@exabugs/dynamodb-client 1.19.0 → 1.21.0

package/terraform/alerts-cleanup/outputs.tf

@@ -0,0 +1,14 @@
+output "function_name" {
+  description = "alerts の定時削除 Lambda の関数名"
+  value       = aws_lambda_function.cleanup.function_name
+}
+
+output "log_group_name" {
+  description = "alerts の定時削除 Lambda のロググループ名（通知 Lambda が購読する）"
+  value       = aws_cloudwatch_log_group.cleanup.name
+}
+
+output "function_arn" {
+  description = "alerts の定時削除 Lambda の ARN"
+  value       = aws_lambda_function.cleanup.arn
+}

package/terraform/alerts-cleanup/variables.tf

@@ -0,0 +1,42 @@
+variable "project_name" {
+  description = "プロジェクト名"
+  type        = string
+}
+
+variable "environment" {
+  description = "環境識別子（dev, prd）"
+  type        = string
+}
+
+variable "records_iam_function_url" {
+  description = "Records Lambda の AWS_IAM 認証版 Function URL（alerts を読み、消す）"
+  type        = string
+}
+
+variable "records_iam_alias_arn" {
+  description = "Records Lambda の IAM 認証用エイリアスの ARN（lambda:InvokeFunctionUrl の Resource）"
+  type        = string
+}
+
+variable "schedule_expression" {
+  description = "実行間隔（既定: 毎日 03:00 JST = 18:00 UTC）"
+  type        = string
+  default     = "cron(0 18 * * ? *)"
+}
+
+variable "log_retention_days" {
+  description = "CloudWatch Logsの保持期間（日数）"
+  type        = number
+  default     = 7
+}
+
+variable "source_file" {
+  description = "Lambda の成果物（バンドル済みの 1 ファイル。例: apps/server/dist/alerts-cleanup.cjs）。zip にして使う"
+  type        = string
+}
+
+variable "handler" {
+  description = "Lambda のハンドラ（例: alerts-cleanup.handler）"
+  type        = string
+}
+

package/terraform/alerts-cleanup/versions.tf

@@ -0,0 +1,16 @@
+# provider の版: astro（5.x）と asanowa（6.x）の両方で使う。
+# 下限は Lambda の logging_config（5.x の途中で追加）。上限は data.aws_region の name（6.x で非推奨）が消える 7.x の前まで
+terraform {
+  required_version = ">= 1.5"
+
+  required_providers {
+    aws = {
+      source  = "hashicorp/aws"
+      version = ">= 5.30, < 7.0"
+    }
+    archive = {
+      source  = "hashicorp/archive"
+      version = ">= 2.0"
+    }
+  }
+}

