# 冪等性の実例
初期状態: インスタンス0台
1回目実行: 3台作成 → 結果: 3台
2回目実行: 変更なし → 結果: 3台（変わらず）
3回目実行: 変更なし → 結果: 3台（変わらず）

# 設定変更時
設定変更: instance_type を t3.large に変更
4回目実行: 3台を更新 → 結果: 3台（t3.large）

# プルリクエストでのインフラ変更レビュー
レビュープロセス:
  1. 変更案の作成:
     - ブランチで変更を実装
     - terraform plan の結果を確認

  2. プルリクエスト:
     - 変更の意図を説明
     - 影響範囲を明記
     - コスト影響を記載

  3. レビュー:
     - セキュリティチェック
     - ベストプラクティス確認
     - コスト最適化の検討

  4. 承認と適用:
     - 複数人による承認
     - 自動テストの通過
     - 本番環境への適用

レベル1 - 手動運用:
  特徴:
    - GUI/CLIでの手動設定
    - ドキュメント化されていない
    - 再現性なし
  リスク:
    - ヒューマンエラー
    - 環境間の不整合
    - 障害復旧の遅延

レベル2 - スクリプト化:
  特徴:
    - シェルスクリプトでの部分自動化
    - 基本的なバージョン管理
    - 限定的な再現性
  改善点:
    - 手動作業の削減
    - 基本的な標準化

レベル3 - IaCツール導入:
  特徴:
    - Terraform/CloudFormation使用
    - コードレビュー実施
    - 環境別管理
  利点:
    - 宣言的管理
    - 状態管理
    - ドリフト検出

レベル4 - 完全自動化:
  特徴:
    - CI/CDパイプライン統合
    - 自動テスト実装
    - Policy as Code
  成果:
    - 継続的デリバリー
    - コンプライアンス自動化
    - セルフサービス化

レベル5 - GitOps:
  特徴:
    - Git as Single Source of Truth
    - Pull型デプロイメント
    - 継続的な同期
  最終形:
    - 完全な監査証跡
    - 自動ロールバック
    - 宣言的運用

# IaCと構成管理の責任分担
Infrastructure as Code (Terraform):
  - ネットワークの作成
  - サーバーのプロビジョニング
  - ロードバランサーの設定
  - データベースの作成
  - セキュリティグループの定義

Configuration Management (Ansible):
  - OSの設定とハードニング
  - ミドルウェアのインストール
  - アプリケーションのデプロイ
  - 設定ファイルの管理
  - ユーザーと権限の管理

---
# site.yml - マスターPlaybook
- name: Common configuration for all servers
  hosts: all
  become: yes
  roles:
    - common
    - security

- name: Configure web servers
  hosts: webservers
  become: yes
  roles:
    - nginx
    - app-deploy
  vars:
    app_version: "{{ lookup('env', 'APP_VERSION') | default('approved-release-tag', true) }}"

- name: Configure database servers
  hosts: databases
  become: yes
  roles:
    - postgresql
    - backup

# group_vars/all.yml - 全ホスト共通変数
---
ntp_servers:
  - ntp.nict.jp
  - ntp.jst.mfeed.ad.jp

timezone: Asia/Tokyo

security_ssh_port: 22
security_ssh_password_authentication: "no"
security_ssh_permit_root_login: "no"

# group_vars/webservers.yml - Webサーバー用変数
---
nginx_worker_processes: "{{ ansible_processor_vcpus }}"
nginx_worker_connections: 2048

app_user: webapp
app_group: webapp
app_home: /var/www/app
app_port: 3000

# group_vars/production.yml - 本番環境用変数
---
nginx_server_tokens: "off"
nginx_ssl_protocols: "TLSv1.2 TLSv1.3"
nginx_ssl_ciphers: "HIGH:!aNULL:!MD5"

enable_monitoring: true
enable_log_shipping: true

# roles/nginx/tasks/main.yml
---
- name: Include OS-specific variables
  include_vars: "{{ ansible_os_family }}.yml"

- name: Install Nginx
  package:
    name: "{{ nginx_package_name }}"
    state: present
  notify: restart nginx

