infra(terraform): Phase 1 Sprint 1 — Route53 + ACM(各 host、CloudFront 用は us-east-1)(S1Infra-6)

[win2cot]

Phase 1 Sprint 1 Infra-6: (tasks) Route53 record + ACM(深い cert を共有 ALB に attach、CloudFront 用は us-east-1)

概要

dgz48.xyz の Route53 zone(同アカウント管理済)に dev host を追加し、ACM 証明書を発行する。共有 ALB(#242)の default/base cert は platform 所有、本 issue は tasks の 深い cert(*.tasks.dgz48.xyz)を共有 ALB listener に SNI attach + alias record + CloudFront 用 us-east-1 cert を担う(ADR-0004 §E)。

詳細仕様: infra/docs/adr/0004-platform-project-infra-separation.md / docs/architecture/infrastructure-plan.md §6.4。

stack / 配置(ADR-0004)

• tasks stack: root infra/environments/dev/(key tasks/dev/terraform.tfstate)、module infra/modules/route53/(alias + 深い cert)
• 命名 tasks-dev-* / タグ Project=tasks
• platform 参照(SSM data source): /platform/dev/alb/https-listener-arn(深い cert の attach 先)、/platform/dev/alb/dns-name・/platform/dev/alb/zone-id(alias target)
• base/default cert は platform/alb(infra(terraform): Phase 1 Sprint 0 — (platform) alb: ALB+Listener+SG-ALB+base cert+SSM publish(S0Infra-6) #242、/platform/dev/alb/base-cert-arn)が所有。本 issue では重複作成しない

やること

• module infra/modules/route53/ 作成(record + ACM、us-east-1 provider alias 込み)
• ACM(ap-northeast-1): *.tasks.dgz48.xyz(tasks 深い cert、DNS validation)→ aws_lb_listener_certificate で SSM 参照の共有 ALB listener に attach
• ACM(us-east-1): tasks-dev.dgz48.xyz(CloudFront 用、DNS validation)
• alias record(ALB DNS/zone は SSM 参照):
  • api-dev.tasks.dgz48.xyz → 共有 ALB(A alias)
  • auth-dev.tasks.dgz48.xyz → 共有 ALB(A alias)
  • tasks-dev.dgz48.xyz → CloudFront(A alias、値は S2Infra-3、本 issue は雛形 or follow-up)
• terraform plan(tasks)+ dev apply(tasks-apply role infra(ci-cd): Phase 1 Sprint 0 — (platform/tasks) OIDC + plan/apply×platform/tasks = 4 IAM Role(Environment 分離)(S0Infra-3) #246)+ dig 確認

受入条件

• dev host が Route53 で解決可
• ACM 2 リージョン分が ISSUED、ap-northeast-1 cert が共有 ALB listener に attach 済み
• terraform apply 成功

関連

• 親 tracker Issue: [Phase 1 Infra] Setup 0-2 + Sprint 0-5 Infra ストリーム横断 tracker #206
• ADR: ADR-0004
• Milestone: Phase 1 / Iteration: Phase 1 Sprint 1
• 依存: S0Infra-6(infra(terraform): Phase 1 Sprint 0 — (platform) alb: ALB+Listener+SG-ALB+base cert+SSM publish(S0Infra-6) #242 共有 ALB、SSM)/ S0Infra-3(infra(ci-cd): Phase 1 Sprint 0 — (platform/tasks) OIDC + plan/apply×platform/tasks = 4 IAM Role(Environment 分離)(S0Infra-3) #246、tasks-apply role)
• 隣接: S1Infra-5(infra(terraform): Phase 1 Sprint 1 — Keycloak (Custom) ECS Service + Listener Rule(S1Infra-5) #322 Keycloak Listener Rule)/ S2Infra-3(CloudFront)

備考

• task-type: task-type:impl / 優先度: priority/p0 / area: area/infra
• claude-automation: 適用

[claude-automation-impl]

着手宣言

Issue #323 の実装を開始します。

実装方針

対象: infra/modules/route53/ + infra/environments/dev/

変更内容

1. infra/modules/route53/versions.tf

   • us-east-1 provider alias (aws.us_east_1) を required_providers に追加

2. infra/modules/route53/variables.tf に新変数追加

   • base_domain, alb_https_listener_arn, alb_dns_name, alb_zone_id, cloudfront_domain_name, cloudfront_zone_id

3. infra/modules/route53/main.tf を拡張

   • ACM (ap-northeast-1): *.tasks.dgz48.xyz — DNS validation → aws_lb_listener_certificate で共有 ALB listener に SNI attach
   • ACM (us-east-1): tasks-dev.dgz48.xyz — CloudFront 用 DNS validation
   • Route53 alias record: api-dev.tasks.dgz48.xyz / auth-dev.tasks.dgz48.xyz → ALB (A alias)
   • Route53 alias record: tasks-dev.dgz48.xyz → CloudFront 雛形 (S2Infra-3 follow-up 前提で nullable variable で optional)

4. infra/modules/route53/outputs.tf に証明書 ARN 等を追加

5. infra/environments/dev/data.tf — ALB 関連の SSM data source 3 本追加

   • /platform/dev/alb-https-listener-arn, /platform/dev/alb-dns-name, /platform/dev/alb-zone-id

6. infra/environments/dev/route53.tf — module 呼び出しに新変数を渡すよう更新

設計上の注意点

• CloudFront alias record は S2Infra-3 が実体化するまで nullable variable + count で optional に実装
• ADR-0004 §E に従い、base cert は platform 所有のため本 Issue では重複作成しない

[claude-automation-impl]

対応完了レポート

PR #446 を open しました: #446

実装サマリ

対象	内容
infra/modules/route53/versions.tf	aws.us_east_1 provider alias を configuration_aliases に追加
infra/modules/route53/variables.tf	alb_https_listener_arn / alb_dns_name / alb_zone_id / cloudfront_domain_name 等を追加
infra/modules/route53/main.tf	ACM(ap-northeast-1) *.tasks.dgz48.xyz + DNS validation + ALB SNI attach、ACM(us-east-1) tasks-dev.dgz48.xyz + DNS validation、alias records 3本 (api-dev / auth-dev / tasks-dev)
infra/modules/route53/outputs.tf	tasks_regional_cert_arn / tasks_cloudfront_cert_arn / api_fqdn / auth_fqdn を追加
infra/environments/dev/data.tf	SSM data source 3本追加 (alb-https-listener-arn / alb-dns-name / alb-zone-id)
infra/environments/dev/route53.tf	module 呼び出しに providers ブロックと新変数を追加
infra/environments/dev/versions.tf	aws.us_east_1 provider alias を追加

やること チェックリスト照合

• module infra/modules/route53/ 拡張 (record + ACM、us-east-1 provider alias 込み)
• ACM(ap-northeast-1): *.tasks.dgz48.xyz — DNS validation + shared ALB listener に SNI attach
• ACM(us-east-1): tasks-dev.dgz48.xyz — CloudFront 用 DNS validation
• alias record: api-dev.tasks.dgz48.xyz → 共有 ALB (A alias)
• alias record: auth-dev.tasks.dgz48.xyz → 共有 ALB (A alias)
• alias record: tasks-dev.dgz48.xyz → CloudFront 雛形 (cloudfront_domain_name null 時は count=0 でスキップ)
• terraform plan / dev apply / dig 確認 — 実環境での実行は win2cot による apply 後に確認

_{signal: claude-impl-done}