iigtn-platform 解説書

目的

lab.iigtn.com 用の TLS 証明書を ACM で発行し、検証完了まで待つ。

作成リソース

• aws_acm_certificate — ACM 証明書 (us-east-1)
• aws_acm_certificate_validation — DNS 検証完了待ち (最大 75 分)

versions.tf — このモジュールが必要とする道具

terraform {
  required_version = ">= 1.5"

  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0"

      # ACM 証明書 (us-east-1) を扱うため、呼び出し側から
      # aws.us_east_1 alias provider を渡してもらう前提。
      configuration_aliases = [aws.us_east_1]
    }
  }
}

configuration_aliases は「このモジュールは default の AWS プロバイダに加えて、別リージョン用の aws.us_east_1 も外から渡してもらう必要がある」を宣言しています。

variables.tf — 入力変数

variable "domain_name" {
  description = "Hosted zone のドメイン名。例: lab.iigtn.com"
  type        = string

  validation {
    condition     = length(var.domain_name) > 0 && !can(regex("\\.$", var.domain_name))
    error_message = "domain_name は空でなく、末尾のドット (.) を含まないこと。"
  }
}

variable "tags" {
  description = "全リソースに付ける共通タグ"
  type        = map(string)
  default     = {}
}

validation ブロックで「不正な値が来たら apply を止める」入力チェックができます。

main.tf の核心部分

resource "aws_acm_certificate" "this" {
  provider = aws.us_east_1                       # ← 必ず us-east-1 で発行

  domain_name               = var.domain_name    # 例: lab.iigtn.com
  subject_alternative_names = ["*.${var.domain_name}"]  # ワイルドカード
  validation_method         = "DNS"

  lifecycle {
    create_before_destroy = true                 # 差し替え時に瞬断ゼロ
  }
}

resource "aws_acm_certificate_validation" "this" {
  provider = aws.us_east_1

  certificate_arn         = aws_acm_certificate.this.arn
  validation_record_fqdns = [
    for dvo in aws_acm_certificate.this.domain_validation_options :
    dvo.resource_record_name
  ]

  timeouts {
    create = "75m"   # 親 DNS で CNAME 投入する時間を確保
  }
}

変数の流れ

• var.domain_name ← 呼び出し側 (envs/prod/main.tf) から "lab.iigtn.com" が渡る
• aws_acm_certificate.this.arn ← Validation リソースが参照
• 出力 certificate_arn ← frontend_cdn モジュールが受け取る (CloudFront にアタッチ)

outputs.tf — 出力

output "certificate_arn" {
  description = "Validated ACM certificate ARN (us-east-1)"
  value       = aws_acm_certificate_validation.this.certificate_arn
}

output "validation_records" {
  description = "Squarespace の DNS に追加する CNAME レコード一覧"
  value = {
    for dvo in aws_acm_certificate.this.domain_validation_options :
    dvo.domain_name => {
      name  = dvo.resource_record_name
      type  = dvo.resource_record_type
      value = dvo.resource_record_value
    }
  }
}

validation_records は terraform apply の結果に表示され、その値を Squarespace の DNS 管理画面に手動で投入することで ACM 検証が完了する仕組み。

目的

S3 (非公開) + CloudFront (with OAC) で lab.iigtn.com の静的サイト配信を行う。/api/* は API Gateway に振り分ける。

作成リソース (7 個)

1. aws_s3_bucket — 静的ファイル保管
2. aws_s3_bucket_public_access_block — 公開ブロック 4 種すべて true
3. aws_s3_bucket_versioning — ロールバック用
4. aws_s3_bucket_server_side_encryption_configuration — AES256
5. aws_cloudfront_origin_access_control — OAC
6. aws_cloudfront_distribution — CDN 本体
7. aws_s3_bucket_policy — CloudFront だけに GetObject 許可

main.tf の主要部分

① S3 バケット + 安全装置

resource "aws_s3_bucket" "this" {
  bucket = var.bucket_name              # 例: iigtn-lab-web-prod-XXXXXXXXXXXX
  tags   = var.tags
}

resource "aws_s3_bucket_public_access_block" "this" {
  bucket                  = aws_s3_bucket.this.id
  block_public_acls       = true        # 4 つのスイッチを全部 ON
  ignore_public_acls      = true
  block_public_policy     = true
  restrict_public_buckets = true
}

resource "aws_s3_bucket_versioning" "this" {
  bucket = aws_s3_bucket.this.id
  versioning_configuration { status = "Enabled" }
}

resource "aws_s3_bucket_server_side_encryption_configuration" "this" {
  bucket = aws_s3_bucket.this.id
  rule {
    apply_server_side_encryption_by_default { sse_algorithm = "AES256" }
  }
}