- name: Create Nginx directories
  file:
    path: "{{ item }}"
    state: directory
    owner: root
    group: root
    mode: '0755'
  loop:
    - /etc/nginx/sites-available
    - /etc/nginx/sites-enabled
    - /etc/nginx/ssl
    - /var/log/nginx

- name: Generate DH parameters
  openssl_dhparam:
    path: /etc/nginx/ssl/dhparams.pem
    size: 2048
  when: nginx_use_ssl | default(false)

- name: Configure Nginx
  template:
    src: nginx.conf.j2
    dest: /etc/nginx/nginx.conf
    owner: root
    group: root
    mode: '0644'
    validate: 'nginx -t -c %s'
  notify: reload nginx

- name: Configure virtual hosts
  template:
    src: vhost.conf.j2
    dest: "/etc/nginx/sites-available/{{ item.name }}"
    owner: root
    group: root
    mode: '0644'
  loop: "{{ nginx_vhosts }}"
  when: nginx_vhosts is defined
  notify: reload nginx

- name: Enable virtual hosts
  file:
    src: "/etc/nginx/sites-available/{{ item.name }}"
    dest: "/etc/nginx/sites-enabled/{{ item.name }}"
    state: link
  loop: "{{ nginx_vhosts }}"
  when: nginx_vhosts is defined
  notify: reload nginx

- name: Remove default site
  file:
    path: /etc/nginx/sites-enabled/default
    state: absent
  notify: reload nginx

- name: Ensure Nginx is running
  systemd:
    name: nginx
    state: started
    enabled: yes
    daemon_reload: yes

# roles/nginx/templates/nginx.conf.j2
user {{ nginx_user }};
worker_processes {{ nginx_worker_processes }};
pid /run/nginx.pid;

events {
    worker_connections {{ nginx_worker_connections }};
    multi_accept on;
    use epoll;
}

http {
    # 基本設定
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    keepalive_timeout 65;
    types_hash_max_size 2048;
    server_tokens {{ nginx_server_tokens | default('on') }};

    # MIME types
    include /etc/nginx/mime.types;
    default_type application/octet-stream;

    # SSL設定
    {% if nginx_use_ssl | default(false) %}
    ssl_protocols {{ nginx_ssl_protocols }};
    ssl_ciphers {{ nginx_ssl_ciphers }};
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;
    ssl_stapling on;
    ssl_stapling_verify on;
    {% endif %}

    # ログ設定
    access_log /var/log/nginx/access.log;
    error_log /var/log/nginx/error.log;

    # Gzip圧縮
    gzip on;
    gzip_vary on;
    gzip_proxied any;
    gzip_comp_level 6;
    gzip_types text/plain text/css text/xml text/javascript application/json application/javascript application/xml+rss application/rss+xml application/atom+xml image/svg+xml;

    # バーチャルホスト設定
    include /etc/nginx/conf.d/*.conf;
    include /etc/nginx/sites-enabled/*;
}

# roles/nginx/handlers/main.yml
---
- name: restart nginx
  systemd:
    name: nginx
    state: restarted
  when: nginx_restart_on_change | default(true)

- name: reload nginx
  systemd:
    name: nginx
    state: reloaded
  when: nginx_reload_on_change | default(true)

- name: validate nginx configuration
  command: nginx -t
  changed_when: false

# 冪等性を保証する書き方の例
---
- name: 冪等性のあるタスク例
  hosts: all
  become: yes

  tasks:
    # GOOD: 冪等性あり - ファイルが既に存在すれば変更なし
    - name: Create application directory
      file:
        path: /opt/myapp
        state: directory
        owner: myapp
        group: myapp
        mode: '0755'

    # GOOD: 冪等性あり - 行が既に存在すれば追加しない
    - name: Add configuration line
      lineinfile:
        path: /etc/sysctl.conf
        line: 'vm.swappiness=10'
        state: present

