab17-f622e7b0522c/1000x1000/alloydb_plaid_quote.png" alt="alloydb_plaid_quote.png"><br>
<a href="https://www.youtube.com/watch?v=o5pKfH0Tonw">Introducing AlloyDB, a PostgreSQL-compatible cloud database service</a>　より引用</p>
<p>以下和訳</p>
<blockquote>
<p>「PLAID では CX (顧客体験) プラットフォーム KARTE を企業向けに開発・提供しています。KARTE は膨大な行動ログから深い洞察を得る先進的なリアルタイム分析機能を持ち、顧客に合わせた最適なコミュニケーションを可能にしています。AlloyDB は PostgreSQL と完全互換であり、透過的に列方向処理を行うことができます。私たちはこれが新しく強力なオプションであると捉えており、OLTP・OLAP・HTAP と分断されたワークロードを統合したシステムデザインを最小限の追加知識で実現する、ユニークな技術的アプローチであると考えています。将来的には Google Cloud の他の強力なデータベース サービスとの連携も強化され、私たちのKARTEが提供する分析機能において、より優れたパフォーマンス、スケーラビリティ、拡張性をもたらすことを期待しています。」</p>
</blockquote>
<p>この記事では、AlloyDBの特徴とPLAIDで今後どの様に使っていきたいかをご紹介します。</p>
<hr>
<section class="widget widget-text">
	<div id="toc"></div>
</section>
<style>
    div#toc ol {
        margin: 0 0 0 25px;
    }
    div#toc ol li {
        margin: 0;
        padding: 1px;
        list-style-type: disc;
    }
</style>
<hr>
<h2>はじめに</h2>
<p>AlloyDBはPreviewフェーズである為、今後の機能追加や仕様変更も多く発生すると思われます。<br>
この記事では、現時点の仕様情報とそれに基づく見解を記載しています。<br>
<strong>最新の情報は必ず<a href="https://cloud.google.com/alloydb/docs/overview">GCPの公式ドキュメント</a>をご確認下さい。</strong></p>
<h2>AlloyDBの特徴</h2>
<ul>
<li>PostgreSQLとの完全互換</li>
<li>高パフォーマンス</li>
<li>columnar engine（高速なOLAP）</li>
<li>柔軟で高い可用性を持った構成</li>
<li>機械学習による自動化されたリソース管理</li>
<li>シンプルな料金体系</li>
</ul>
<h3>PostgreSQLとの完全互換</h3>
<p>文字通り、PostgreSQLを使用するアプリケーションやエコシステムはAlloyDBで変更する必要無くそのまま適用することができます。<br>
弊社ではそういったアプリケーションは無かったものの、検証においてCLI,GUIツールなど今まで培われてきたPostgreSQLのものをそのまま使用でき、<br>
開発や運用に関わるベストプラクティスも大部分は同じ様に適用できそうなので非常に効率良く移行ができると感じました。</p>
<p>サポートされるパラメータや拡張は決まっている為、既存のPostgreSQLインスタンスを移行する場合や実現したい機能に必要な拡張があるかは事前に以下のドキュメントで確認することができます。</p>
<ul>
<li><a href="https://cloud.google.com/alloydb/docs/reference/database-flags">Supported database flags  |  AlloyDB for PostgreSQL  |  Google Cloud</a></li>
<li><a href="https://cloud.google.com/alloydb/docs/reference/extensions">Supported database extensions  |  AlloyDB for PostgreSQL  |  Google Cloud</a></li>
</ul>
<p>マイグレーションに関しては、<a href="https://cloud.google.com/database-migration">Database Migration Service</a>でサポートされることになると思われます。また、異なるDBを使用しているなど複雑で支援が必要な場合では<a href="https://cloud.google.com/resources/database-migration-program">Database Migration Program</a>で移行支援も受ける事ができます。</p>
<h3>高パフォーマンス</h3>
<p>パフォーマンス面は大きく優位性があるとのことで、標準のPostgreSQLと比較してOLTPが4倍、OLAPでは100倍のパフォーマンスであると発表されています。</p>
<table>
<thead>
<tr>
<th>OLTP</th>
<th>OLAP</th>
</tr>
</thead>
<tbody>
<tr>
<td><img src="https://ik.imagekit.io/plaid/f5bcca91-4418-4b25-beb3-5d149f7f47c5/1000x1000/alloydb_4x.png" alt="alloydb_4x.png"></td>
