@exabugs/dynamodb-client 1.20.0 → 1.21.0

package/CHANGELOG.md

@@ -7,6 +7,17 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [1.21.0] - 2026-10-24
+
+### Added
+
+- **Terraform モジュール `terraform/ops-notify`・`terraform/alerts-cleanup`・`terraform/system-change-recorder`**（ADR 0006 の段階 6 = (b)）: asanowa・astro に複製されていた運用の Lambda の Terraform（通知、alerts の定時削除、システム変更履歴の記録）を 1 つにした。`node_modules` のパスで `source` を指定して使う（`terraform/media` と同じ流儀）。**Lambda の成果物（エントリ）はアプリが作り、`source_file` と `handler` で渡す**（ライブラリの dist は使わない。`exports` への追加もない）。リソースのアドレスと AWS 上の名前は両アプリの旧モジュールと同じなので、module ブロックの名前を変えずに `source` だけを差し替えれば、`moved` なしで置き換えが起きない（astro dev の実機の plan で確認: 0 to add / 0 to destroy、in-place の 4 件だけ）。文言は asanowa を既定にした。ops-notify は asanowa の us-east-1 のアラームの転送（`forward_us_east_1_alarms`、既定 false）も持つので、**呼び出し側は `providers = { aws.us_east_1 = aws.us_east_1 }` を常に渡す**。provider は `hashicorp/aws >= 5.30, < 7.0`。使い方は各ディレクトリの README
+- DynamoDB の直接アクセスの許可リストに、`terraform/ops-notify` の通知 Lambda のロール（別テーブル `notices` への `UpdateItem`。`src/notify/store.ts` と同じ理由の permanent）を加えた
+
+### Fixed
+
+- `npm pack` が `terraform/` の中の Terraform の作業ファイル（`.terraform/`〔プロバイダのバイナリ〕、`.terraform.lock.hcl`、state、plan）を拾わないようにした（`terraform/.npmignore`。`files` の `terraform` の中で、`terraform init` などをしたときに入っていた）
+
 ## [1.20.0] - 2026-10-24
 
 ### Added

package/dist/server/handler.cjs

@@ -1,5 +1,5 @@
-// @exabugs/dynamodb-client v1.20.0
-// Built: 2026-10-24T11:55:31.940Z
+// @exabugs/dynamodb-client v1.21.0
+// Built: 2026-10-24T14:04:54.676Z
 "use strict";
 var __create = Object.create;
 var __defProp = Object.defineProperty;
@@ -38980,7 +38980,7 @@ async function handler(event) {
       return createCorsResponse(HTTP_STATUS.OK);
     }
     if (event.requestContext.http.method === "GET" && event.requestContext.http.path === "/version") {
-      const version = "1.20.0";
+      const version = "1.21.0";
       return createSuccessResponse({ version, timestamp: (/* @__PURE__ */ new Date()).toISOString() }, requestId);
     }
     if (event.requestContext.http.method !== "POST") {

package/dist/server/media-handler.cjs

@@ -1,5 +1,5 @@
-// @exabugs/dynamodb-client v1.20.0
-// Built: 2026-10-24T11:55:31.940Z
+// @exabugs/dynamodb-client v1.21.0
+// Built: 2026-10-24T14:04:54.676Z
 "use strict";
 var __create = Object.create;
 var __defProp = Object.defineProperty;

package/dist/server/media-process-handler-dlq.cjs

@@ -1,5 +1,5 @@
-// @exabugs/dynamodb-client v1.20.0
-// Built: 2026-10-24T11:55:31.940Z
+// @exabugs/dynamodb-client v1.21.0
+// Built: 2026-10-24T14:04:54.676Z
 "use strict";
 var __create = Object.create;
 var __defProp = Object.defineProperty;

package/dist/server/media-process-handler.cjs

@@ -1,5 +1,5 @@
-// @exabugs/dynamodb-client v1.20.0
-// Built: 2026-10-24T11:55:31.940Z
+// @exabugs/dynamodb-client v1.21.0
+// Built: 2026-10-24T14:04:54.676Z
 "use strict";
 var __create = Object.create;
 var __defProp = Object.defineProperty;