    # GOOD: 冪等性あり - パッケージが既にインストール済みなら何もしない
    - name: Install required packages
      package:
        name:
          - git
          - python3-pip
          - nginx
        state: present

    # BAD: 冪等性なし - 実行するたびにファイルに追記される
    - name: Append to log file (非推奨)
      shell: echo "Deployment at $(date)" >> /var/log/deploy.log

    # GOOD: 上記の冪等性のある代替案
    - name: Record deployment
      copy:
        content: "Last deployment: ``\n"
        dest: /var/log/last_deploy.log
        owner: root
        group: root
        mode: '0644'

    # 条件付き実行で冪等性を確保
    - name: Initialize database
      command: /opt/myapp/bin/init_db.sh
      args:
        creates: /opt/myapp/db/.initialized
      # .initializedファイルが存在する場合は実行しない

    # チェックモードでの動作確認
    - name: Configure service
      template:
        src: myapp.service.j2
        dest: /etc/systemd/system/myapp.service
      register: service_config
      check_mode: yes

    - name: Reload systemd if needed
      systemd:
        daemon_reload: yes
      when: service_config.changed

# Vault暗号化されたファイルの作成
# ansible-vault create vars/secrets.yml

# 平文の secrets.yml
---
database_password: "super-secret-password"
api_keys:
  stripe: "sk_live_..."
  aws_access_key: "AKIA..."
  aws_secret_key: "..."

# 暗号化後
$ANSIBLE_VAULT;1.1;AES256
39613836386435386...（暗号化されたデータ）

# Playbookでの使用
---
- name: Deploy application with secrets
  hosts: webservers
  vars_files:
    - vars/common.yml
    - vars/secrets.yml  # Vault暗号化されたファイル

  tasks:
    - name: Create database configuration
      template:
        src: database.yml.j2
        dest: "{{ app_home }}/config/database.yml"
        owner: "{{ app_user }}"
        group: "{{ app_group }}"
        mode: '0600'  # 機密情報のため厳格な権限
      no_log: true    # ログに機密情報を出力しない

# templates/database.yml.j2
production:
  adapter: postgresql
  encoding: unicode
  database: {{ database_name }}
  pool: {{ database_pool | default(5) }}
  username: {{ database_user }}
  password: {{ database_password }}  # Vaultから取得
  host: {{ database_host }}
  port: {{ database_port | default(5432) }}

# 実行時
# ansible-playbook -i inventory site.yml --ask-vault-pass
# または
# ansible-playbook -i inventory site.yml --vault-password-file ~/.vault_pass

パイプライン設計の原則:
  高速フィードバック:
    - 問題の早期発見
    - 10分以内の基本的なフィードバック
    - 段階的な詳細検証

  自動化の徹底:
    - 手動プロセスの排除
    - 一貫性の確保
    - ヒューマンエラーの防止

  段階的なリスク管理:
    - 環境を段階的に昇格
    - 各段階での検証強化
    - ロールバック可能性の確保

  監査証跡:
    - すべての変更の記録
    - 承認プロセスの可視化
    - コンプライアンス対応

# .github/workflows/infrastructure-pipeline.yml
name: Infrastructure CI/CD Pipeline

on:
  pull_request:
    branches: [main]
    paths:
      - 'terraform/**'
      - 'ansible/**'
  push:
    branches: [main]
    paths:
      - 'terraform/**'
      - 'ansible/**'

env:
  TF_VERSION: '1.5.0'
  ANSIBLE_VERSION: '2.15.0'
  TFLINT_VERSION: ${{ vars.TFLINT_VERSION }}
  TERRASCAN_VERSION: ${{ vars.TERRASCAN_VERSION }}
  TERRASCAN_SHA256: ${{ vars.TERRASCAN_SHA256 }}
  AWS_REGION: 'ap-northeast-1'

permissions:
  contents: read

jobs:
  # 1. 静的解析とlint
  static-analysis:
    runs-on: ubuntu-24.04
    steps:
      - uses: actions/checkout@v4