<td><img src="https://ik.imagekit.io/plaid/26e2432e-5fec-4770-8e22-dd65f9599daf/1000x1000/alloydb_100x.png" alt="alloydb_100x.png"></td>
</tr>
</tbody>
</table>
<p><a href="https://www.youtube.com/watch?v=o5pKfH0Tonw">Introducing AlloyDB, a PostgreSQL-compatible cloud database service</a>　より引用</p>
<p>PostgreSQLと互換性を保ちながら、内部のストレージやキャッシュシステム等は独自的なものに変更されている様です。<br>
特にストレージについては別のブログポストで解説されていますが、ストレージを分離することでストレージのスケーラビリティを向上させつつI/Oによるブロック時間を極力低減させる構造を作り、トランザクション処理の高速化やレプリケーションの低遅延などを実現している様です。<br>
<a href="https://cloud.google.com/blog/products/databases/alloydb-for-postgresql-intelligent-scalable-storage">AlloyDB for PostgreSQL intelligent scalable storage | Google Cloud Blog</a></p>
<p>実際にはそれぞれのワークロードの特性やコストバランスに依るところが大きいにしても、<br>
既に運用しているPostgreSQLをそのまま置き換えることを検証する価値はあると感じます。</p>
<h3>columnar engine（高速なOLAP）</h3>
<p><img src="https://ik.imagekit.io/plaid/e6d50050-ec77-42d4-a034-486461dd600d/1000x1000/alloydb_columnar_engine.png" alt="alloydb_columnar_engine.png"><br>
<a href="https://www.youtube.com/watch?v=o5pKfH0Tonw">Introducing AlloyDB, a PostgreSQL-compatible cloud database service</a>　より引用</p>
<p>PLAIDでも最も注目し検証している機能が、この<a href="https://cloud.google.com/alloydb/docs/columnar-engine/about">columnar engine</a>です。<br>
OLAPの100倍高速化、という特徴はこのcolumnar engineにより実現されています。</p>
<p>本来行指向データベースであるPostgreSQLに列指向データベースとしての特性を<strong>透過的</strong>に加えることができ、<a href="https://cloud.google.com/alloydb/docs/columnar-engine/quickstart">セットアップ</a>を行うとインメモリ上でカラムデータを保持する様になり、クエリ側は特殊な記法などは無く列指向のスキャンが行えるかは内部で自動判断されます。<br>
また、完全にcolumnar engineで列指向スキャンされるカラムに対してはindexが不要になる為、削除することで負荷削減に繋がります。</p>
<p>インメモリに対してどのテーブルのどのカラムを保持するべきか、実行されたクエリに基づき判断する<a href="https://cloud.google.com/alloydb/docs/columnar-engine/quickstart#auto-populate">レコメンデーション機能</a>が用意されているので、既存のデータとワークロードを移行しつつ、強く意識せずにOLAP処理を高速化するという導入の仕方も可能かと思います。（弊社では検証の特性上、<a href="https://cloud.google.com/alloydb/docs/columnar-engine/manage-content-manually">手動での管理</a>で行なっていました）</p>
<p>列指向はより巨大なデータを扱うDWHで特に採用されることが多く、大量データの分析処理に適しています。<br>
つまりAlloyDBで従来の行指向データベースとしての適所であるOLTPのワークロードをカバーしつつ、<br>
列指向の特性を加えてOLAPのワークロードも同データベースでカバーできる可能性があるということです。<br>
マスターとして使用するRDBMSから主にデータ分析用途などでDWHにデータをロードするという流れは良くに行われていると思いますが、<br>
統合されたシンプルなアーキテクチャを実現しつつ同時に高速化を狙う選択肢が持てるのは魅力的です。</p>
<h3>柔軟で高い可用性を持った構成</h3>
<p>AlloyDBではClusterという単位毎に1つのPrimaryとオプショナルで複数のRead poolインスタンスを構成することができます。<br>
<img src="https://ik.imagekit.io/plaid/28c94b66-45b9-41c2-b3b0-91a38d0c5593/1000x1000/adb-resource-tree.png" alt="adb-resource-tree.png"><br>