package/terraform/ops-notify/README.md

@@ -0,0 +1,109 @@
+# 運用通知 Terraformモジュール
+
+ADR 0006 の (b)（1.21.0）。asanowa・astro の `infra/modules/ops-notify` を 1 つにしたもの。使い方の詳細は [docs/NOTIFY.md](../../docs/NOTIFY.md)。
+
+## 作るもの
+
+- 通知 Lambda `<project>-<env>-notify`（Node.js 22、arm64、60 秒、256 MB。構造化ログ JSON）と、そのロググループ・実行ロール
+- 重複抑制・流量制限の記録のテーブル `<project>-<env>-notices`（pk、TTL `ttl`。Records の本体テーブルではない内部用）
+- 失敗先の SNS トピック `<project>-<env>-notify-failure`（運用者のメールの購読つき）。非同期の再試行 0
+- 入口 1: `watched_log_group_names` のロググループの購読（広めの語句。通知するかはハンドラが判定する）
+- 入口 2: CloudWatch アラームの状態変化（名前が `<project>-<env>-` で始まるもの）
+- 入口 3: 生存確認（既定 週 1 回）
+- us-east-1 のアラーム（CloudFront など）の転送（`forward_us_east_1_alarms = true` のときだけ）: us-east-1 の EventBridge ルールと、ホームのリージョンの default バスへ送るロール。転送されたイベントは入口 2 のルールが拾う
+- 権限: notices の `UpdateItem`、Records の IAM 版 URL の呼び出し、webhook のパラメータの読み取り、失敗先の SNS、SES（`mail_from` があるときだけ。送信元アドレスとドメインに絞る）
+
+## 前提
+
+- 参照は `node_modules` のパス（版は npm の版で固定される。git の `ref` ではない）。例: アプリの infra が `infra/` なら `source = "../node_modules/@exabugs/dynamodb-client/terraform/ops-notify"`、`infra/apps/<app>/` なら `"../../../node_modules/..."`
+- **Lambda の成果物はアプリが作り、`source_file`（バンドル済みの 1 ファイル）と `handler` で渡す**。エントリはアプリの数行（`createNotifyHandler` などの notify の部品。アプリ名や、権限チェック層を通すアプリの包み方を渡す）なので、ライブラリの dist は使わない
+- zip は `${path.root}/.terraform/archives/notify.zip` に作る（`path.module` を使わない。pnpm の版つきのパスが state に入ると、版を上げるたびに差分が出るため）
+- pnpm では、版を上げた後に `.terraform/modules` を消してから `terraform init` する（[../README.md](../README.md) の注意）
+- モジュール全体の `depends_on` は使わない（依存先に変更があると、中のデータソースが apply 時の読み取りになり、既存のリソースが作り直しになる）。依存は、出力の値（`log_group_name` など）で渡す
+
+## 使い方
+
+```hcl
+module "ops_notify" {
+  source = "../node_modules/@exabugs/dynamodb-client/terraform/ops-notify"
+
+  # 必須（forward_us_east_1_alarms が false でも）。モジュールが aws.us_east_1 の別名を宣言しているため
+  providers = {
+    aws.us_east_1 = aws.us_east_1
+  }
+
+  project_name             = var.project_name
+  environment              = var.environment
+  records_iam_function_url = module.records.iam_function_url
+  records_iam_alias_arn    = module.records.iam_alias_arn
+  log_retention_days       = var.log_retention_days
+
+  source_file = "${path.root}/../apps/server/dist/notify.cjs"
+  handler     = "notify.handler"
+
+  # 通知 Lambda 自身のロググループは入れない（無限ループ）
+  watched_log_group_names = [
+    module.records.log_group_name,
+    module.alerts_cleanup.log_group_name,
+    module.system_change_recorder.log_group_name,
+  ]
+  slack_webhook_param_name = "/${var.project_name}/${var.environment}/ops/slack-webhook"
+  mail_from                = var.ops_mail_from
+  ses_identity_domain      = var.ops_ses_identity_domain
+  operator_email           = var.ops_operator_email
+
+  # alerts（通知を管理画面のレコードとして残す）。空なら記録しない
+  admin_base_url                 = var.ops_admin_base_url
+  skip_record_log_groups         = [module.records.log_group_name]
+  reserved_concurrent_executions = var.ops_admin_base_url == "" ? null : 1
+}
+```
+
+## provider
+
+`aws`（ホームのリージョン）に加えて、**別名 `aws.us_east_1` を `providers` で必ず渡す**（`configuration_aliases`。転送を使わないときも要る。リージョンは us-east-1）。呼び出し側に無ければ、次を足す。
+
+```hcl
+provider "aws" {
+  alias  = "us_east_1"
+  region = "us-east-1"
+}
+```
+
+## 変数
+
+| 変数                                                 | 既定                      | 説明                                                                                                            |