      - name: Setup Terraform
        uses: hashicorp/setup-terraform@v3
        with:
          terraform_version: ${{ env.TF_VERSION }}

      - name: Terraform Format Check
        run: |
          cd terraform
          terraform fmt -check -recursive

      - name: Terraform Validate
        run: |
          cd terraform
          for dir in $(find . -type f -name "*.tf" -exec dirname {} \; | sort -u); do
            echo "Validating $dir"
            (cd "$dir" && terraform init -backend=false -input=false && terraform validate)
          done

      - name: TFLint
        uses: terraform-linters/setup-tflint@v6
        with:
          tflint_version: ${{ env.TFLINT_VERSION }}

      - name: Run TFLint
        run: |
          cd terraform
          tflint --init
          tflint --recursive

      - name: Setup Python
        uses: actions/setup-python@v6
        with:
          python-version: '3.11'

      - name: Install Ansible and ansible-lint
        run: |
          pip install ansible==${{ env.ANSIBLE_VERSION }} ansible-lint

      - name: Ansible Lint
        run: |
          cd ansible
          ansible-lint

  # 2. セキュリティスキャン
  security-scan:
    runs-on: ubuntu-24.04
    permissions:
      contents: read
      security-events: write
    steps:
      - uses: actions/checkout@v4

      - name: Checkov Security Scan
        id: checkov
        uses: bridgecrewio/checkov-action@v12.3080.0
        with:
          directory: terraform/
          framework: terraform
          output_format: sarif
          output_file_path: reports/checkov.sarif

      - name: Upload Checkov results
        uses: github/codeql-action/upload-sarif@v4
        if: always()
        with:
          sarif_file: reports/checkov.sarif

      - name: Terrascan
        run: |
          wget https://github.com/tenable/terrascan/releases/download/${{ env.TERRASCAN_VERSION }}/terrascan_Linux_x86_64.tar.gz
          echo "${{ env.TERRASCAN_SHA256 }}  terrascan_Linux_x86_64.tar.gz" | sha256sum -c -
          tar -xf terrascan_Linux_x86_64.tar.gz
          ./terrascan scan -i terraform -d terraform/

      - name: Secrets Scan
        uses: trufflesecurity/trufflehog@<固定タグまたはcommit SHA>
        with:
          path: ./
          base: ${{ github.event.repository.default_branch }}
          head: HEAD

> 注意
> `latest` / `main` / `releases/latest` のような可変参照は、lint や scan の結果を時点依存にします。実務では固定版を repository variables か workflow `env` で管理し、`uses:` の action 参照も固定タグまたは commit SHA へ寄せてください。配布物を直接ダウンロードする場合は checksum もあわせて検証し、更新時は差分レビューと scan 結果の再確認を必ず行います。

注記: Ansible や Terraform へ渡す `APP_VERSION` も同じ考え方で扱います。サンプルの `approved-release-tag` は説明用のプレースホルダであり、実環境では承認済みの固定タグまたは digest を CI/CD から注入してください。

  # 3. コスト見積もり
  cost-estimation:
    runs-on: ubuntu-24.04
    if: github.event_name == 'pull_request'
    permissions:
      contents: read
      pull-requests: write
    steps:
      - uses: actions/checkout@v4

      - name: Setup Infracost
        uses: infracost/setup-infracost@v2
        with:
          api-key: ${{ secrets.INFRACOST_API_KEY }}

      - name: Generate Infracost JSON
        run: |
          cd terraform/environments/prod
          infracost breakdown --path . \
            --format json \
            --out-file /tmp/infracost.json

      - name: Post Infracost comment
        uses: infracost/infracost-comment@v1
        with:
          path: /tmp/infracost.json
          behavior: update

  # 4. Terraformプラン（PR時）
  terraform-plan:
    needs: [static-analysis, security-scan]
    runs-on: ubuntu-24.04
    if: github.event_name == 'pull_request'
    strategy:
      matrix:
        environment: [dev, staging, prod]
    permissions:
      contents: read
      pull-requests: write
      id-token: write
    env:
      TF_INPUT: 0

    steps:
      - uses: actions/checkout@v4

      - name: Configure AWS Credentials
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: ${{ secrets[format('AWS_{0}_ROLE', matrix.environment)] }}
          aws-region: ${{ env.AWS_REGION }}