<a href="https://cloud.google.com/alloydb/docs/overview#hierarchical_resource_structure">Hierarchical resource structure</a> より引用</p>
<p>PrimaryはHAを選択すれば自動フェイルオーバーするStand-byが構成されます。<br>
Read poolは読み取り専用のレプリカとして使用でき、特にリソースを多く使う分析クエリはRead pool側に流すという構成を取ることで書き込み処理に影響を与えず処理を載せることができます。複数構成することができるので、例えば負荷特性の異なる機能に応じてRead poolを分け、マシンスペックやノード数、パラメータをそれぞれで調整するといったことも簡単に行えます。<br>
ただし、Read poolは非常に短時間ながらPrimaryに対してラグがある為、完全な一貫性が必要で無い機能で使用することになります。</p>
<h3>機械学習による自動化されたリソース管理</h3>
<p><img src="https://ik.imagekit.io/plaid/df5df673-52a6-4c10-9271-afa9a6eb150e/1000x1000/alloydb_autopilot.png" alt="alloydb_autopilot.png"><br>
<a href="https://www.youtube.com/watch?v=o5pKfH0Tonw">Introducing AlloyDB, a PostgreSQL-compatible cloud database service</a>　より引用</p>
<p>詳細な仕様についてはまだ情報が無い様ですがコストやパフォーマンスに関わるDB管理の自動化が行われる機能があり、経験値と手間が必要なベーシックなチューニング作業は任せることもできそうです。</p>
<h3>シンプルな料金体系</h3>
<p><a href="https://cloud.google.com/alloydb/pricing">https://cloud.google.com/alloydb/pricing</a></p>
<p>現状は非常にシンプルで、CPU・メモリ/ストレージ/NWによりテーブルが決まります。NWはEgressのみが課金です。<br>
プレビュー期間中はFair Usage Limitsに基づき無料で試すことができます。</p>
<h2>PLAIDで行なっていた検証と今後どの様に使っていきたいか</h2>
<p>上記の通りAlloyDBはPostgreSQLとの完全な互換性があり、すでにPostgreSQLを使用しているアプリケーションを変更すること無く移行が可能なことが特徴の一つですが、弊社では既存システムで使っている訳では無いので、分かりやすい検証事例はまだありません。</p>
<p>PLAIDでは OLTP/HTAP/OLAP 様々なデータ処理においてBigtableやSpanner、BigQueryといったGoogle Cloudのデータベースプロダクトを使い倒していますが（<a href="https://tech.plaid.co.jp/google-cloud-day-digital-2022">ご参考</a>）、<br>
その上でもcolumnar engineをはじめとしてして分析機能での活用で大きなパフォーマンス改善につながるポテンシャルを持っていると考え特にOLAPの拡張の観点を中心に検証を行なっています。</p>
<p>その為、上に挙げた様な他のGoogle Cloudのデータベースとのインテグレーション機能の追加にも強く期待しており、今後の機能拡張もウォッチしながら引き続き検証を進めていく予定ですので、また折々でご紹介できればと思います。</p>
<h2>最後に</h2>
<p>弊社では <a href="https://karte.io/">KARTE</a> をはじめ、事業においてデータを中心におき展開しています。<br>
より大量のデータを、より早く、柔軟に処理する為に様々なデータベースを活用しており、今後もよりもっと多くのデータベースを試し導入しながら良いプロダクトを作っていきたいと考えています。<br>
データベースが好きな方にとってはとても楽しい環境だと思うので、ぜひ興味のある方は<a href="https://meet.plaid.co.jp/">弊社採用ページ</a> または <a href="https://www.wantedly.com/companies/plaid/projects">Wantedly</a> からお気軽にご連絡ください！</p>
<div class="wantedly-visit-button" data-visit-button-id="lyE_IgY4VF5ukBo_EUKZLg" data-width="300" data-height="60"></div>
<script>
  (function(d, s, id) {
    var js, fjs = d.getElementsByTagName(s)[0];
    if (d.getElementById(id)) return;
      js = d.createElement(s); js.id = id;
      js.src = "https://platform.wantedly.com/visit_buttons/script.js";
      fjs.parentNode.insertBefore(js, fjs);
    }(document, "script", "wantedly-visit-buttons-wjs"));
</script>
<script>
    /**
     * For displaying a table of contents - pass the entire document (DOM) to getTocMarkup
     */