package/docs/DYNAMODB_ACCESS.md

@@ -138,7 +138,7 @@ ESLint は、エディタでも違反をその場で示す。CLI は ESLint の
 
 ## 許可リストの種別と約束
 
-- **恒久（permanent）**: 構造上必要な例外。このライブラリでは、Records の本体、Records が使う共有部品、別テーブル `notices`（`src/notify/store.ts`）。`notices` は例外ではなく原則の**対象外**（構造が違う別テーブルで、通知の重複抑制・流量制限の内部用。ビジネスのデータではない）。検査が IAM をテーブルごとに区別できないため permanent として載せる（ADR 0005）
+- **恒久（permanent）**: 構造上必要な例外。このライブラリでは、Records の本体、Records が使う共有部品、別テーブル `notices`（`src/notify/store.ts` と、通知 Lambda のロール `terraform/ops-notify` の `UpdateItem`）。`notices` は例外ではなく原則の**対象外**（構造が違う別テーブルで、通知の重複抑制・流量制限の内部用。ビジネスのデータではない）。検査が IAM をテーブルごとに区別できないため permanent として載せる（ADR 0005）
 - **負債（debt）**: 期限つき。消す作業が決まっている
 
 運用の約束:

package/docs/NOTIFY.md

@@ -1,6 +1,6 @@
 # 運用通知（`@exabugs/dynamodb-client/notify`）
 
-ログ（`warn` 以上）・CloudWatch アラーム・直接呼び出しを、管理者へ通知するための**部品**。配線（購読フィルタ・Lambda・Terraform・秘密の置き場）は、各アプリが行う。既存の挙動は変えない（サブパス `./notify` の追加のみ）。
+ログ（`warn` 以上）・CloudWatch アラーム・直接呼び出しを、管理者へ通知するための**部品**。配線のうち、Lambda のエントリと秘密の置き場は各アプリが行う。購読フィルタ・Lambda・テーブルの Terraform は `terraform/ops-notify`（1.21.0）。既存の挙動は変えない（サブパス `./notify` の追加のみ）。
 
 ```text
 ログ(購読フィルタ) ─┐
@@ -177,7 +177,7 @@ export const handler = createNotifyHandler({
 - 環境変数: 既存の `NOTICE_TABLE` / `RECORDS_IAM_URL` に加えて、`ADMIN_BASE_URL`（任意。無ければ URL を載せない）
 - IAM: 通知ストアへは `dynamodb:UpdateItem` だけ（既存の権限のまま。`GetItem` は要らない）。Records の IAM URL の呼び出し（`lambda:InvokeFunctionUrl`）は、管理者の一覧の取得で既に持っている
 - 同時実行数: 同じレコードへの同時の書き込みはシャドーを孤立させうるので、**記録を有効にするときだけ**、通知 Lambda の予約同時実行数を 1 にする（今の通知 Lambda は未設定。入れると、記録なしでも遅れ方が変わる）。直列化は努力目標で、強制はされない（打ち切った HTTP は止まらない・削除の定時処理と重なる・管理画面から書ける）。孤立したシャドーは `src/scripts/repair-shadows.ts` で修復できる
-- ライブラリは Terraform を提供しない（`alerts` の定時削除・同時実行数・環境変数は各アプリの infra で）
+- Terraform は `terraform/ops-notify`・`terraform/alerts-cleanup`（1.21.0。[README](../terraform/ops-notify/README.md)）。Lambda の成果物（エントリ）と、秘密の置き場は各アプリ
 
 ### 削除（定時 Lambda）
 

package/docs/SYSTEM_CHANGES.md

@@ -183,4 +183,4 @@ ADR 0006 の段階 2 の手順: astro で先に置き換えて dev で確認し
 - Slack の文言は asanowa に揃えた。astro の「記録を省いた Lambda」は「ほかに記録しきれなかった Lambda」になる
 - Slack の送信は `postSlackText` を通る: webhook の URL が `https://hooks.slack.com/` で始まらないと送らない（`slack.urlPrefix`）。失敗の warn の理由は従来と同じ `HTTP 500` やエラー名（時間切れは `AbortError` ではなく `TimeoutError`）
 - asanowa の `changeId` の読み取りは `findOne`（404 を null にする）から `find({ id }, { sort: { id: 'asc' }, limit: 1 })`（Records の ID の経路。PK/SK の Query 1 回） に変わる。Records の ITEM_NOT_FOUND の warn が出なくなる
-- 記録 Lambda の Terraform（`source_file`）は、アプリのバンドルのまま（Terraform のモジュール化は段階 6）
+- 記録 Lambda の Terraform は `terraform/system-change-recorder`（1.21.0。段階 6。[README](../terraform/system-change-recorder/README.md)）。成果物はアプリのバンドルのまま（`source_file` で渡す）

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@exabugs/dynamodb-client",
-  "version": "1.20.0",
+  "version": "1.21.0",
   "description": "DynamoDB Single-Table Client SDK with MongoDB-like API, Shadow Records, and Lambda implementation for serverless applications",
   "author": "exabugs",
   "license": "MIT",

package/terraform/README.md

@@ -219,6 +219,15 @@ make logs-records ENV=dev
 aws logs tail /aws/lambda/my-project-dev-records --follow
 ```
 