注記: OIDC で AWS ロールを引き受ける job では、workflow または job に `permissions: id-token: write` が必要です。AWS 側の trust policy も `token.actions.githubusercontent.com:aud = sts.amazonaws.com` と、`sub = repo:<org>/<repo>:ref:refs/heads/<branch>`、`repo:<org>/<repo>:environment:<env>`、`repo:<org>/<repo>:pull_request` のどれを許可するのかを trigger ごとに固定してください。GitHub Environment を使う場合は保護ルールも合わせて設定し、PR / branch / Environment で role を分けるか、少なくとも claim を実測してから条件を確定させます。
注記: `terraform plan` と `terraform apply` を同じ OIDC role へ集約せず、少なくとも read-only に近い plan 用 role と、承認後だけ使う apply 用 role を分離する方が安全です。`iam:PassRole` や state backend 更新を伴う権限は apply 側へ寄せ、PR job へは不要な変更権限を渡さないようにします。

      - name: Setup Terraform
        uses: hashicorp/setup-terraform@v3
        with:
          terraform_version: ${{ env.TF_VERSION }}

      - name: Terraform Init
        run: |
          cd terraform/environments/${{ matrix.environment }}
          terraform init -input=false -lockfile=readonly

      - name: Terraform Plan
        id: plan
        run: |
          cd terraform/environments/${{ matrix.environment }}
          terraform plan -input=false -out=tfplan

注記: `tfplan` はジョブ内ローカルファイルです。承認後に別ジョブで `apply` する構成では、`actions/upload-artifact` などで plan artifact を受け渡すか、同じ commit / provider lock / backend を前提に再計画してください。レビューした差分と実際に適用する差分がずれないことを確認する運用が必要です。

注記: plan と apply を別ジョブへ分ける場合、`tfplan` 単体では実行環境差を吸収できません。working directory の相対パス、OS/CPU arch、`.terraform.lock.hcl`、必要なら `.terraform/` を含む provider/plugin 状態を揃えるか、apply 側で再度 `terraform plan -input=false -out=tfplan` して承認し直す前提を明示してください。CI 全体で `-input=false` または `TF_INPUT=0` を統一して、対話入力待ちによる drift も避けます。

注記: provider の解決結果も再現性に影響します。`.terraform.lock.hcl` を repository に含め、通常の CI では `terraform init -input=false -lockfile=readonly` を使うと、意図しない provider 更新を検出しやすくなります。provider 更新は lockfile diff をレビューしてから別 PR で行う方が安全です。

      - name: Create Plan Summary
        uses: actions/github-script@v6
        if: github.event_name == 'pull_request'
        env:
          ENVIRONMENT: ${{ matrix.environment }}
        with:
          script: |
            const envName = process.env.ENVIRONMENT;
            const plan = require('child_process').execSync(
              'terraform show -no-color tfplan',
              { cwd: 'terraform/environments/' + envName, encoding: 'utf8' }
            );
            const summaryLine = plan.split('\\n').find(line => line.startsWith('Plan:')) || 'Plan summary not found';
            const resourceLines = plan
              .split('\\n')
              .filter(line => line.startsWith('# '))
              .slice(0, 10)
              .map(line => '- ' + line.replace(/^#\\s+/, ''));

            const output = [
              '#### Terraform Plan - ' + envName + ' 📋',
              '',
              '- Summary: ' + summaryLine,
              ...(resourceLines.length ? ['', '主要な変更候補:', ...resourceLines] : []),
              '',
              '*Pushed by: @' + process.env.GITHUB_ACTOR + ', Action: ' + process.env.GITHUB_EVENT_NAME + '*',
            ].join('\\n');

            await github.rest.issues.createComment({
              issue_number: context.issue.number,
              owner: context.repo.owner,
              repo: context.repo.repo,
              body: output
            });