    function getHeaderLevel(header) {
        return Number(header.nodeName.slice(-1));
    }

    function createTocMarkup(headers) {
        var prevLevel = 1;
        var output = "";

        headers.forEach(function(h) {
            var currLevel = getHeaderLevel(h);
            if (currLevel > prevLevel) {
                var ranOnce = false;
                while (currLevel > prevLevel) {
                    if (ranOnce) {
                        output += "&nbsp;";
                    }
                    output += "<ol style=\"margin-bottom:0px\"><li>";
                    prevLevel += 1;
                    ranOnce = true;
                }
            } else if (currLevel == prevLevel) {
                output += "</li><li>";
            } else if (currLevel < prevLevel) {
                while (currLevel < prevLevel) {
                    output += "</li></ol>";
                    prevLevel -= 1;
                }
                output += "<li>";
            }

            output += `<a href="#${h.id}">${h.innerText}</a>`;
        });

        if (output != "") {
            // Change 2 to the max header level you want in the TOC; in my case, H2
            while (prevLevel >= 2) {
                output += "</li></ol>";
                prevLevel -= 1;
            }
            output = `<h2 class="widget-title">目次</h2>${output}`;
        }

        return output;
    }

    function getTocMarkup(document) {
        // I was only interested in the headers within the element that had the .post-content class,
        // which is specific to the Ghost blog. If you're using this elsewhere, or are interested in
        // the entire document, delete this line and use document.querySelectorAll(...) on the next line.
        var body = document.getElementsByClassName('Article_Body_JS')[0];

        // Add or remove header tags you do (or don't) want to include in the TOC
        var headers = body.querySelectorAll('h2, h3, h4, h5, h6');

        // Change the number to 1 if you want headers no matter what.
        // Or if you want at least 3 headers before generating a TOC, change it to 3.
        if (headers.length >= 2) {
            return createTocMarkup(headers);
        } else {
            return "";
        }
    }
</script>
<script type="text/javascript">
    document.getElementById('toc').innerHTML = getTocMarkup(document);
</script>


5/12(日本時間)にGoogle I/Oで AlloyDB と呼ばれる新しいデータベースプロダクトがアナウンスされ、弊社のコメントもイベント内で引用して頂きました。この記事では、AlloyDBの特徴とPLAIDで今後どの様に使っていきたいかをご紹介します。

