Merge pull request #1102 from smalruby/feature/admin-dos-hardening

fix(admin): 公開ソース前提の DoS・コスト防御を強化 (prod JWT authorizer + throttle)

Author: smalruby3-editor-bot[bot]

.claude/rules/infra/smalruby-admin.md

@@ -18,6 +18,16 @@ CDK project for the Admin service (API Gateway + Lambda + DynamoDB) — 管理 S
 - **全変更操作に `audit()`**（構造化ログ）。prod の LogGroup retention は **ONE_YEAR**（艦隊標準の ONE_MONTH からの意図的逸脱 — 監査記録のため）
 - エラー規約は bug-report 準拠: 認証失敗 401 / 認可失敗 **403**（classroom の 401 とは異なる）
 
+## DoS / コスト防御（ソース公開前提の脅威モデル）
+
+ソースは公開されるため攻撃者は既知エンドポイント・ルート・env 変数名を把握している前提で設計する。
+
+- **prod は API Gateway の JWT authorizer**（issuer `https://accounts.google.com` / audience = `ADMIN_GOOGLE_CLIENT_ID`）で、正当な署名トークンでない要求を **Lambda 到達前に 401** で弾く。認証なしフラッドで Lambda 起動・Lambda ログ ingestion 課金を発生させない。**stg は dev bypass（非 JWT）を使う E2E のため authorizer を付けない**（この stage 差を消さない）。Lambda 側の fail-closed 認可は両 stage で維持（多層）
+- **スロットルは単一運用者向けに絞る**（rate 5 / burst 10）。緩めない
+- **X-Ray（トレーシング）を有効化しない**・**API Gateway アクセスログを有効化しない**（コスト源。現状 Lambda は全て PassThrough）
+- Lambda ログは監査行と 500 のみ。**401/403/404/400 パスにアプリログを足さない**（DoS 時のログ ingestion 課金を防ぐ）
+- `dev-admin@example.com` は **stg の allowlist のみ**。prod に登録しない
+
 ## cross-service アクセス
 
 管理対象（classroom / shared-assignments のテーブル・バケット）へは**ステージ別の名前規約**で ARN を構築して grant する。**classroom スタック側に変更を加えない**（N2）。バグ報告ドメインは既存 bug-report API を SPA から直接呼ぶ（本スタックは関与しない）。