注記: PR コメントへ `terraform show -no-color tfplan` を全文転載すると、IAM、ネットワーク、命名規則、内部トポロジまで恒久的に残りやすくなります。レビュー面には追加 / 変更 / 削除件数と主な resource 一覧だけを載せ、全文は短期保持 artifact か限定閲覧の check 結果へ分離する方が安全です。

  # 5. 統合テスト環境の構築
  integration-test:
    needs: terraform-plan
    runs-on: ubuntu-24.04
    if: github.event_name == 'pull_request'
    permissions:
      contents: read
      id-token: write
    env:
      TF_INPUT: 0
    concurrency:
      group: preview-pr-${{ github.event.pull_request.number }}
      cancel-in-progress: false
    steps:
      - uses: actions/checkout@v4

      - name: Configure AWS Credentials
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: ${{ secrets.AWS_TEST_ROLE }}
          aws-region: ${{ env.AWS_REGION }}

      - name: Create Test Environment
        id: test-env
        run: |
          cd terraform/environments/test
          terraform init -input=false -lockfile=readonly
          terraform plan -input=false -out=pr.tfplan \
            -var="pr_number=${{ github.event.pull_request.number }}"
          terraform apply -input=false pr.tfplan

          # 出力値を環境変数に設定
          echo "test_url=$(terraform output -raw test_environment_url)" >> $GITHUB_OUTPUT

      - name: Run Integration Tests
        run: |
          cd tests/integration
          npm ci
          npm run test:integration -- \
            --url "${{ steps.test-env.outputs.test_url }}"

注記: `npm ci` は lockfile 前提です。テスト用 package を別ディレクトリに分ける場合も、`package-lock.json` を repository に含め、CI と手元で同じ依存版を再現できるようにしてください。
注記: `terraform output -raw test_environment_url` を受け取った直後は ALB / DNS / アプリ初期化がまだ完了していないことがあります。`curl -fsS "$test_url/health"` のような readiness check を retry 付きで通してから E2E を始める方が、起動遅延と回帰を切り分けやすくなります。

      - name: Run E2E Tests
        uses: cypress-io/github-action@v5
        with:
          config: baseUrl=${{ steps.test-env.outputs.test_url }}
          spec: tests/e2e/**/*.cy.js

注記: `cypress-io/github-action` を使う場合も、`package-lock.json` と Node の major version を固定し、必要なら browser を含む実行イメージや runner 条件を明示してください。ローカル実行と CI 実行で browser / OS 差分があると、E2E テストだけ再現しない事象が起きやすくなります。

      - name: Cleanup Test Environment
        if: always()
        run: |
          cd terraform/environments/test
          terraform plan -destroy -input=false -out=destroy.tfplan \
            -var="pr_number=${{ github.event.pull_request.number }}"
          terraform apply -input=false destroy.tfplan

> Verify
> `terraform destroy` の直後は、remote backend の state に対象リソースが残っていないこと、`terraform state list` が空になっていること、または主要リソースが `aws ... describe-*` で消えていることを確認してください。特に ENI、NAT Gateway、ALB、EBS は削除完了まで時間差があるため、TTL cleanup や定期的な残存確認ジョブも用意すると取りこぼしを減らせます。

> Cleanup
> `terraform destroy` が失敗した場合は、`terraform state list`、PR 番号、TTL タグ、`Name` タグを突き合わせて残存資産を列挙し、手動 cleanup 対象を記録してください。shared VPC / shared subnet 上の資産を削除する前に、対象 backend state とタグの両方でその PR 環境に属することを確認します。

注記: preview 環境を同じ `pr_number` で再利用する場合は、`concurrency.group: preview-pr-<PR番号>` のように同一 PR の apply / destroy を直列化し、先行 job の cleanup が終わる前に次の apply が走らないようにしてください。