+| ---------------------------------------------------- | ------------------------- | --------------------------------------------------------------------------------------------------------------- |
+| `project_name` / `environment`                       | 必須                      | 名前の接頭辞 `<project>-<env>`。環境変数 `PROJECT_NAME` / `ENV_NAME`                                            |
+| `records_iam_function_url` / `records_iam_alias_arn` | 必須                      | Records の IAM 版 Function URL（管理者の一覧を読み、alerts を書く）と、そのエイリアスの ARN                     |
+| `source_file` / `handler`                            | 必須                      | アプリのバンドル（1 ファイル）と、ハンドラ                                                                      |
+| `watched_log_group_names`                            | 必須                      | 購読するロググループ。通知 Lambda 自身のものは入れない                                                          |
+| `slack_webhook_param_name`                           | 必須                      | Slack の webhook の SSM パラメータ名（SecureString。値は Terraform で扱わない）                                 |
+| `operator_email`                                     | 必須                      | 通知 Lambda 自身の失敗の届け先（SNS の確認メールが届く）                                                        |
+| `mail_from` / `ses_region` / `ses_identity_domain`   | `""` / `us-east-1` / `""` | メールの送信元と SES。`mail_from` が空ならメールは送らない                                                      |
+| `heartbeat_schedule`                                 | `rate(7 days)`            | 生存確認の間隔                                                                                                  |
+| `log_retention_days`                                 | 7                         | ロググループの保持日数                                                                                          |
+| `admin_base_url`                                     | `""`                      | 管理画面のベース URL。空でなければ alerts に記録し、通知に詳細の URL を載せる。空なら環境変数に入れない         |
+| `skip_record_log_groups`                             | `[]`                      | alerts に記録しないロググループ。**Records のロググループを必ず入れる**（ループ防止）。空なら環境変数に入れない |
+| `forward_us_east_1_alarms`                           | `false`                   | us-east-1 のアラームの状態変化を、ホームのリージョンの default バスへ転送する                                   |
+| `reserved_concurrent_executions`                     | `null`                    | 予約同時実行数。alerts の記録を有効にするときだけ 1                                                             |
+
+## 出力
+
+`function_name`、`function_arn`、`failure_topic_arn`、`notice_table_name`
+
+## アプリに残るもの
+
+- 上の module ブロック（`source`・`providers`・`source_file`・`handler` と設定の値）
+- Lambda のエントリ（`createNotifyHandler` などの notify の部品 を呼ぶ数行）とバンドルの作成（esbuild など）
+- 秘密（webhook の URL など）の SSM パラメータの作成
+
+## アプリのモジュールからの移行（置き換えを起こさない）
+
+リソースのアドレス・名前は、asanowa / astro の旧モジュール（`infra/modules/ops-notify`）と同じ。**module ブロックの名前（`module "ops_notify"`）を変えずに `source` だけを差し替え**、`source_file`・`handler` を足す。アドレスが変わらないので `moved` は要らない（ラッパーのモジュールで包むと、アドレスが変わり `moved` が要る）。
+
+1. `terraform init`（モジュールの取り直し）→ `terraform plan`
+2. **0 to add / 0 to destroy、`must be replaced` が無い**ことを確かめる。出てよいのは in-place の更新だけ（asanowa では zip の名前〔`ops-notify.zip` → `notify.zip`〕の `filename` が変わる。中身・`source_code_hash` は同じ。astro では環境変数 `PROJECT_NAME` が加わる）
+3. 確認のうえ apply。旧モジュールのディレクトリを消す
+
+詳細と実機の確認は [ADR 0006](../../docs/adr/0006-library-owns-table-operations.md) の段階 6。