docs/admin/operations.md

@@ -22,7 +22,18 @@
 
 - **admin 専用 Google OAuth Client ID**（決定 B）: エディタの `GOOGLE_CLIENT_ID` とは別に GCP コンソールで作成し、`.env.prod` / `.env.stg` の `ADMIN_GOOGLE_CLIENT_ID` に設定する（**prod は未設定だとデプロイが落ちる**ガードあり）
   - 承認済み JavaScript 生成元: `https://smalruby.app`（+ stg 用に `http://localhost:8602`）
-- stg のみ `DEV_BYPASS_TOKEN` による自動テスト用バイパスあり（prod 設定はデプロイ時に throw。バイパス identity `dev-admin@example.com` も **allowlist 登録が必要**）
+- stg のみ `DEV_BYPASS_TOKEN` による自動テスト用バイパスあり（prod 設定はデプロイ時に throw。バイパス identity `dev-admin@example.com` も **allowlist 登録が必要**）。**`dev-admin@example.com` は stg の allowlist にのみ登録し、prod には絶対に登録しない**（prod ではバイパスが無効なので実害はないが、`example.com` は IANA 予約で verified email を取得できないため無意味かつ紛らわしい）
+
+## セキュリティ・コスト方針（ソース公開前提の脅威モデル）
+
+Admin を含む Smalruby のソースは公開されるため、攻撃者は既知のエンドポイント（`admin.api.smalruby.app`）とルート・env 変数名を把握して攻撃してくる前提で設計している。
+
+- **多層の認可（fail-closed）**: すべてのルートで ① Google 署名 + `aud=ADMIN_GOOGLE_CLIENT_ID` 検証 → ② `SmalrubyAdmins` 許可リスト（deny-by-default）→ ③ sub 固定。空クライアント ID は全拒否、未登録 email は 403、email 一致でも sub 不一致は 403。DynamoDB / S3 は非公開（S3 Block Public Access、アクセスは Lambda の IAM ロールか短命 presigned URL のみ）
+- **prod のゲートレベル JWT authorizer**: prod は API Gateway の JWT authorizer（issuer `https://accounts.google.com` / audience = admin Client ID）で、**正当な署名トークンでない要求を Lambda 到達前に 401 で弾く**。→ 認証なしの DoS フラッドは Lambda 起動も Lambda ログ ingestion も発生させられない（費用がかからない）。stg は dev bypass（JWT ではない）を使う E2E のため authorizer なし（Lambda 側の同じ fail-closed 認可のみ）
+  - ⚠️ prod デプロイ後の初回ログインで **必ず疎通確認**する。Google ID トークンの `iss` が万一 `accounts.google.com`（`https://` 無し）だと authorizer が弾くため、ログインできなければ authorizer の issuer 設定を疑う（現行トークンは `https://accounts.google.com`）
+- **スロットリング**: 単一運用者ツールなのでレート 5 / バースト 10 に絞り、攻撃者が積み上げられる API Gateway リクエスト課金の上限を抑える（人間の操作は毎秒数回で十分）
+- **追加コスト源を持たない**: X-Ray（トレーシング）不使用・API Gateway アクセスログ無効。Lambda ログは監査行と 500 のみ（401/403 はアプリログを出さない）。retention は prod 1 年（監査目的・低volume）/ stg 1 週間
+- **CloudWatch 費用**: Admin のログ量は極小。艦隊全体の CloudWatch 無料枠超過は mesh-v2 の prod AppSync ログ（無期限保持）が主因であり Admin とは別問題（mesh-v2 側で retention と field log level を見直す）
 
 ## 監査ログ
 

infra/smalruby-admin/lib/admin-stack.ts

@@ -5,6 +5,7 @@ import * as lambda from 'aws-cdk-lib/aws-lambda';
 import * as lambdaNodejs from 'aws-cdk-lib/aws-lambda-nodejs';
 import * as apigatewayv2 from 'aws-cdk-lib/aws-apigatewayv2';
 import * as apigatewayv2Integrations from 'aws-cdk-lib/aws-apigatewayv2-integrations';
+import * as apigatewayv2Authorizers from 'aws-cdk-lib/aws-apigatewayv2-authorizers';
 import * as logs from 'aws-cdk-lib/aws-logs';
 import * as route53 from 'aws-cdk-lib/aws-route53';
 import * as route53Targets from 'aws-cdk-lib/aws-route53-targets';
@@ -230,63 +231,56 @@ export class SmalrubyAdminStack extends cdk.Stack {
       handlerFn,
     );
 
-    this.api.addRoutes({
-      path: '/admin/me',
-      methods: [apigatewayv2.HttpMethod.GET],
-      integration,
-    });
+    // DoS cost defense (source is public — attackers hammer the known
+    // endpoint). In prod, a gateway-level Google JWT authorizer rejects any
+    // request without a validly-signed token for our admin audience BEFORE
+    // the Lambda runs, so an unauthenticated flood cannot burn Lambda
+    // invocations or Lambda log ingestion — only (throttled) API-GW requests.
+    // The Lambda still re-verifies + checks the allowlist (defense in depth).
+    //
+    // stg keeps NO authorizer so the dev-bypass token (not a JWT) still works
+    // for automated E2E. stg is the same fail-closed Lambda auth, just without
+    // the extra gateway filter.
+    const authorizer = (stage === 'prod' && adminGoogleClientId)
+      ? new apigatewayv2Authorizers.HttpJwtAuthorizer(
+          'AdminJwtAuthorizer',
+          'https://accounts.google.com',
+          {
+            identitySource: ['$request.header.Authorization'],
+            jwtAudience: [adminGoogleClientId],
+          },
+        )
+      : undefined;
+
+    const addRoute = (routePath: string, methods: apigatewayv2.HttpMethod[]) => {
+      this.api.addRoutes({ path: routePath, methods, integration, authorizer });
+    };
+
+    addRoute('/admin/me', [apigatewayv2.HttpMethod.GET]);
 