  # 6. プロダクションデプロイ
  deploy-infrastructure:
    needs: [static-analysis, security-scan, cost-estimation]
    runs-on: ubuntu-24.04
    if: github.ref == 'refs/heads/main'
    strategy:
      matrix:
        environment: [dev, staging, prod]
      max-parallel: 1  # 環境を順番にデプロイ
    environment: ${{ matrix.environment }}
    concurrency:
      group: infra-${{ matrix.environment }}
      cancel-in-progress: false
    permissions:
      contents: read
      id-token: write
    env:
      TF_INPUT: 0

    steps:
      - uses: actions/checkout@v4

      - name: Configure AWS Credentials
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: ${{ secrets[format('AWS_{0}_ROLE', matrix.environment)] }}
          aws-region: ${{ env.AWS_REGION }}

      - name: Setup Terraform
        uses: hashicorp/setup-terraform@v3
        with:
          terraform_version: ${{ env.TF_VERSION }}

      - name: Terraform Plan
        run: |
          cd terraform/environments/${{ matrix.environment }}
          terraform init -input=false -lockfile=readonly
          terraform plan -input=false -out=tfplan

注記: この job は `tfplan` の生成と smoke test 前提の apply に絞り、raw plan 全文は別ファイルへ残して公開フローへ流さない方が安全です。全文確認が必要な場合も、承認後 job の限定 artifact や内部ログへ分離してください。

      - name: Terraform Apply
        run: |
          cd terraform/environments/${{ matrix.environment }}
          terraform apply -input=false tfplan

      - name: Run Smoke Tests
        run: |
          cd tests/smoke
          ./run_smoke_tests.sh ${{ matrix.environment }}

      - name: Update Documentation
        if: matrix.environment == 'prod'
        run: |
          cd terraform/environments/${{ matrix.environment }}
          terraform output -json | jq 'with_entries(select(.value.sensitive != true))' > ../../../docs/infrastructure-outputs.json
          terraform graph | dot -Tpng > ../../../docs/infrastructure-diagram.png

注記: `environment` だけでは、同じ環境に対する複数 workflow の並列実行を自動的に直列化できない場合があります。`concurrency` を environment ごとに設定し、required reviewers や wait timer を持つ GitHub Environments と併用すると、plan/apply が競合しにくくなります。

注記: `terraform show -json` の出力には、state や output から復元できる機微情報が含まれる場合があります。公開ドキュメントへそのまま配置するのではなく、reader-facing に必要な図や非機密 output だけを整形して出力し、raw state 相当の JSON は内部 artifact または制限付き保存先で扱う方が安全です。

  # 7. 構成管理の適用
  configure-servers:
    needs: deploy-infrastructure
    runs-on: ubuntu-24.04
    if: github.ref == 'refs/heads/main'
    strategy:
      matrix:
        environment: [dev, staging, prod]
      max-parallel: 1
    permissions:
      contents: read
      id-token: write

    steps:
      - uses: actions/checkout@v4

      - name: Setup Python
        uses: actions/setup-python@v6
        with:
          python-version: '3.11'

      - name: Install Ansible
        run: |
          pip install ansible==${{ env.ANSIBLE_VERSION }}
          pip install boto3  # AWS動的インベントリ用

      - name: Configure AWS Credentials
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: ${{ secrets[format('AWS_{0}_ROLE', matrix.environment)] }}
          aws-region: ${{ env.AWS_REGION }}

      - name: Run Ansible Playbook
        env:
          ANSIBLE_HOST_KEY_CHECKING: True  # ホスト鍵は known_hosts で管理する
          ANSIBLE_VAULT_PASSWORD: ${{ secrets.ANSIBLE_VAULT_PASSWORD }}
        run: |
          cd ansible

          # Vault パスワードファイルの作成
          umask 077
          VAULT_PASS_FILE=$(mktemp)
          trap 'rm -f "$VAULT_PASS_FILE"' EXIT
          printf '%s' "$ANSIBLE_VAULT_PASSWORD" > "$VAULT_PASS_FILE"

          # 動的インベントリを使用してPlaybook実行
          ansible-playbook -i inventory/aws_ec2.yml \
            site.yml \
            --limit "${{ matrix.environment }}" \
            --vault-password-file "$VAULT_PASS_FILE"

