chore(security/infra): アプリ側 RDS IAM 認証配線の見直し — 暫定対応の設計化 + ADR 要否判断

[win2cot]

概要

CSP 検証中に「RDS IAM 認証が未配線で DB 接続できない」事象を発見し、暫定で動作するよう手当てした(議論なし・動作優先)。本 Issue で設計的に見直し正式方針を確定する。

背景

infra 側は IAM 前提で構築済(#448 RDS / #479 Task Role rds-db:connect / #478 イメージ)だが、アプリ側 DataSource は素の com.mysql.cj.jdbc.Driver+username/password のまま。infra 受入「パスワード未使用で接続成功」はアプリ側配線が無いと満たせず、受け皿 Issue が境界に落ちていた。

論点

• 認証方式の確定(AWS Advanced JDBC Wrapper iam plugin / SDK で token 生成 等)と暫定対応の妥当性評価
• ライブラリ追加 = ADR 要否(新規ライブラリ導入は同 PR で ADR)
• 環境差: local/CI=password、stg/prd=IAM を env のみで切替(プロファイル不使用方針と整合)
• Native Image の reflection hints(infra(app): Phase 1 Sprint 2 — tasks-webapi コンテナイメージ(GraalVM Native Image、IAM 認証クライアント込み)(S2Infra-1) #478 で重点確認とされた箇所)
• トークン15分有効期限とコネクションプール再認証
• infra(terraform): Phase 1 Sprint 2 — tasks-webapi ECS Service + Listener Rule + Task Role(IAM 認証)(S2Infra-2) #479 受入とアプリ側設定の対応を doc 化

受入条件

• 方式が ADR or 設計規約に明記 / local=password・stg-prd=IAM が env のみで成立 / infra(terraform): Phase 1 Sprint 2 — tasks-webapi ECS Service + Listener Rule + Task Role(IAM 認証)(S2Infra-2) #479 との対応 doc 化