infra(terraform): Phase 1 Sprint 1 — RDS MySQL 8.4(dev、IAM 認証)+ PHZ CNAME(S1Infra-1)

[win2cot]

Phase 1 Sprint 1 Infra-1: (tasks) RDS MySQL 8.4(dev、IAM 認証)+ PHZ CNAME

概要

dev 環境向け RDS MySQL 8.4(db.t4g.micro)を Terraform で構築し、tasks-webapi 接続用に IAM 認証 を有効化する。tasks 所有の PHZ(tasks.internal、#244)に CNAME(db.tasks.internal → dev RDS endpoint)を登録。VPC / private subnet は platform が publish した SSM を参照する(ADR-0004)。

詳細仕様: infra/docs/adr/0004-platform-project-infra-separation.md / docs/architecture/infrastructure-plan.md §6.2 / ADR-0007(RDS vs Aurora)/ ADR-0001(Private DNS for RDS)。

stack / 配置(ADR-0004)

• tasks stack: root infra/environments/dev/(key tasks/dev/terraform.tfstate)、module infra/modules/rds/
• 命名 tasks-dev-* / タグ Project=tasks
• platform 参照(SSM data source): /platform/dev/network/private-subnet-ids(SG-RDS は tasks infra(terraform): Phase 1 Sprint 0 — (tasks) Security Groups: SG-ECS/SG-RDS(SG-ALBは#242へ)(S0Infra-5) #241、PHZ は tasks infra(terraform): Phase 1 Sprint 0 — (tasks) Route53 PHZ tasks.internal + 共有VPC association(VPC IDはSSM)(S0Infra-8) #244)
• RDS は tasks 所有 + 停止スケジュール対象(ADR-0004 §G、S3Infra-4 で ECS に加え RDS 起動/停止を制御)

背景

• dev は RDS MySQL 8.4 db.t4g.micro(Aurora は prd 検討時に再評価、ADR-0007)
• 認証: tasks-webapi = IAM 認証 / Keycloak = パスワード認証(ADR-0006 関連)
• DB endpoint は PHZ CNAME 経由(db.tasks.internal、env 不問の固定名、ADR-0001)

やること

• module infra/modules/rds/ 作成(MySQL 8.4 / IAM auth / private subnet=SSM 参照 / SG-RDS=infra(terraform): Phase 1 Sprint 0 — (tasks) Security Groups: SG-ECS/SG-RDS(SG-ALBは#242へ)(S0Infra-5) #241)
• infra/environments/dev/ で呼び出し(subnet は SSM data source)
• Parameter Store: master + Keycloak 用パスワード(SecureString、tasks PS infra(terraform)+docs: Phase 1 Sprint 0 — (tasks) Parameter Store + parameter-store.md(SMTP credsはproject別/platform値はSSM read)(S0Infra-7) #243 整合)
• tasks-webapi 用 ECS Task Role に rds-db:connect 付与(S2Infra-2 整合)
• PHZ CNAME: db.tasks.internal → dev RDS endpoint(tasks route53 infra(terraform): Phase 1 Sprint 0 — (tasks) Route53 PHZ tasks.internal + 共有VPC association(VPC IDはSSM)(S0Infra-8) #244)
• terraform plan(tasks)を CI 確認 + dev apply(tasks-apply role infra(ci-cd): Phase 1 Sprint 0 — (platform/tasks) OIDC + plan/apply×platform/tasks = 4 IAM Role(Environment 分離)(S0Infra-3) #246)

受入条件

• dev RDS が起動、IAM 認証で接続可能
• db.tasks.internal → RDS endpoint の CNAME が共有 VPC 内から resolve
• master / Keycloak 用 secrets が tasks Parameter Store に格納(平文値が git / state に出ない)
• terraform apply が tasks-apply OIDC role 経由で成功(infra(ci-cd): Phase 1 Sprint 0 — (platform/tasks) OIDC + plan/apply×platform/tasks = 4 IAM Role(Environment 分離)(S0Infra-3) #246)

関連

• 親 tracker Issue: [Phase 1 Infra] Setup 0-2 + Sprint 0-5 Infra ストリーム横断 tracker #206
• ADR: ADR-0004 / ADR-0007 / ADR-0001
• Milestone: Phase 1 / Iteration: Phase 1 Sprint 1
• 依存: S0Infra-4(infra(terraform): Phase 1 Sprint 0 — (platform) network: VPC+Subnet+IGW+RT+NAT+S3 GW EP+SSM publish(S0Infra-4) #240、private subnet を SSM 参照)/ S0Infra-5(infra(terraform): Phase 1 Sprint 0 — (tasks) Security Groups: SG-ECS/SG-RDS(SG-ALBは#242へ)(S0Infra-5) #241、SG-RDS)/ S0Infra-7(infra(terraform)+docs: Phase 1 Sprint 0 — (tasks) Parameter Store + parameter-store.md(SMTP credsはproject別/platform値はSSM read)(S0Infra-7) #243、PS)/ S0Infra-8(infra(terraform): Phase 1 Sprint 0 — (tasks) Route53 PHZ tasks.internal + 共有VPC association(VPC IDはSSM)(S0Infra-8) #244、PHZ)/ S0Infra-3(infra(ci-cd): Phase 1 Sprint 0 — (platform/tasks) OIDC + plan/apply×platform/tasks = 4 IAM Role(Environment 分離)(S0Infra-3) #246、tasks-apply role)
• 隣接: S1Infra-2(infra(terraform): Phase 1 Sprint 1 — ECS Cluster(Fargate)(S1Infra-2) #319 ECS)/ S2Infra-2(tasks-webapi Service)/ S3Infra-4(RDS 停止スケジュール)

備考

• task-type: task-type:impl / 優先度: priority/p0 / area: area/infra + area/db
• claude-automation: 適用

[claude-automation-impl]

対応完了レポート

対応サマリ

チェック項目	対応内容	コミット
module infra/modules/rds/ 作成	MySQL 8.4 / db.t4g.micro / IAM auth / private subnet(SSM) / SG-RDS	99403ac
infra/environments/dev/ で呼び出し	rds.tf 追加、subnet_ids は split(",", SSM value)	99403ac
Parameter Store: Keycloak 用パスワード追加	/tasks/{env}/db/keycloak-spi-read-password を parameter_store モジュールに追加	99403ac
tasks-webapi ECS Task Role 作成	iam.tf 新規: rds-db:connect + SSM 読み取りポリシー(S2Infra-2 整合)	99403ac
PHZ CNAME 差替	route53 モジュールの placeholder → module.rds.db_instance_address	99403ac

PR: #448

_{signal: claude-impl-done}