はじめに
2026年10月19日の「AWS 若手LT大会 #4」で、初めてLTに登壇しました。本記事は、その登壇レポートです。
話すこと
- 登壇した経緯
- 発表で伝えたかったことと、発表してみての振り返り
- 登壇で得られた学びと、次にやること
話さないこと
- APIキー問題の技術的な詳細(こちらの記事にまとめています)
1. 結論
- LTでは、作ったものの説明より先に「なぜ作ったか」を伝えないと、聞き手に届きにくい
- 発表の価値は、開発内容だけではない。質問やフィードバックから、自分の発表に抜けていた視点に気づける
- 次は、CognitoやWAFを使った別の軸での制限を検証する
2. イベント概要
| 項目 | 内容 |
|---|---|
| イベント名 | AWS 若手LT大会 #4 〜集え!AWS Jr.Championsを志す者達!〜 |
| 開催日 | 2026年10月19日(月)19:00〜21:00 |
| 会場 | アジアクエスト株式会社(飯田橋) |
| 形式 | オフライン / 参加者22名 |
| 自分の発表 | 1番手(19:10〜)、発表枠は8分(発表5分/質問3分) |
| ハッシュタグ | #ToBeAWSJrChampions2027 |
AWS Jr.Championsを志す方や現Jr.Championsの方々と、LTを通じて交流するイベントです。
運営のHirotoさん、あきやまさん、会場をご提供いただいたアジアクエスト様、ありがとうございました。
3. 登壇の経緯
- 応募のきっかけ:同じ部署の先輩からこのLT大会を紹介され、応募しました。
- 目的:①同年代と交流 ②初登壇の経験 ③同じ目標の方の発表から学ぶ
- テーマを選んだ理由:業務で扱っているモバイルアプリを自己学習として開発する中で、APIキーの扱いが気になりました。そこで、AWSのサービスで検証し、LTの題材にしました。
4. 発表内容
タイトル
APKからAPIキーが読めてしまう ― Lambdaを挟んだら安全になるのか
発表の要約
Lambdaでキーを隠したが、入口は公開のまま。使用量プランで被害を限定する。
Lambdaを挟むと、APKからGoogle Books APIのキーは消せます。一方で、API Gatewayのキーは別にAPKへ埋め込まれるため、入口は公開のままです。そこで、使用量プランで被害を限定できるかを検証しました。
自分の検証環境では、15秒間の負荷テスト(計1576リクエスト)で83件が200、1493件が429となり、制限が機能することを確認しました。
ただし、使用量プランはAPIキー単位の制限です。キーはAPKに埋め込まれていて全ユーザーで共通なので、攻撃者が上限を使い切ると、正規ユーザーの通信も制限されます。課金の被害は抑えられても、サービスの可用性は守れません。そこで次の検証として、CognitoやWAFを使った別の軸での制限を試します。
伝えたかったこと
- APIキーはAPKから読める(隠せていない)
- LambdaとAPI Gatewayを挟むと、元のキーは隠せるが、入口は公開のまま
- 使用量プランで被害を限定できる。ただし、これだけでは可用性を守れない
発表資料
スライド資料(APKからAPIキーが読めてしまう ― Lambdaを挟んだら安全になるのか)
5. 発表してみて
良かったこと
- 資料構成:手を動かした内容を、やったこと・問題点・改善点の順に説明できました。
- 実例ベース:実際にAPKを逆コンパイルしてAPIキーが読めることを示し、LambdaとAPI Gatewayの構成図も見せたことで、聞き手がイメージしやすい発表になりました。
反省点
- 緊張して、スライドの文章をなぞるだけになり、自分の言葉で説明できませんでした。
- 構成は整理できたものの、盛り込みすぎて、時間内に伝えきれませんでした。
次回の対策
- 今回は伝えたいことを3つ詰め込んだため、次回は1つに絞る(スライドの枚数ではなく、聞き手に持ち帰ってほしいメッセージを1つにする)
- 台本は読まず、キーワードだけを頼りに話す
- 冒頭に「なぜ作ったか」を1枚入れる
6. 質問・フィードバック
質問:なぜこの開発を行ったのか、また、なぜGoogle Books APIを使ったのか。
回答:業務でAPIから情報を取得するモバイルアプリを開発しているため、その練習としてAPIを使いたかったからです。読書が好きなので、本にまつわるAPIを選びました。
フィードバック:参加者の方から、「セキュリティは今重要なテーマであり、APIキーの扱いに目を向けた点が良い」というコメントをいただきました。
7. 次にやりたいこと
4章の通り、使用量プランはAPIキー単位の制限のため、可用性は守れません。そこで次は、別の軸での制限を検証します。
| テーマ | 検証したい理由 |
|---|---|
| Cognito | ユーザー単位で認証・制限できるかを確かめたい |
| WAF | API Gatewayの手前で、IP単位のレート制限や不正アクセスの遮断ができるかを確かめたい |
アクションプラン
- Cognito・WAFの実装・検証
- AWS Certified Cloud Practitioner(CLF-C02)を取得
- 次回のLTに応募
8. まとめ
- 登壇を通じて、自分の課題(動機の説明不足、内容の詰め込みすぎ)が具体的に分かりました。
- 次は、CognitoとWAFの検証に進みます。今後もAWSの検証結果を発信していきます。