+## 運用のモジュール（1.21.0）
+
+Records のクライアントとして動く運用の Lambda を、別のモジュールとして持つ（ADR 0006 の (b)）。Lambda の成果物（エントリ）はアプリが作り、`source_file` で渡す。
+
+- [ops-notify](ops-notify/README.md): 運用通知（ログ・アラーム・生存確認 → Slack とメール。alerts の記録）
+- [alerts-cleanup](alerts-cleanup/README.md): alerts の定時削除
+- [system-change-recorder](system-change-recorder/README.md): システム変更履歴の記録
+- [media](media/README.md): メディア（アップロード・処理・配信）
+
 ## 関連ドキュメント
 
 - [パッケージREADME](../README.md) - クライアントライブラリの使用方法

package/terraform/alerts-cleanup/README.md

@@ -0,0 +1,65 @@
+# alerts の定時削除 Lambda Terraformモジュール
+
+ADR 0006 の (b)（1.21.0）。asanowa・astro の `infra/modules/alerts-cleanup` を 1 つにしたもの。使い方の詳細は [docs/NOTIFY.md](../../docs/NOTIFY.md) の「削除（定時 Lambda）」。
+
+## 作るもの
+
+- Lambda `<project>-<env>-alerts-cleanup`（Node.js 22、arm64、120 秒、256 MB。構造化ログ JSON）と、そのロググループ・実行ロール
+- EventBridge の定時ルール（既定 毎日 03:00 JST）とターゲット（再試行 0）、呼び出しの許可
+- 権限: Records の IAM 版 URL の呼び出しだけ。DynamoDB には直接触れない
+- 環境変数: `PROJECT_NAME`（`createAlertsCleanupHandler` の `app` の既定）、`RECORDS_IAM_URL`
+
+## 前提
+
+- 参照は `node_modules` のパス（版は npm の版で固定される。git の `ref` ではない）。例: アプリの infra が `infra/` なら `source = "../node_modules/@exabugs/dynamodb-client/terraform/alerts-cleanup"`、`infra/apps/<app>/` なら `"../../../node_modules/..."`
+- **Lambda の成果物はアプリが作り、`source_file`（バンドル済みの 1 ファイル）と `handler` で渡す**。エントリはアプリの数行（`createAlertsCleanupHandler`。アプリ名や、権限チェック層を通すアプリの包み方を渡す）なので、ライブラリの dist は使わない
+- zip は `${path.root}/.terraform/archives/alerts-cleanup.zip` に作る（`path.module` を使わない。pnpm の版つきのパスが state に入ると、版を上げるたびに差分が出るため）
+- pnpm では、版を上げた後に `.terraform/modules` を消してから `terraform init` する（[../README.md](../README.md) の注意）
+- モジュール全体の `depends_on` は使わない（依存先に変更があると、中のデータソースが apply 時の読み取りになり、既存のリソースが作り直しになる）。依存は、出力の値（`log_group_name` など）で渡す
+
+## 使い方
+
+```hcl
+module "alerts_cleanup" {
+  source = "../node_modules/@exabugs/dynamodb-client/terraform/alerts-cleanup"
+
+  project_name             = var.project_name
+  environment              = var.environment
+  records_iam_function_url = module.records.iam_function_url
+  records_iam_alias_arn    = module.records.iam_alias_arn
+  log_retention_days       = var.log_retention_days
+
+  source_file = "${path.root}/../apps/server/dist/alerts-cleanup.cjs"
+  handler     = "alerts-cleanup.handler"
+}
+```
+
+## 変数
+
+| 変数                                                 | 既定                 | 説明                                                    |
+| ---------------------------------------------------- | -------------------- | ------------------------------------------------------- |
+| `project_name` / `environment`                       | 必須                 | 名前の接頭辞 `<project>-<env>`。環境変数 `PROJECT_NAME` |
+| `records_iam_function_url` / `records_iam_alias_arn` | 必須                 | Records の IAM 版 Function URL と、そのエイリアスの ARN |
+| `source_file` / `handler`                            | 必須                 | アプリのバンドル（1 ファイル）と、ハンドラ              |
+| `schedule_expression`                                | `cron(0 18 * * ? *)` | 実行間隔（毎日 03:00 JST）                              |
+| `log_retention_days`                                 | 7                    | ロググループの保持日数                                  |
+
+## 出力
+
+`function_name`、`function_arn`、`log_group_name`（ops-notify に購読させる）
+
+## アプリに残るもの
+
+- 上の module ブロック（`source`・`source_file`・`handler` と設定の値）
+- Lambda のエントリ（`createAlertsCleanupHandler` を呼ぶ数行）とバンドルの作成（esbuild など）
+- 秘密（webhook の URL など）の SSM パラメータの作成
+
+## アプリのモジュールからの移行（置き換えを起こさない）
+
+リソースのアドレス・名前は、asanowa / astro の旧モジュール（`infra/modules/alerts-cleanup`）と同じ。**module ブロックの名前（`module "alerts_cleanup"`）を変えずに `source` だけを差し替え**、`source_file`・`handler` を足す。アドレスが変わらないので `moved` は要らない（ラッパーのモジュールで包むと、アドレスが変わり `moved` が要る）。
+
+1. `terraform init`（モジュールの取り直し）→ `terraform plan`
+2. **0 to add / 0 to destroy、`must be replaced` が無い**ことを確かめる。出てよいのは in-place の更新だけ（文言の差。astro ではルールの description が英語の文言に、Lambda に `PROJECT_NAME` が加わる）
+3. 確認のうえ apply。旧モジュールのディレクトリを消す
+
+詳細と実機の確認は [ADR 0006](../../docs/adr/0006-library-owns-table-operations.md) の段階 6。

