infra(ci-cd): Phase 1 Sprint 2 — tasks-webapi tag → ECR push + ECS update(S2Infra-4)

[win2cot]

親: #206(Sub-issues 参照)

概要

webapi-vX.Y.Z-dev tag push をトリガに tasks-webapi イメージを ECR push + ECS Service 更新する GitHub Actions workflow を作成する(S2Infra-4、tag 形式は ADR-0026、build/deploy セマンティクスは ADR-0028)。

claude-automation 不適用: workflow 編集系は case B(人手 PR 固定)。

やること

• tag パターン判定(webapi-v* で起動、suffix -dev → dev。ADR-0026)
• OIDC で AWS 認証(Terraform 実行と同じ OIDC IAM Role 系列、権限は least privilege で分離)
• build job / deploy job を分離し、deploy job は reusable 化(将来の stg/prd promote workflow が deploy job のみ再利用。ADR-0028)
• build job: bootBuildImage → ECR push。ECR イメージ tag は環境非依存の vX.Y.Z(git tag から prefix と環境 suffix を除く。同一 version の上書き push 禁止。ADR-0028)
• deploy job: describe-task-definition → image を digest 指定(@sha256:...) に差し替え → register-task-definition(新 revision)→ update-service(ADR-0028)
• concurrency 制御 + 失敗時の通知は GitHub Issue 集約方針に整合

依存

• blocked by S2Infra-1(Dockerfile)/ S2Infra-2(ECS Service)

受入基準

• webapi-v0.1.0-dev tag push で ECR push + ECS update が自動実行(受入条件 [Phase 1 Infra] Setup 0-2 + Sprint 0-5 Infra ストリーム横断 tracker #206)
• ECR 上のイメージ tag が v0.1.0(環境 suffix なし)である(ADR-0028)
• AWS credentials の長期キー不使用(OIDC のみ)

関連

• infrastructure-plan §6 / ADR-0026 / ADR-0028 / [Phase 1 Infra] Setup 0-2 + Sprint 0-5 Infra ストリーム横断 tracker #206 受入条件

---

追補(2026-06-14): Release 自動生成の合流(ADR-0030 / Foundation #628)

• deploy 成功後に、共通 reusable create-release(infra(ci-cd): GitHub Release 自動生成の共通基盤(reusable create-release + channel 比較 + release.yml) #628)を呼ぶ step を本 workflow に含める。
• Release タグ = 当該デプロイタグ。本文は (component, env) channel 比較の generate-notes、dev は pre-release。
• 受入追加: tag push 後に対応する GitHub Release が channel 比較ノート付きで作成される。
• 本体 deploy は infra(ci-cd): GitHub Release 自動生成の共通基盤(reusable create-release + channel 比較 + release.yml) #628 に blocked されない(Foundation 未了なら infra(ci-cd): GitHub Release 自動生成の共通基盤(reusable create-release + channel 比較 + release.yml) #628 側で後追い配線)。