infra(security): IaC セキュリティスキャン(tfsec/trivy/checkov)を CI に追加

[win2cot]

概要

IaC セキュリティ静的解析を CI に追加。infra 配下の terraform ファイル変更時に Trivy(config / misconfig) でスキャン。NIST 最小コントロール(S4Infra-2)の前倒し。

実装内容

• Trivy config でスキャン(tfsec は Trivy 統合で非推奨、infra(terraform): Phase 1 Sprint 1 — ECR(tasks-webapi + keycloak-custom)(S1Infra-7) #324 ECR image scan とツール集約)。SARIF → GitHub code scanning(public repo 無料、Security タブ + PR インライン注釈)
• ベースライン: .trivyignore で開始、許容指摘を追記管理
• paths-filter は terraform ファイル限定(infra/**/*.tf / infra/**/*.hcl / infra/**/*.tfvars / 当ワークフロー)+ concurrency。infra/** 全体だと infra/docs/ の doc-only(.md)変更で誤発火するため不可
• 重大度しきい値で fail(初期は high+ のみ fail、medium 以下は warn)

受入条件

• terraform ファイル変更 PR でスキャンが実行され high+ 指摘で fail(doc-only .md ではスキップ)
• 結果が確認可能(code scanning or comment)
• 既知許容指摘のベースライン運用が定義済

関連

• 親 tracker: infra(ci): Terraform CI 検証パイプライン(tracker) #382
• 関連: S4Infra-2(NIST)
• claude-automation: 不適用(case B)

[win2cot]

実装完了 → PR #390

実装内容

ファイル構成:

• .github/workflows/iac-security-scan.yml — Trivy config スキャン CI
• .trivyignore — 許容指摘ベースライン（空スタート）

ワークフロー設計:

push/PR → changes ジョブ (paths-filter)
           ├─ infra/**/*.tf / .hcl / .tfvars → tf=true
           ├─ .trivyignore                  → tf=true  ← 抑制変更も再検証
           └─ .md など                      → スキップ

         → scan ジョブ (if: tf == 'true')
           1. Trivy config スキャン [全重大度 → SARIF]
           2. SARIF を GitHub Security タブへ upload (API 障害は continue-on-error)
           3. Trivy config スキャン [HIGH/CRITICAL, exit-code: 1]  ← fail-gate

ステップ条件設計のポイント:

• SARIF アップロードは if: trivy-sarif.outcome == 'success'（skipped 時は発火しない）
• fail-gate は if: always() && (outcome == 'success' || outcome == 'failure')（SARIF API 障害でもスキップされない）

セルフレビューで検出・修正した問題

2 ラウンドのセルフレビューで計 5 件を修正:

重大度	内容
Critical	@0.31.0 — v プレフィックス欠落でアクション解決失敗 → @v0.31.0
High	if: always() が 'skipped' 状態でも発火、SARIF ファイル未存在でエラー → == 'success'
High	fail-gate に暗黙 success() が適用され SARIF API 障害時にスキップ → always() && 追加
Medium	.trivyignore 変更時にスキャンが走らず抑制が無検証マージ可能 → paths-filter に追加
Medium	continue-on-error: true なしで SARIF API 障害が PR をブロック → 追加

[win2cot]

CI 異常終了の原因と対応 → PR #391

#390 マージ後の CI で Trivy スキャンが異常終了しました。

原因: trivy-action@v0.31.0 の内部デフォルト Trivy CLI バージョン v0.63.0 が GitHub Release に存在しないため、バイナリインストールが失敗していました。

修正: PR #391 で両 Trivy ステップに version: v0.71.0（現存する最新リリース）を明示指定しました。