package/terraform/ops-notify/main.tf

@@ -0,0 +1,295 @@
+# 運用通知（ADR 0003・ADR 0006 の (b)）
+#
+# ログ（warn 以上）・CloudWatch アラームの状態変化・週 1 回の生存確認 → 通知 Lambda
+# → 重複抑制・流量制限 → Slack とメール（管理者全員）。
+# Lambda の成果物はアプリが作り、source_file で渡す（実装は notify の部品。docs/NOTIFY.md）。
+# リソースのアドレス・名前は、asanowa / astro の旧モジュール（infra/modules/ops-notify）と同じ。
+#
+# 通知 Lambda 自身のログは購読しない（無限ループ）。失敗は Lambda の失敗先（SNS）→ 運用者のメールへ届ける。
+
+data "aws_caller_identity" "current" {}
+data "aws_region" "current" {}
+
+locals {
+  prefix = "${var.project_name}-${var.environment}"
+}
+
+# 重複抑制・流量制限の記録（パーティションキー pk、TTL 属性 ttl）
+resource "aws_dynamodb_table" "notices" {
+  name         = "${local.prefix}-notices"
+  billing_mode = "PAY_PER_REQUEST"
+  hash_key     = "pk"
+
+  attribute {
+    name = "pk"
+    type = "S"
+  }
+
+  ttl {
+    attribute_name = "ttl"
+    enabled        = true
+  }
+
+  server_side_encryption {
+    enabled = true
+  }
+}
+
+# 通知 Lambda が失敗したとき（Slack もメールも届けられないとき）の届け先
+resource "aws_sns_topic" "failure" {
+  name = "${local.prefix}-notify-failure"
+}
+
+resource "aws_sns_topic_policy" "failure" {
+  arn = aws_sns_topic.failure.arn
+
+  policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [
+      {
+        Sid       = "AllowLambdaDestination"
+        Effect    = "Allow"
+        Principal = { Service = "lambda.amazonaws.com" }
+        Action    = "sns:Publish"
+        Resource  = aws_sns_topic.failure.arn
+        Condition = {
+          StringEquals = { "aws:SourceAccount" = data.aws_caller_identity.current.account_id }
+        }
+      },
+      {
+        Sid       = "DenyInsecureTransport"
+        Effect    = "Deny"
+        Principal = "*"
+        Action    = "sns:Publish"
+        Resource  = aws_sns_topic.failure.arn
+        Condition = {
+          Bool = { "aws:SecureTransport" = "false" }
+        }
+      }
+    ]
+  })
+}
+
+resource "aws_sns_topic_subscription" "operator" {
+  topic_arn = aws_sns_topic.failure.arn
+  protocol  = "email"
+  endpoint  = var.operator_email
+}
+
+data "archive_file" "notify" {
+  type        = "zip"
+  source_file = var.source_file
+  output_path = "${path.root}/.terraform/archives/notify.zip"
+}
+
+resource "aws_cloudwatch_log_group" "notify" {
+  name              = "/aws/lambda/${local.prefix}-notify"
+  retention_in_days = var.log_retention_days
+}
+
+resource "aws_iam_role" "notify" {
+  name = "${local.prefix}-notify-role"
+
+  assume_role_policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [{
+      Action    = "sts:AssumeRole"
+      Effect    = "Allow"
+      Principal = { Service = "lambda.amazonaws.com" }
+    }]
+  })
+}
+
+resource "aws_iam_role_policy_attachment" "notify_logs" {
+  role       = aws_iam_role.notify.name
+  policy_arn = "arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole"
+}
+
+# 最小権限: 記録のテーブル（更新だけ。alerts の集計の行も UpdateItem だけで足りる）、Records Lambda（管理者の一覧を読む）、Webhook のパラメータ、
+# SES（送信元アドレスとドメインに絞る）、失敗先の SNS。alerts の書き込みも Records の IAM URL（既存の権限）
+resource "aws_iam_role_policy" "notify" {
+  name = "${local.prefix}-notify"
+  role = aws_iam_role.notify.id
+
+  policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = concat(
+      [
+        {
+          Effect   = "Allow"
+          Action   = ["dynamodb:UpdateItem"]
+          Resource = [aws_dynamodb_table.notices.arn]
+        },
+        {
+          Effect   = "Allow"
+          Action   = ["lambda:InvokeFunctionUrl"]
+          Resource = [var.records_iam_alias_arn]
+        },
+        {
+          Effect   = "Allow"
+          Action   = ["ssm:GetParameter"]
+          Resource = ["arn:aws:ssm:${data.aws_region.current.name}:${data.aws_caller_identity.current.account_id}:parameter${var.slack_webhook_param_name}"]
+        },
+        {
+          Effect   = "Allow"
+          Action   = ["sns:Publish"]
+          Resource = [aws_sns_topic.failure.arn]
+        }
+      ],
+      var.mail_from == "" ? [] : [
+        {
+          Effect   = "Allow"
+          Action   = ["ses:SendEmail"]
+          Resource = ["arn:aws:ses:${var.ses_region}:${data.aws_caller_identity.current.account_id}:identity/${var.ses_identity_domain}"]
+          Condition = {
+            StringEquals = { "ses:FromAddress" = var.mail_from }
+          }
+        }
+      ]
+    )
+  })
+}
+
+resource "aws_lambda_function" "notify" {
+  function_name    = "${local.prefix}-notify"
+  role             = aws_iam_role.notify.arn
+  filename         = data.archive_file.notify.output_path
+  source_code_hash = data.archive_file.notify.output_base64sha256
+  handler          = var.handler
