infra(terraform): Phase 1 Sprint 1 — (platform) Keycloak 専用 DB(共有 IdP の realm/session ストア)

[win2cot]

概要

共有 Keycloak(platform IdP runtime、#322)の内部ストア(realm / client / session / Keycloak 管理データ)用の専用 DB を platform stack に新設。ADR-0004 改訂で Keycloak runtime が platform へ移ったことに伴う新規コンポーネント。user データ(tasks users 表)とは別物で、Keycloak は本 DB に自身の状態を保持し、user は per-realm SPI で tasks RDS を read-only federate する。

詳細仕様: infra/docs/adr/0004-platform-project-infra-separation.md(改訂)/ docs/adr/0006(改訂)。

stack / 配置(ADR-0004)

• platform stack: infra/shared/environments/dev/、module infra/shared/modules/keycloak(DB を内包 or keycloak_db 分割)
• 命名 platform-dev-* / Project=platform
• 常時稼働(認証基盤。tasks RDS のような停止スケジュール対象外)

検討事項(engine 選定、ADR-0004 Open Question)

• RDS MySQL(tasks RDS と同 engine で運用統一)vs Aurora Serverless v2 min(アイドルコスト最適)
• dev は最小構成、prod で再評価

やること

• engine 選定(RDS MySQL db.t4g.micro or Aurora Serverless v2 ACU min)
• module 作成(private subnet = SSM 参照、SG-KeycloakDB)
• 接続情報を platform PS / SSM に公開(infra(terraform): Phase 1 Sprint 1 — Keycloak (Custom) ECS Service + Listener Rule(S1Infra-5) #322 が参照)
• terraform plan(platform)+ dev apply(platform-apply role infra(ci-cd): Phase 1 Sprint 0 — (platform/tasks) OIDC + plan/apply×platform/tasks = 4 IAM Role(Environment 分離)(S0Infra-3) #246)

受入条件

• Keycloak 専用 DB 起動、infra(terraform): Phase 1 Sprint 1 — Keycloak (Custom) ECS Service + Listener Rule(S1Infra-5) #322 Keycloak Service から接続成功
• user データ(tasks users)と分離されている
• terraform apply(platform-apply role)成功

関連

• 親 tracker: [Phase 1 Infra] Setup 0-2 + Sprint 0-5 Infra ストリーム横断 tracker #206 / ADR: ADR-0004(改訂)
• 依存: S0Infra-4(infra(terraform): Phase 1 Sprint 0 — (platform) network: VPC+Subnet+IGW+RT+NAT+S3 GW EP+SSM publish(S0Infra-4) #240 platform network、subnet SSM)/ S0Infra-3(infra(ci-cd): Phase 1 Sprint 0 — (platform/tasks) OIDC + plan/apply×platform/tasks = 4 IAM Role(Environment 分離)(S0Infra-3) #246 platform-apply role)
• 関連: infra(terraform): Phase 1 Sprint 1 — Keycloak (Custom) ECS Service + Listener Rule(S1Infra-5) #322(Keycloak Service が本 DB を使用)
• Milestone: Phase 1 / Iteration: Phase 1 Sprint 1

備考

• task-type: task-type:impl / 優先度: priority/p0 / area: area/infra + area/db
• claude-automation: 適用

[claude-automation-impl]

実装着手宣言

方針サマリ

• engine 選定: RDS MySQL 8.0 db.t4g.micro を採用
  • 理由: Aurora Serverless v2 は常時稼働で min 0.5 ACU ≒ $21.6/月 vs db.t4g.micro ≒ $11.5/月で RDS MySQL の方が安い。運用一貫性(tasks RDS と同 engine)も利点
• module: infra/shared/modules/keycloak_db/ を新規作成
  • SG-KeycloakDB: VPC CIDR からの :3306 ingress(infra(terraform): Phase 1 Sprint 1 — Keycloak (Custom) ECS Service + Listener Rule(S1Infra-5) #322 が SG-Keycloak を作成するまでの暫定。private subnet 内のみ)
  • DB Subnet Group: private subnets
  • RDS MySQL 8.0 db.t4g.micro, single-AZ, encrypted, backup 7日
  • DB password: 既存プロジェクトパターン踏襲(CHANGE_ME プレースホルダー + lifecycle.ignore_changes)
• SSM publish: /platform/dev/keycloak-db-* に接続情報を公開(infra(terraform): Phase 1 Sprint 1 — Keycloak (Custom) ECS Service + Listener Rule(S1Infra-5) #322 が参照)
  • endpoint / port / db-name / username / password(SecureString) / sg-id

これから実装します。

[claude-automation-impl]

対応完了レポート

対応サマリ

項目	内容	対応
engine 選定	RDS MySQL db.t4g.micro を採用(常時稼働コスト $11.5/月 < Aurora Serverless v2 min $21.6/月、tasks RDS と engine 統一)	完了
module 作成	infra/shared/modules/keycloak_db/(SG-KeycloakDB / DB Subnet Group / RDS MySQL / SSM SecureString)	完了
接続情報 SSM 公開	/platform/dev/keycloak-db-{endpoint,port,db-name,username,password,sg-id} を publish	完了
platform stack 組み込み	infra/shared/environments/dev/main.tf に module 呼び出しと SSM publish を追加	完了

PR

#447

備考

• SG-KeycloakDB は VPC CIDR ingress を暫定使用。infra(terraform): Phase 1 Sprint 1 — Keycloak (Custom) ECS Service + Listener Rule(S1Infra-5) #322 で SG-Keycloak 作成後に更新可
• DB password は CHANGE_ME プレースホルダー + lifecycle.ignore_changes パターン(既存踏襲)。initial apply 後に SSM コンソールで設定

_{signal: claude-impl-done}