② OAC (Origin Access Control)

resource "aws_cloudfront_origin_access_control" "this" {
  name                              = "${var.bucket_name}-oac"
  origin_access_control_origin_type = "s3"
  signing_behavior                  = "always"   # 常に SigV4 署名
  signing_protocol                  = "sigv4"
}

③ CloudFront Distribution

resource "aws_cloudfront_distribution" "this" {
  enabled         = true
  is_ipv6_enabled = true
  http_version    = "http2and3"        # HTTP/3 (QUIC) 有効化

  aliases = [var.domain_name]          # 例: lab.iigtn.com
  price_class = "PriceClass_200"       # 北米+欧州+アジア (日本最適)
  default_root_object = "index.html"

  # Origin (1): S3 バケット
  origin {
    domain_name              = aws_s3_bucket.this.bucket_regional_domain_name
    origin_id                = "s3-${var.bucket_name}"
    origin_access_control_id = aws_cloudfront_origin_access_control.this.id
  }

  # Origin (2): API Gateway (api_origin_domain_name が空でない時のみ)
  dynamic "origin" {
    for_each = var.api_origin_domain_name == "" ? [] : [1]
    content {
      domain_name = var.api_origin_domain_name
      origin_id   = "apigw-origin"
      custom_origin_config {
        http_port              = 80
        https_port             = 443
        origin_protocol_policy = "https-only"
        origin_ssl_protocols   = ["TLSv1.2"]
      }
    }
  }

  # デフォルト behavior: S3 用
  default_cache_behavior {
    target_origin_id           = "s3-${var.bucket_name}"
    viewer_protocol_policy     = "redirect-to-https"
    allowed_methods            = ["GET", "HEAD"]
    cached_methods             = ["GET", "HEAD"]
    compress                   = true
    cache_policy_id            = "658327ea-f89d-4fab-a63d-7e88639e58f6"  # CachingOptimized
    response_headers_policy_id = "67f7725c-6f97-4210-82d7-5512b31e9d03"  # SecurityHeadersPolicy
  }

  # /api/* behavior: API Gateway 用
  dynamic "ordered_cache_behavior" {
    for_each = var.api_origin_domain_name == "" ? [] : [1]
    content {
      path_pattern             = var.api_path_pattern        # 既定 "/api/*"
      target_origin_id         = "apigw-origin"
      viewer_protocol_policy   = "redirect-to-https"
      allowed_methods          = ["DELETE","GET","HEAD","OPTIONS","PATCH","POST","PUT"]
      cached_methods           = ["GET","HEAD"]
      compress                 = true
      cache_policy_id          = "4135ea2d-6df8-44a3-9df3-4b5a84be39ad"  # CachingDisabled
      origin_request_policy_id = "b689b0a8-53d0-40ab-baf2-68738e2966ac"  # AllViewerExceptHostHeader
    }
  }

  # SPA 用エラーフォールバック
  custom_error_response {
    error_code         = 403
    response_code      = 200
    response_page_path = "/index.html"
  }
  custom_error_response {
    error_code         = 404
    response_code      = 200
    response_page_path = "/index.html"
  }

  restrictions { geo_restriction { restriction_type = "none" } }

  viewer_certificate {
    acm_certificate_arn      = var.certificate_arn      # network_dns から受け取り
    ssl_support_method       = "sni-only"               # vip だと月 $600
    minimum_protocol_version = "TLSv1.2_2021"           # 古いクライアント切り捨て
  }
}

④ S3 Bucket Policy (OAC からの読み取り限定許可)

data "aws_iam_policy_document" "bucket" {
  statement {
    sid    = "AllowCloudFrontReadViaOAC"
    effect = "Allow"
    principals {
      type        = "Service"
      identifiers = ["cloudfront.amazonaws.com"]
    }
    actions   = ["s3:GetObject"]
    resources = ["${aws_s3_bucket.this.arn}/*"]

    condition {
      test     = "StringEquals"
      variable = "aws:SourceArn"
      values   = [aws_cloudfront_distribution.this.arn]   # 自分の Distribution のみ
    }
  }
}

resource "aws_s3_bucket_policy" "this" {
  bucket = aws_s3_bucket.this.id
  policy = data.aws_iam_policy_document.bucket.json
}

変数の流れ

外向き出力

• distribution_domain_name — Squarespace に CNAME で登録する宛先 (dXXXXXXXXX.cloudfront.net 形式)
• distribution_id — キャッシュ無効化コマンド・アラームで使う
• bucket_name, bucket_arn — GitHub Actions の S3 sync 宛先 / IAM 制限で使う