+  runtime          = "nodejs22.x"
+  architectures    = ["arm64"]
+  timeout          = 60
+  memory_size      = 256
+
+  # 既定 null（予約しない。従来どおり）。alerts の記録を有効にするときだけ 1（variables.tf）
+  reserved_concurrent_executions = var.reserved_concurrent_executions
+
+  environment {
+    # PROJECT_NAME・ENV_NAME・RECORDS_IAM_URL・NOTICE_TABLE は、通知のエントリが必須にすることがある（asanowa）ので常に入れる。
+    # alerts（ADMIN_BASE_URL・SKIP_RECORD_LOG_GROUPS）は、空なら環境変数に入れない（記録しない。asanowa の形）
+    variables = merge(
+      {
+        PROJECT_NAME        = var.project_name
+        ENV_NAME            = var.environment
+        RECORDS_IAM_URL     = var.records_iam_function_url
+        NOTICE_TABLE        = aws_dynamodb_table.notices.name
+        SLACK_WEBHOOK_PARAM = var.slack_webhook_param_name
+        MAIL_FROM           = var.mail_from
+        SES_REGION          = var.ses_region
+      },
+      var.admin_base_url == "" ? {} : { ADMIN_BASE_URL = var.admin_base_url },
+      length(var.skip_record_log_groups) == 0 ? {} : { SKIP_RECORD_LOG_GROUPS = join(",", var.skip_record_log_groups) }
+    )
+  }
+
+  logging_config {
+    log_format = "JSON"
+    log_group  = aws_cloudwatch_log_group.notify.name
+  }
+
+  depends_on = [aws_iam_role_policy_attachment.notify_logs]
+}
+
+# 再試行は 0（重複を避ける）。失敗は SNS（運用者のメール）へ
+resource "aws_lambda_function_event_invoke_config" "notify" {
+  function_name          = aws_lambda_function.notify.function_name
+  maximum_retry_attempts = 0
+
+  destination_config {
+    on_failure {
+      destination = aws_sns_topic.failure.arn
+    }
+  }
+
+  depends_on = [aws_iam_role_policy.notify, aws_sns_topic_policy.failure]
+}
+
+# --- 入口 1: ログの購読（広めの語句。通知するかはハンドラが厳密に判定する）---
+
+resource "aws_lambda_permission" "logs" {
+  for_each = toset(var.watched_log_group_names)
+
+  statement_id  = "AllowLogs-${replace(each.value, "/", "_")}"
+  action        = "lambda:InvokeFunction"
+  function_name = aws_lambda_function.notify.function_name
+  principal     = "logs.amazonaws.com"
+  source_arn    = "arn:aws:logs:${data.aws_region.current.name}:${data.aws_caller_identity.current.account_id}:log-group:${each.value}:*"
+}
+
+resource "aws_cloudwatch_log_subscription_filter" "notify" {
+  for_each = toset(var.watched_log_group_names)
+
+  name            = "${local.prefix}-notify"
+  log_group_name  = each.value
+  filter_pattern  = "?warn ?error ?fatal ?WARN ?ERROR ?FATAL ?\"Task timed out\" ?\"Runtime exited\" ?Unhandled ?Uncaught ?\"Invoke Error\" ?\"Status: timeout\" ?\"Status: error\" ?timeout"
+  destination_arn = aws_lambda_function.notify.arn
+
+  depends_on = [aws_lambda_permission.logs]
+}
+
+# --- 入口 2: CloudWatch アラームの状態変化（このプロジェクト・環境のアラームだけ）---
+
+resource "aws_cloudwatch_event_rule" "alarms" {
+  name        = "${local.prefix}-notify-alarms"
+  description = "CloudWatch アラームの状態変化を、運用通知へ"
+
+  event_pattern = jsonencode({
+    source        = ["aws.cloudwatch"]
+    "detail-type" = ["CloudWatch Alarm State Change"]
+    detail = {
+      alarmName = [{ prefix = "${local.prefix}-" }]
+    }
+  })
+}
+
+resource "aws_cloudwatch_event_target" "alarms" {
+  rule = aws_cloudwatch_event_rule.alarms.name
+  arn  = aws_lambda_function.notify.arn
+
+  retry_policy {
+    maximum_retry_attempts       = 0
+    maximum_event_age_in_seconds = 3600
+  }
+}
+
+resource "aws_lambda_permission" "alarms" {
+  statement_id  = "AllowEventBridgeAlarms"
+  action        = "lambda:InvokeFunction"
+  function_name = aws_lambda_function.notify.function_name
+  principal     = "events.amazonaws.com"
+  source_arn    = aws_cloudwatch_event_rule.alarms.arn
+}
+
+# --- 入口 3: 生存確認（通知の経路が壊れて無音になることを防ぐ）---
+
+resource "aws_cloudwatch_event_rule" "heartbeat" {
+  name                = "${local.prefix}-notify-heartbeat"
+  description         = "通知の経路が生きていることの確認（Slack に投稿）"
+  schedule_expression = var.heartbeat_schedule
+}
+
+resource "aws_cloudwatch_event_target" "heartbeat" {
+  rule = aws_cloudwatch_event_rule.heartbeat.name
+  arn  = aws_lambda_function.notify.arn
+
+  input = jsonencode({
+    notice = {
+      level   = "ok"
+      event   = "HEARTBEAT"
+      message = "通知の経路は正常です（週 1 回の生存確認）"
+    }
+  })
+
+  retry_policy {
+    maximum_retry_attempts       = 0
+    maximum_event_age_in_seconds = 3600
+  }
+}
+
+resource "aws_lambda_permission" "heartbeat" {
+  statement_id  = "AllowEventBridgeHeartbeat"
+  action        = "lambda:InvokeFunction"
+  function_name = aws_lambda_function.notify.function_name
+  principal     = "events.amazonaws.com"
+  source_arn    = aws_cloudwatch_event_rule.heartbeat.arn
+}

