infra(terraform): Phase 1 Sprint 1 — Keycloak (Custom) ECS Service + Listener Rule(S1Infra-5)

[win2cot]

Phase 1 Sprint 1 Infra-5: (platform) Keycloak (Custom) ECS Service + ALB Listener Rule(共有 IdP runtime)

概要

共有 Keycloak Custom Image(#321)を platform stack の ECS Fargate Service として起動(共有 IdP runtime、multi-realm、ADR-0004 改訂)。platform の共有 ALB(#242、同 stack)の Host-based Listener Rule で 中立ホスト auth-dev.dgz48.xyz → Keycloak Service にルーティング。各プロジェクトは realm パス(例 /realms/tasks)で区別。

詳細仕様: infra/docs/adr/0004-platform-project-infra-separation.md(改訂)/ docs/adr/0006(改訂)/ infrastructure-plan §5.3 / §6.4。

stack / 配置(ADR-0004 改訂)

• platform stack: root infra/shared/environments/dev/(key platform/dev/...)、module infra/shared/modules/keycloak/
• 命名 platform-dev-* / タグ Project=platform
• ALB(infra(terraform): Phase 1 Sprint 0 — (platform) alb: ALB+Listener+SG-ALB+base cert+SSM publish(S0Infra-6) #242)は同 stack のため 直接 module 参照(listener rule / TG / SG、SSM 不要)
• Keycloak 自身の内部 DB は platform 専用 Keycloak DB(infra(terraform): Phase 1 Sprint 1 — (platform) Keycloak 専用 DB(共有 IdP の realm/session ストア) #387)(realm / client / session)
• per-realm の User Storage SPI が tasks の users 表を read-only federate(email のみ writable)。tasks RDS への read creds / SG 経路は tasks 側が払い出し SSM 公開、platform Keycloak が消費(platform IaC は tasks state 非依存)

背景

• 共有 ALB を中立ホスト + realm パスで振り分け(共有 IdP)
• 資格・MFA は Keycloak 自前ストア(ADR-0006 改訂、phone 列なしのため SMS-OTP 対象外)
• Keycloak 内部 DB = platform Keycloak DB(infra(terraform): Phase 1 Sprint 1 — (platform) Keycloak 専用 DB(共有 IdP の realm/session ストア) #387)。tasks RDS は user federation の read 専用

やること

• module infra/shared/modules/keycloak/ 作成(ECS Task Definition / Service / SG-Keycloak / TG / Listener Rule)
• ECR image 参照(共有 Custom Image infra(keycloak): Phase 1 Sprint 1 — Keycloak Custom Docker Image(公式 + SPI JAR)(S1Infra-4) #321、infra(terraform): Phase 1 Sprint 1 — ECR(tasks-webapi + keycloak-custom)(S1Infra-7) #324 ECR ready 前提)
• Task Role + Execution Role(platform PS / Keycloak DB creds 参照、CloudWatch Logs)
• env: Keycloak DB(infra(terraform): Phase 1 Sprint 1 — (platform) Keycloak 専用 DB(共有 IdP の realm/session ストア) #387)接続、KC_HOSTNAME=auth-dev.dgz48.xyz
• per-realm SPI の tasks RDS 接続(tasks が SSM 公開した federation 用 read-only JDBC user)
• Listener Rule: 共有 ALB(infra(terraform): Phase 1 Sprint 0 — (platform) alb: ALB+Listener+SG-ALB+base cert+SSM publish(S0Infra-6) #242、同 stack)に Host = auth-dev.dgz48.xyz → Keycloak TG
• SG-Keycloak: ingress from SG-ALB(intra-platform)、egress to tasks RDS:3306(SPI federation、cross-stack)
• terraform plan(platform)+ dev apply(platform-apply role infra(ci-cd): Phase 1 Sprint 0 — (platform/tasks) OIDC + plan/apply×platform/tasks = 4 IAM Role(Environment 分離)(S0Infra-3) #246)

受入条件

• 共有 Keycloak Service が ECS で起動、healthy(platform Keycloak DB infra(terraform): Phase 1 Sprint 1 — (platform) Keycloak 専用 DB(共有 IdP の realm/session ストア) #387 に接続)
• 共有 ALB Listener Rule が機能、auth-dev.dgz48.xyz で疎通(infra(terraform): Phase 1 Sprint 1 — Route53 + ACM(各 host、CloudFront 用は us-east-1)(S1Infra-6) #323 整合)
• tasks realm の SPI が tasks users 表を read-only federate でログイン成立
• terraform apply(platform-apply role)成功

関連

• 親 tracker Issue: [Phase 1 Infra] Setup 0-2 + Sprint 0-5 Infra ストリーム横断 tracker #206 / ADR: ADR-0004(改訂)/ ADR-0006(改訂)
• Milestone: Phase 1 / Iteration: Phase 1 Sprint 1
• 依存: S0Infra-6(infra(terraform): Phase 1 Sprint 0 — (platform) alb: ALB+Listener+SG-ALB+base cert+SSM publish(S0Infra-6) #242 共有 ALB、同 stack)/ Keycloak 専用 DB(infra(terraform): Phase 1 Sprint 1 — (platform) Keycloak 専用 DB(共有 IdP の realm/session ストア) #387、platform) / S1Infra-4(infra(keycloak): Phase 1 Sprint 1 — Keycloak Custom Docker Image(公式 + SPI JAR)(S1Infra-4) #321 共有 Custom Image)/ S1Infra-7(infra(terraform): Phase 1 Sprint 1 — ECR(tasks-webapi + keycloak-custom)(S1Infra-7) #324 ECR)/ S1Infra-1(infra(terraform): Phase 1 Sprint 1 — RDS MySQL 8.4(dev、IAM 認証)+ PHZ CNAME(S1Infra-1) #318 tasks RDS、SPI federation 先)/ S0Infra-3(infra(ci-cd): Phase 1 Sprint 0 — (platform/tasks) OIDC + plan/apply×platform/tasks = 4 IAM Role(Environment 分離)(S0Infra-3) #246 platform-apply role)
• 隣接: S1Infra-8(infra(keycloak)+docs: Phase 1 Sprint 1 — Keycloak Realm initial import 手順(S1Infra-8) #325 Realm import)/ infra(terraform): Phase 1 Sprint 1 — Route53 + ACM(各 host、CloudFront 用は us-east-1)(S1Infra-6) #323(auth ホストの alias/cert)

備考

• task-type: task-type:impl / 優先度: priority/p0 / area: area/infra + area/keycloak
• claude-automation: 適用