目的

API Gateway HTTP API + Lambda + DynamoDB + (オプション) SES で問い合わせフォームを処理する。

作成リソース (10 個)

1. aws_dynamodb_table — 問い合わせ保存 (PK=UUID)
2. aws_lambda_function — フォーム処理 (Node.js 20 / arm64 / 256MB / 10s)
3. data "archive_file" — Lambda コードの zip パッケージング
4. aws_cloudwatch_log_group — Lambda ログ (14 日保持)
5. aws_iam_role — Lambda 実行ロール
6. aws_iam_role_policy — Lambda 用最小権限 inline ポリシー
7. aws_apigatewayv2_api — HTTP API
8. aws_apigatewayv2_stage — $default + throttling
9. aws_apigatewayv2_integration — API GW → Lambda の統合
10. aws_apigatewayv2_route × 2 — POST と OPTIONS
11. aws_lambda_permission — API GW から Lambda 呼出許可

Lambda コード本体 (backend/functions/contact/index.mjs)

import { DynamoDBClient } from "@aws-sdk/client-dynamodb";
import { DynamoDBDocumentClient, PutCommand } from "@aws-sdk/lib-dynamodb";
import { SESv2Client, SendEmailCommand } from "@aws-sdk/client-sesv2";
import { randomUUID } from "node:crypto";

// ハンドラ外で初期化 = 同一コンテナ再利用で高速化
const ddbClient = new DynamoDBClient({});
const ddb = DynamoDBDocumentClient.from(ddbClient);
const sesClient = new SESv2Client({});

// 環境変数 (Terraform で渡される)
const TABLE_NAME = process.env.DDB_TABLE;
const SES_FROM = process.env.SES_FROM;
const SES_TO = process.env.SES_TO;
const ALLOWED_ORIGIN = process.env.ALLOWED_ORIGIN;

const EMAIL_RE = /^[^\s@]+@[^\s@]+\.[^\s@]+$/;

function validate(payload) {
  const errors = [];
  // ... name/email/message のバリデーション
  return errors;
}

export const handler = async (event) => {
  // 1. POST 以外と OPTIONS 弾き
  // 2. JSON パース
  // 3. バリデーション
  // 4. DDB に保存 (UUID + ISO datetime + IP + User-Agent)
  // 5. SES でメール送信 (失敗しても継続)
  // 6. 200 {"ok": true} 返す
};

Lambda 環境変数の出処

main.tf の Lambda 部分

data "archive_file" "lambda" {
  type        = "zip"
  source_dir  = var.lambda_source_dir       # ../../../backend/functions/contact
  output_path = "${path.module}/.build/contact_lambda.zip"
}

resource "aws_lambda_function" "contact" {
  function_name    = "${var.name_prefix}-contact"
  role             = aws_iam_role.lambda.arn
  handler          = "index.handler"
  runtime          = "nodejs20.x"
  architectures    = ["arm64"]              # 約 20% 安
  timeout          = 10
  memory_size      = 256
  filename         = data.archive_file.lambda.output_path
  source_code_hash = data.archive_file.lambda.output_base64sha256

  environment {
    variables = {
      DDB_TABLE      = aws_dynamodb_table.contacts.name
      SES_FROM       = var.ses_from
      SES_TO         = var.ses_to
      ALLOWED_ORIGIN = var.allowed_origin
    }
  }
}

IAM ポリシー (Lambda が AWS リソースにアクセスする権限)

data "aws_iam_policy_document" "lambda_policy" {
  # CloudWatch Logs (このログストリームのみ)
  statement {
    actions   = ["logs:CreateLogStream", "logs:PutLogEvents"]
    resources = ["${aws_cloudwatch_log_group.contact.arn}:*"]
  }
  # DynamoDB (この contacts テーブルのみ。Put のみ)
  statement {
    actions   = ["dynamodb:PutItem"]
    resources = [aws_dynamodb_table.contacts.arn]
  }
  # SES SendEmail
  statement {
    actions   = ["ses:SendEmail", "ses:SendRawEmail"]
    resources = ["*"]
  }
}

API Gateway HTTP API

resource "aws_apigatewayv2_api" "this" {
  name          = "${var.name_prefix}-api"
  protocol_type = "HTTP"

  cors_configuration {
    allow_origins = [var.allowed_origin]      # https://lab.iigtn.com
    allow_methods = ["POST", "OPTIONS"]
    allow_headers = ["Content-Type"]
    max_age       = 300
  }
}

resource "aws_apigatewayv2_integration" "contact" {
  api_id                 = aws_apigatewayv2_api.this.id
  integration_type       = "AWS_PROXY"        # Lambda Proxy 統合
  integration_uri        = aws_lambda_function.contact.invoke_arn
  payload_format_version = "2.0"              # HTTP API 用
}

resource "aws_apigatewayv2_route" "contact_post" {
  api_id    = aws_apigatewayv2_api.this.id
  route_key = "POST /api/contact"
  target    = "integrations/${aws_apigatewayv2_integration.contact.id}"
}