package/terraform/alerts-cleanup/main.tf

@@ -0,0 +1,111 @@
+# 運用通知の記録（alerts）の定時削除（ADR 0003・ADR 0006 の (b)。docs/NOTIFY.md の「削除（定時 Lambda）」）
+# 最後の発生から 28 日を過ぎた alerts を、定時に消す（ネイティブ TTL は効かない）。
+# Lambda の成果物はアプリが作り、source_file で渡す（実装は `createAlertsCleanupHandler`）。
+#
+# 失敗は構造化ログ（error）に出す。このロググループは、通知（../ops-notify）に購読させる。
+# リソースのアドレス・名前は、asanowa / astro の旧モジュール（infra/modules/alerts-cleanup）と同じ。
+
+locals {
+  prefix = "${var.project_name}-${var.environment}"
+}
+
+data "archive_file" "cleanup" {
+  type        = "zip"
+  source_file = var.source_file
+  output_path = "${path.root}/.terraform/archives/alerts-cleanup.zip"
+}
+
+resource "aws_cloudwatch_log_group" "cleanup" {
+  name              = "/aws/lambda/${local.prefix}-alerts-cleanup"
+  retention_in_days = var.log_retention_days
+}
+
+resource "aws_iam_role" "cleanup" {
+  name = "${local.prefix}-alerts-cleanup-role"
+
+  assume_role_policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [{
+      Action    = "sts:AssumeRole"
+      Effect    = "Allow"
+      Principal = { Service = "lambda.amazonaws.com" }
+    }]
+  })
+}
+
+resource "aws_iam_role_policy_attachment" "cleanup_logs" {
+  role       = aws_iam_role.cleanup.name
+  policy_arn = "arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole"
+}
+
+# Records Lambda の IAM 認証版 URL（エイリアス）を呼ぶ権限だけ（最小権限）。DynamoDB には直接触れない
+resource "aws_iam_role_policy" "cleanup_invoke_records" {
+  name = "${local.prefix}-alerts-cleanup-invoke-records"
+  role = aws_iam_role.cleanup.id
+
+  policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [{
+      Effect   = "Allow"
+      Action   = ["lambda:InvokeFunctionUrl"]
+      Resource = [var.records_iam_alias_arn]
+    }]
+  })
+}
+
+resource "aws_lambda_function" "cleanup" {
+  function_name    = "${local.prefix}-alerts-cleanup"
+  role             = aws_iam_role.cleanup.arn
+  filename         = data.archive_file.cleanup.output_path
+  source_code_hash = data.archive_file.cleanup.output_base64sha256
+  handler          = var.handler
+  runtime          = "nodejs22.x"
+  architectures    = ["arm64"]
+  timeout          = 120
+  memory_size      = 256
+
+  environment {
+    # PROJECT_NAME は createAlertsCleanupHandler の app の既定（app を渡すアプリは読まない）
+    variables = {
+      PROJECT_NAME    = var.project_name
+      RECORDS_IAM_URL = var.records_iam_function_url
+    }
+  }
+
+  logging_config {
+    log_format = "JSON"
+    log_group  = aws_cloudwatch_log_group.cleanup.name
+  }
+
+  depends_on = [aws_iam_role_policy_attachment.cleanup_logs]
+}
+
+# 再試行は 0（翌日の定時実行で残りを消す。失敗はログ → 通知で知る）
+resource "aws_lambda_function_event_invoke_config" "cleanup" {
+  function_name          = aws_lambda_function.cleanup.function_name
+  maximum_retry_attempts = 0
+}
+
+resource "aws_cloudwatch_event_rule" "cleanup" {
+  name                = "${local.prefix}-alerts-cleanup"
+  description         = "Delete ops alerts records older than 28 days (daily 03:00 JST)"
+  schedule_expression = var.schedule_expression
+}
+
+resource "aws_cloudwatch_event_target" "cleanup" {
+  rule = aws_cloudwatch_event_rule.cleanup.name
+  arn  = aws_lambda_function.cleanup.arn
+
+  retry_policy {
+    maximum_retry_attempts       = 0
+    maximum_event_age_in_seconds = 3600
+  }
+}
+
+resource "aws_lambda_permission" "cleanup_events" {
+  statement_id  = "AllowEventBridgeInvoke"
+  action        = "lambda:InvokeFunction"
+  function_name = aws_lambda_function.cleanup.function_name
+  principal     = "events.amazonaws.com"
+  source_arn    = aws_cloudwatch_event_rule.cleanup.arn
+}