AlloyDBのPrivate previewに参加し、Google I/Oでコメントが引用されました

<p>こんにちは、エンジニアの <a href="https://twitter.com/kargo113">@kargo</a>  です。<br>
2022/04/19 - 2021/04/21 に行われた <a href="https://cloudonair.withgoogle.com/events/google-cloud-day-digital-22">Google Cloud Day: Digital '22</a> に 弊社2名で「機械学習」「データベース」の2テーマでそれぞれ登壇してきました。</p>
<p>こちらのブログでもその内容を簡単にまとめておきます。</p>
<h1>「MLOps 再入門！ Vertex AI で広がる MLOps の世界と実践例」</h1>
<p>こちらは <a href="https://twitter.com/kargo113">@kargo</a> よりご紹介致しました。</p>
<p>これまではKubeflow Pipelineなどを用いてエンジニアとデータサイエンティストの協業で開発・運用してきたML基盤を、Vertex Workbenchを用いることでデータサイエンティストのみで開発・運用できるようにした点が今回のポイントです。</p>
<p>エンジニア工数ゼロで迅速にMLOpsができるようになるこの仕組みを「Light MLOps」と名付けました。</p>
<p><a href="https://cloudonair.withgoogle.com/events/google-cloud-day-digital-22/watch?talk=d1-ml-10">セッション動画</a>ではさらに具体的にVertex Workbenchの使い方も含めて紹介しているので、ご覧いただければ幸いです。</p>
<p><a href="https://speakerdeck.com/kargo113/lightmlops-using-vertex-workbench">SpeakerDeck</a> に資料もアップロードしているので時間が無い方はこちらを流し読みしていただければと思います。</p>
<script async class="speakerdeck-embed" data-id="fe1fdf90e424490f8007a6d81708db4d" data-ratio="1.77725118483412" src="//speakerdeck.com/assets/embed.js"></script>
<h1>「Bigtable を使いこなす！KARTE で秒間 13 万イベントを 0.x 秒以内に捌く秘訣」</h1>
<p>こちらは<a href="">@kusahana</a>よりご紹介致しました。</p>
<p>今まで多くのエンドユーザー（累計145億UU）のエンドユーザーの行動データをリアルタイム（0.x秒）で解析するために、どう私たちがBigtableを活用しているかを紹介しました。<br>
特にリアルタイム解析基盤の刷新に伴い、Bigtableの使い方を見直した結果を具体的な数値交えて共有しています。<br>
スキーマ変更によるパフォーマンスやコスト上の改善効果、Bigtableをスケーラブルなキューとして使う新たなユースケースなど、是非紹介したいのでご覧いただければ幸いです。</p>
<p><a href="https://cloudonair.withgoogle.com/events/google-cloud-day-digital-22/watch?talk=d2-db-02">セッション動画</a></p>
<p><a href="https://speakerdeck.com/kusahana/cloud-bigtable-woshi-ikonasumi-jue-2022">SpeakerDeck</a> に資料もアップロードしているので時間が無い方はこちらを流し読みしていただければと思います。</p>
<script async class="speakerdeck-embed" data-slide="1" data-id="078fbb8e1eea42229f06723d4a28878e" data-ratio="1.77725118483412" src="//speakerdeck.com/assets/embed.js"></script>
<h1>最後に</h1>
<p>全体を通して、基調講演含め他社様の事例や製品の最新情報などを知ることができ、非常に勉強になりました。ご紹介したように、弊社は「データによって人の価値を最大化する」というミッションのもと、様々なプロダクトを迅速に開発しているので、来年も新たな情報を踏まえて登壇できたら良いなと思っています。</p>
<p>そんな弊社ではスピード感を持って一緒に開発していく仲間は常に募集しているので、興味のある方は<a href="https://meet.plaid.co.jp/">弊社採用ページ</a> または <a href="https://www.wantedly.com/companies/plaid/projects">Wantedly</a> からお気軽にご連絡ください！</p>


Google Cloud Day: Digital '22 で「MLOps 再入門！ Vertex AI で広がる MLOps の世界と実践例」等、2セッション登壇しました

Google Cloud Day: Digital '22 にて 機械学習/データベース について2セッション登壇しました

Engineer Blog

Recent Article