「漏えいした API キーへの対応」は、ターミナルでコマンドを入力できる初心者向けの実践的なサイバーセキュリティプロジェクトです。サポート業務の連携サービスは、リポジトリから削除したキーをまだ受け付けています。漏えい経路を調べ、その認証情報を失効させ、必要な権限だけを持つ専用の代替キーで集計ジョブを復旧します。
2 つのガイド付きラボで、リクエストの流れ、Git 履歴、認証、スコープ、非公開の実行時設定を学びます。1 つのチャレンジでは、証拠と業務操作の異なる出荷連携に同じ方法を応用します。完了には、API による実際の拒否、業務結果の受信、無関係な連携の継続が必要です。
学習内容
- API キーがプログラムを認証する仕組みと、キー ID と秘密値の違いを説明する；
- Git から過去の設定を取得し、見える秘密値を削除しても失効しない理由を理解する；
- 正しい認証情報を失効させて漏えいを封じ込め、独立した監視を維持する；
- このサービスの認証失敗
401と権限拒否403を区別する； - 最小限の読み取り・書き込みスコープを選び、一度だけ表示される代替秘密値をサービスアカウント専用の設定ファイルに保存し、準備済み worker を復旧する；
- 受信側 API の業務結果を確認し、許可されるアクセスと禁止されるアクセスを試す。
このコースの対象者
初級開発者、セキュリティを学び始めた方、連携用の認証情報が公開された際の対応を知りたい方が対象です。
前提知識： コマンドを入力し、ファイルパスを認識できる程度のターミナル操作。Git、API、JSON、Python プログラミング、秘密情報管理の予備知識は不要です。必要な概念とコマンド構文を説明します。
学習環境： 各ユニットに独立した設定済み Linux 環境を用意し、Workstation、Integration ターミナルと Key Manager を利用できます。ローカルの教材サービスは架空のデータと認証情報を使い、実際の権限チェックと業務記録の保存を行います。外部クラウドアカウント、実際の API キー、ローカルへのインストールは不要です。実行時 UI とコマンド出力は英語です。
よくある質問
Python を書いたり、サービスを構築したりしますか？
いいえ。worker と API は準備済みです。認証情報を調べ、権限を選び、小さな設定ファイルを更新して動作を試します。
Git からキーを削除すれば漏えいは解消しますか？
いいえ。過去のスナップショットや別のコピーに残る可能性があります。新しい秘密値をコミットせず、サービス側で認証情報を失効・置換します。
チャレンジにはガイド付きラボ以外の知識が必要ですか？
リポジトリ内の証拠、認証情報、データ、操作の組み合わせが変わります。ツール、管理画面の操作、設定形式、基本手法は同じで、エンドポイントとスコープの対応表も用意されています。