目的

GitHub Actions が 静的アクセスキーなし で AWS にデプロイできるように、OIDC Provider と IAM Role を作る。

作成リソース (3 個)

1. aws_iam_openid_connect_provider — GitHub を IdP として登録
2. aws_iam_role — GitHub Actions が AssumeRole する役割
3. aws_iam_role_policy — 最小権限 inline ポリシー

main.tf の核心

① OIDC Provider 登録

resource "aws_iam_openid_connect_provider" "github" {
  url             = "https://token.actions.githubusercontent.com"
  client_id_list  = ["sts.amazonaws.com"]
  thumbprint_list = ["6938fd4d98bab03faadb97b34396831e3780aea1"]
}

② Trust Policy — 誰が AssumeRole できるか

data "aws_iam_policy_document" "trust" {
  statement {
    effect  = "Allow"
    actions = ["sts:AssumeRoleWithWebIdentity"]

    principals {
      type        = "Federated"
      identifiers = [aws_iam_openid_connect_provider.github.arn]
    }

    # 条件 1: aud (audience) は AWS STS のみ
    condition {
      test     = "StringEquals"
      variable = "token.actions.githubusercontent.com:aud"
      values   = ["sts.amazonaws.com"]
    }

    # 条件 2: sub (subject) は指定 owner/repo の指定ブランチのみ
    # JWT の sub claim は "repo:<owner>/<repo>:ref:refs/heads/<branch>" 形式
    condition {
      test     = "StringLike"
      variable = "token.actions.githubusercontent.com:sub"
      values = [
        for branch in var.allowed_branches :
        "repo:${var.github_owner}/${var.github_repo}:ref:refs/heads/${branch}"
      ]
    }
  }
}

③ Permissions Policy — Role になった結果、何ができるか

data "aws_iam_policy_document" "deploy" {
  statement {
    actions   = ["s3:ListBucket", "s3:GetBucketLocation"]
    resources = [var.deploy_bucket_arn]                   # この 1 バケットだけ
  }
  statement {
    actions   = ["s3:GetObject", "s3:PutObject", "s3:DeleteObject", "s3:PutObjectAcl"]
    resources = ["${var.deploy_bucket_arn}/*"]
  }
  statement {
    actions = [
      "cloudfront:CreateInvalidation",
      "cloudfront:GetInvalidation",
      "cloudfront:ListInvalidations"
    ]
    resources = [var.cloudfront_distribution_arn]         # この 1 Distribution だけ
  }
}

変数の流れ

外向き出力

• deploy_role_arn — GitHub Actions ワークフローで role-to-assume に貼る

目的

CloudWatch Alarm + SNS + AWS Budgets で「壊れたら気付ける」「コスト暴騰したら気付ける」仕組みを作る。

作成リソース

• aws_sns_topic — アラーム通知のハブ
• aws_sns_topic_subscription — メール購読 (alarm_email がセットされた時のみ)
• Lambda Errors アラーム (5 分で 1 件超過)
• Lambda Duration p95 アラーム (3s 超過)
• API Gateway 5xx アラーム (5 分で 5 件超過)
• aws_budgets_budget — 月額予算 50% / 80%予測 / 100% で通知

CloudFront 4xx アラームは us-east-1 必須 だが、CloudWatch アラームの alarm_actions は同一 region の SNS しか参照できないため、CF 用は envs/prod/main.tf で別リソースとして us-east-1 に直接定義している。

main.tf の核心

resource "aws_sns_topic" "alarms" {
  name = "${var.name_prefix}-alarms"
}

resource "aws_sns_topic_subscription" "email" {
  count     = var.alarm_email == "" ? 0 : 1
  topic_arn = aws_sns_topic.alarms.arn
  protocol  = "email"
  endpoint  = var.alarm_email
}

resource "aws_cloudwatch_metric_alarm" "lambda_errors" {
  alarm_name          = "${var.name_prefix}-lambda-errors"
  comparison_operator = "GreaterThanThreshold"
  evaluation_periods  = 1
  threshold           = 1
  period              = 300
  statistic           = "Sum"
  metric_name         = "Errors"
  namespace           = "AWS/Lambda"
  treat_missing_data  = "notBreaching"

  dimensions = { FunctionName = var.lambda_function_name }

  alarm_actions = [aws_sns_topic.alarms.arn]
}