infra(terraform): Phase 1 Sprint 1 — ECR(tasks-webapi + keycloak-custom)(S1Infra-7)

[win2cot]

Phase 1 Sprint 1 Infra-7: (tasks) ECR(tasks-webapi + keycloak-custom)

概要

2 つの ECR repository を Terraform で構築: tasks-webapi / keycloak-custom。lifecycle policy + image scan on push を設定。tasks stack 所有(ADR-0004)。

詳細仕様: infra/docs/adr/0004-platform-project-infra-separation.md / docs/architecture/infrastructure-plan.md §6.5。

stack / 配置(ADR-0004)

• tasks stack: root infra/environments/dev/(key tasks/dev/terraform.tfstate)、module infra/modules/ecr/
• 命名/タグ Project=tasks(repo 名は logical: tasks-webapi / keycloak-custom)

背景

• 2 サービス分の image を保持
• コスト管理のため lifecycle policy で古い tag を整理
• image scan on push(結果は Sprint 4 NIST 整備で Security Hub 連携)

やること

• module infra/modules/ecr/ 作成
• tasks-webapi repo + lifecycle policy
• keycloak-custom repo + lifecycle policy
• image scan on push = enabled
• IAM: push = CI deploy 用 OIDC role(S2Infra-4/5、tasks 側)、pull = ECS Task Execution Role。terraform apply 自体は tasks-apply role(infra(ci-cd): Phase 1 Sprint 0 — (platform/tasks) OIDC + plan/apply×platform/tasks = 4 IAM Role(Environment 分離)(S0Infra-3) #246)
• terraform plan(tasks)+ dev apply

受入条件

• 2 ECR repo が確認可
• lifecycle policy + image scan on push 設定
• IAM 権限が想定通り(push: CI deploy role、pull: ECS Execution Role)
• terraform apply 成功

関連

• 親 tracker Issue: [Phase 1 Infra] Setup 0-2 + Sprint 0-5 Infra ストリーム横断 tracker #206
• ADR: ADR-0004
• Milestone: Phase 1 / Iteration: Phase 1 Sprint 1
• 依存: S0Infra-3(infra(ci-cd): Phase 1 Sprint 0 — (platform/tasks) OIDC + plan/apply×platform/tasks = 4 IAM Role(Environment 分離)(S0Infra-3) #246、tasks-apply role)
• 隣接(blocks): S1Infra-4(infra(keycloak): Phase 1 Sprint 1 — Keycloak Custom Docker Image(公式 + SPI JAR)(S1Infra-4) #321 Custom Image push 先)/ S2Infra-4/5(CI/CD push 経路)

備考

• task-type: task-type:impl / 優先度: priority/p0 / area: area/infra + area/ci
• claude-automation: 適用

[claude-automation-impl]

実装着手

方針サマリ

ブランチ: claude/impl/issue-324-ecr-module

実装内容

1. infra/modules/ecr/ モジュール新規作成

   • tasks-webapi / keycloak-custom の 2 ECR リポジトリ
   • image scan on push = enabled
   • lifecycle policy: untagged を 1 日後に削除 / tagged は最新 10 件保持
   • 暗号化: AES256(デフォルト、追加コストなし)

2. infra/environments/dev/ecr.tf でモジュール呼び出し

IAM について

CI deploy 用 OIDC Role(S2Infra-4/5)と ECS Task Execution Role は Sprint 2 で作成予定のため、今スプリントでは ECR リポジトリ自体の構築のみ行い、IAM リソースポリシーの付与は後続 Issue に委ねます。

命名

• リポジトリ名: tasks-webapi / keycloak-custom(ADR-0004 logical name)
• タグ Project=tasks(default_tags で自動付与)

[claude-automation-impl]

対応完了レポート

対応サマリ

指摘	内容	対応	コミット
S1Infra-7	ECR(tasks-webapi + keycloak-custom) module 作成	closed	acc7027

実装内容

• infra/modules/ecr/ 新規モジュール
  • tasks-webapi / keycloak-custom の 2 ECR リポジトリ(for_each)
  • image scan on push = enabled
  • lifecycle policy: untagged 1 日後削除 / tagged 最新 10 件保持
  • 暗号化: AES256
• infra/environments/dev/ecr.tf で dev 環境呼び出し

IAM push/pull ポリシーは CI OIDC Role / ECS Task Execution Role 作成後の Sprint 2(S2Infra-4/5)で付与します。

PR: #441

_{signal: claude-impl-done}