注記: Vault パスワードを平文ファイルへ書く場合は、`umask 077`、`mktemp`、`trap ... EXIT` で最小寿命に留めてください。より厳密に扱う場合は、パスワードファイルを残さない渡し方や GitHub Environments / OIDC と組み合わせた secret 注入を検討します。

  # 8. 監視とアラートの設定
  setup-monitoring:
    needs: configure-servers
    runs-on: ubuntu-24.04
    if: github.ref == 'refs/heads/main'

    steps:
      - uses: actions/checkout@v4

      - name: Configure Datadog
        env:
          DD_API_KEY: ${{ secrets.DATADOG_API_KEY }}
          DD_APP_KEY: ${{ secrets.DATADOG_APP_KEY }}
        run: |
          cd monitoring/datadog
          ./setup_monitors.sh

      - name: Configure PagerDuty
        env:
          PAGERDUTY_TOKEN: ${{ secrets.PAGERDUTY_TOKEN }}
        run: |
          cd monitoring/pagerduty
          ./setup_escalation_policies.sh

# kubernetes/canary-deployment.yaml
apiVersion: v1
kind: Service
metadata:
  name: myapp
spec:
  selector:
    app: myapp
  ports:
    - port: 80
      targetPort: 8080
---
# 安定版（90%のトラフィック）
apiVersion: apps/v1
kind: Deployment
metadata:
  name: myapp-stable
spec:
  replicas: 9
  selector:
    matchLabels:
      app: myapp
      version: stable
  template:
    metadata:
      labels:
        app: myapp
        version: stable
    spec:
      containers:
      - name: myapp
        image: myapp:v1.0.0
        ports:
        - containerPort: 8080
---
# カナリア版（10%のトラフィック）
apiVersion: apps/v1
kind: Deployment
metadata:
  name: myapp-canary
spec:
  replicas: 1
  selector:
    matchLabels:
      app: myapp
      version: canary
  template:
    metadata:
      labels:
        app: myapp
        version: canary
    spec:
      containers:
      - name: myapp
        image: myapp:v2.0.0
        ports:
        - containerPort: 8080

---
# 自動化されたカナリア分析
apiVersion: flagger.app/v1beta1
kind: Canary
metadata:
  name: myapp
spec:
  targetRef:
    apiVersion: apps/v1
    kind: Deployment
    name: myapp
  service:
    port: 80
  analysis:
    interval: 1m
    threshold: 10
    maxWeight: 50
    stepWeight: 5
    metrics:
    - name: request-success-rate
      thresholdRange:
        min: 99
      interval: 1m
    - name: request-duration
      thresholdRange:
        max: 500
      interval: 1m
    webhooks:
    - name: load-test
      url: http://loadtester/
      metadata:
        cmd: "hey -z 1m -c 10 -q 20 http://myapp/"

# argocd/application.yaml
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: infrastructure
  namespace: argocd
spec:
  project: production-platform

  source:
    repoURL: https://github.com/myorg/infrastructure
    targetRevision: v1.2.3  # 例: 承認済みの release tag
    path: kubernetes/overlays/production

  destination:
    server: https://kubernetes.default.svc
    namespace: production

  syncPolicy:
    automated:
      prune: false
      selfHeal: false
      allowEmpty: false
    syncOptions:
    - CreateNamespace=true
    retry:
      limit: 5
      backoff:
        duration: 5s
        factor: 2
        maxDuration: 3m

# argocd/hooks/post-sync-smoke-test.yaml
apiVersion: batch/v1
kind: Job
metadata:
  name: smoke-tests
  namespace: production
  annotations:
    argocd.argoproj.io/hook: PostSync
    argocd.argoproj.io/hook-delete-policy: HookSucceeded
spec:
  ttlSecondsAfterFinished: 300
  template:
    spec:
      restartPolicy: Never
      containers:
      - name: smoke-tests
        image: postman/newman:6.1.0
        command: ["newman", "run", "smoke-tests.json"]