package/terraform/ops-notify/outputs.tf

@@ -0,0 +1,19 @@
+output "function_name" {
+  description = "通知 Lambda の関数名"
+  value       = aws_lambda_function.notify.function_name
+}
+
+output "failure_topic_arn" {
+  description = "通知 Lambda の失敗先の SNS トピックの ARN（運用者のメールに届く）"
+  value       = aws_sns_topic.failure.arn
+}
+
+output "notice_table_name" {
+  description = "重複抑制・流量制限の記録のテーブル名"
+  value       = aws_dynamodb_table.notices.name
+}
+
+output "function_arn" {
+  description = "通知 Lambda の ARN"
+  value       = aws_lambda_function.notify.arn
+}

package/terraform/ops-notify/us-east-1.tf

@@ -0,0 +1,68 @@
+# us-east-1 のアラームの状態変化を、ホームのリージョン（例: Tokyo）の default バスへ転送する（asanowa の ADR-0046 から移した）
+#
+# CloudFront の指標は us-east-1 にしか出ないので、そのアラームも us-east-1 に作る。EventBridge は
+# アラームと同じリージョンのバスにしか届かないため、us-east-1 のルールで Tokyo の default バスへ転送する。
+# Tokyo の既存のルール（alarms）が、転送されたイベント（source・detail-type・detail は保たれる）を拾う。
+#
+# forward_us_east_1_alarms が true のときだけ作る（既定 false）。provider の aws.us_east_1 は、呼び出し側が常に渡す
+# （versions.tf の configuration_aliases。false でも要る）。リソースのアドレス・名前は asanowa の旧モジュールと同じ。
+
+locals {
+  forward_count = var.forward_us_east_1_alarms ? 1 : 0
+}
+
+# 転送先は、Tokyo の default バス
+resource "aws_iam_role" "forward_alarms" {
+  count = local.forward_count
+
+  name = "${local.prefix}-notify-forward-alarms"
+
+  assume_role_policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [{
+      Action    = "sts:AssumeRole"
+      Effect    = "Allow"
+      Principal = { Service = "events.amazonaws.com" }
+    }]
+  })
+}
+
+resource "aws_iam_role_policy" "forward_alarms" {
+  count = local.forward_count
+
+  name = "${local.prefix}-notify-forward-alarms"
+  role = aws_iam_role.forward_alarms[0].id
+
+  policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [{
+      Effect   = "Allow"
+      Action   = ["events:PutEvents"]
+      Resource = [local.home_default_bus_arn]
+    }]
+  })
+}
+
+locals {
+  home_default_bus_arn = "arn:aws:events:${data.aws_region.current.name}:${data.aws_caller_identity.current.account_id}:event-bus/default"
+}
+
+resource "aws_cloudwatch_event_rule" "alarms_us_east_1" {
+  provider = aws.us_east_1
+  count    = local.forward_count
+
+  name        = "${local.prefix}-notify-alarms-forward"
+  description = "us-east-1 の CloudWatch アラームの状態変化を、Tokyo の運用通知へ転送"
+
+  # Tokyo のルール（alarms）と同じパターン
+  event_pattern = aws_cloudwatch_event_rule.alarms.event_pattern
+}
+
+resource "aws_cloudwatch_event_target" "alarms_us_east_1" {
+  provider = aws.us_east_1
+  count    = local.forward_count
+
+  rule     = aws_cloudwatch_event_rule.alarms_us_east_1[0].name
+  arn      = local.home_default_bus_arn
+  role_arn = aws_iam_role.forward_alarms[0].arn
+}