     // みんなの課題 moderation (S3 #1083)
-    this.api.addRoutes({
-      path: '/admin/shared-assignments',
-      methods: [apigatewayv2.HttpMethod.GET],
-      integration,
-    });
-    this.api.addRoutes({
-      path: '/admin/shared-assignments/reports',
-      methods: [apigatewayv2.HttpMethod.GET],
-      integration,
-    });
-    this.api.addRoutes({
-      path: '/admin/shared-assignments/{sharedId}',
-      methods: [apigatewayv2.HttpMethod.GET, apigatewayv2.HttpMethod.PATCH],
-      integration,
-    });
+    addRoute('/admin/shared-assignments', [apigatewayv2.HttpMethod.GET]);
+    addRoute('/admin/shared-assignments/reports', [apigatewayv2.HttpMethod.GET]);
+    addRoute('/admin/shared-assignments/{sharedId}',
+      [apigatewayv2.HttpMethod.GET, apigatewayv2.HttpMethod.PATCH]);
 
     // Classroom management + expired restore (S4 #1084). HTTP API prefers
     // the literal restore-candidates route over {classroomId} by specificity.
-    this.api.addRoutes({
-      path: '/admin/classrooms',
-      methods: [apigatewayv2.HttpMethod.GET],
-      integration,
-    });
-    this.api.addRoutes({
-      path: '/admin/classrooms/restore-candidates',
-      methods: [apigatewayv2.HttpMethod.GET],
-      integration,
-    });
-    this.api.addRoutes({
-      path: '/admin/classrooms/{classroomId}',
-      methods: [apigatewayv2.HttpMethod.GET, apigatewayv2.HttpMethod.PATCH],
-      integration,
-    });
-    this.api.addRoutes({
-      path: '/admin/classrooms/{classroomId}/restore-plan',
-      methods: [apigatewayv2.HttpMethod.GET],
-      integration,
-    });
-    this.api.addRoutes({
-      path: '/admin/classrooms/{classroomId}/restore',
-      methods: [apigatewayv2.HttpMethod.POST],
-      integration,
-    });
-
-    // Single-operator tool: keep throttling tight.
+    addRoute('/admin/classrooms', [apigatewayv2.HttpMethod.GET]);
+    addRoute('/admin/classrooms/restore-candidates', [apigatewayv2.HttpMethod.GET]);
+    addRoute('/admin/classrooms/{classroomId}',
+      [apigatewayv2.HttpMethod.GET, apigatewayv2.HttpMethod.PATCH]);
+    addRoute('/admin/classrooms/{classroomId}/restore-plan', [apigatewayv2.HttpMethod.GET]);
+    addRoute('/admin/classrooms/{classroomId}/restore', [apigatewayv2.HttpMethod.POST]);
+
+    // Single-operator tool: a human never needs more than a couple of
+    // requests per second, so throttle hard to cap the API-GW request bill an
+    // attacker can run up (the JWT authorizer already caps Lambda/log cost).
     const defaultStage = this.api.defaultStage?.node.defaultChild as apigatewayv2.CfnStage;
     if (defaultStage) {
       defaultStage.defaultRouteSettings = {
-        throttlingRateLimit: 10,
-        throttlingBurstLimit: 20,
+        throttlingRateLimit: 5,
+        throttlingBurstLimit: 10,
       };
     }