package/terraform/ops-notify/variables.tf

@@ -0,0 +1,105 @@
+variable "project_name" {
+  description = "プロジェクト名"
+  type        = string
+}
+
+variable "environment" {
+  description = "環境識別子（dev, prd）"
+  type        = string
+}
+
+variable "records_iam_function_url" {
+  description = "Records Lambda の AWS_IAM 認証版 Function URL（管理者の一覧を読む）"
+  type        = string
+}
+
+variable "records_iam_alias_arn" {
+  description = "Records Lambda の IAM 認証用エイリアスの ARN（lambda:InvokeFunctionUrl の Resource）"
+  type        = string
+}
+
+variable "watched_log_group_names" {
+  description = "warn 以上のログを通知する Lambda のロググループ名。通知 Lambda 自身のロググループは入れない（自分のログで無限ループになる）"
+  type        = list(string)
+}
+
+variable "slack_webhook_param_name" {
+  description = "Slack の Webhook の URL を置いた SSM パラメータ（SecureString）の名前。値は Terraform で扱わない（状態に残るため）。アプリの手順で置く"
+  type        = string
+}
+
+variable "mail_from" {
+  description = "メールの送信元（SES の検証済みドメインのアドレス）。空ならメールは送らない"
+  type        = string
+  default     = ""
+}
+
+variable "ses_region" {
+  description = "SES のリージョン（本番アクセス・ドメイン検証が済んだもの）"
+  type        = string
+  default     = "us-east-1"
+}
+
+variable "ses_identity_domain" {
+  description = "SES の検証済みドメイン（送信権限の対象）"
+  type        = string
+  default     = ""
+}
+
+variable "operator_email" {
+  description = "通知 Lambda 自身が失敗したときの届け先（運用者。admins に依存しない最後の砦）。SNS の確認メールが届く"
+  type        = string
+}
+
+variable "heartbeat_schedule" {
+  description = "通知の経路が生きていることの確認（Slack に投稿）の間隔"
+  type        = string
+  default     = "rate(7 days)"
+}
+
+variable "log_retention_days" {
+  description = "CloudWatch Logsの保持期間（日数）"
+  type        = number
+  default     = 7
+}
+
+# --- alerts（通知を管理画面のレコードとして残す。ADR 0003）---
+
+variable "admin_base_url" {
+  description = "管理画面のベース URL。空でなければ alerts に記録し、通知に詳細の URL（<admin_base_url>/alerts/<id>/show）を載せる。空なら記録しない（従来どおり）"
+  type        = string
+  default     = ""
+
+  validation {
+    condition     = var.admin_base_url == "" || can(regex("^https?://[^/]+", var.admin_base_url))
+    error_message = "admin_base_url は空か、http(s):// で始まる URL にしてください。"
+  }
+}
+
+variable "skip_record_log_groups" {
+  description = "alerts に記録しないロググループ（完全一致、または末尾 * の前方一致）。Records Lambda のロググループを必ず入れる（記録の失敗 → Records のエラーログ → 通知 → 記録、のループを防ぐ）。通知は送る。空なら環境変数に入れない"
+  type        = list(string)
+  default     = []
+}
+
+variable "reserved_concurrent_executions" {
+  description = "通知 Lambda の予約同時実行数。既定 null（予約しない。従来どおり）。**1 にするのは alerts の記録を有効にする（admin_base_url を設定する）ときだけ**（同じ alerts レコードへの同時の書き込みを避ける。入れると、記録なしでも通知の遅れ方が変わる。直列化は努力目標で、強制はされない）"
+  type        = number
+  default     = null
+}
+
+variable "source_file" {
+  description = "Lambda の成果物（バンドル済みの 1 ファイル。例: apps/server/dist/notify.cjs）。zip にして使う"
+  type        = string
+}
+
+variable "handler" {
+  description = "Lambda のハンドラ（例: notify.handler）"
+  type        = string
+}
+
+variable "forward_us_east_1_alarms" {
+  description = "us-east-1 の CloudWatch アラーム（CloudFront など。指標が us-east-1 にしか出ないもの）の状態変化を、ホームのリージョンの default バスへ転送するか。転送先のルール（alarms）が拾う。true なら providers の aws.us_east_1 が us-east-1 であること"
+  type        = bool
+  default     = false
+}