package/terraform/alerts-cleanup/outputs.tf

@@ -0,0 +1,14 @@
+output "function_name" {
+  description = "alerts の定時削除 Lambda の関数名"
+  value       = aws_lambda_function.cleanup.function_name
+}
+
+output "log_group_name" {
+  description = "alerts の定時削除 Lambda のロググループ名（通知 Lambda が購読する）"
+  value       = aws_cloudwatch_log_group.cleanup.name
+}
+
+output "function_arn" {
+  description = "alerts の定時削除 Lambda の ARN"
+  value       = aws_lambda_function.cleanup.arn
+}

package/terraform/alerts-cleanup/variables.tf

@@ -0,0 +1,42 @@
+variable "project_name" {
+  description = "プロジェクト名"
+  type        = string
+}
+
+variable "environment" {
+  description = "環境識別子（dev, prd）"
+  type        = string
+}
+
+variable "records_iam_function_url" {
+  description = "Records Lambda の AWS_IAM 認証版 Function URL（alerts を読み、消す）"
+  type        = string
+}
+
+variable "records_iam_alias_arn" {
+  description = "Records Lambda の IAM 認証用エイリアスの ARN（lambda:InvokeFunctionUrl の Resource）"
+  type        = string
+}
+
+variable "schedule_expression" {
+  description = "実行間隔（既定: 毎日 03:00 JST = 18:00 UTC）"
+  type        = string
+  default     = "cron(0 18 * * ? *)"
+}
+
+variable "log_retention_days" {
+  description = "CloudWatch Logsの保持期間（日数）"
+  type        = number
+  default     = 7
+}
+
+variable "source_file" {
+  description = "Lambda の成果物（バンドル済みの 1 ファイル。例: apps/server/dist/alerts-cleanup.cjs）。zip にして使う"
+  type        = string
+}
+
+variable "handler" {
+  description = "Lambda のハンドラ（例: alerts-cleanup.handler）"
+  type        = string
+}
+

package/terraform/alerts-cleanup/versions.tf

@@ -0,0 +1,16 @@
+# provider の版: astro（5.x）と asanowa（6.x）の両方で使う。
+# 下限は Lambda の logging_config（5.x の途中で追加）。上限は data.aws_region の name（6.x で非推奨）が消える 7.x の前まで
+terraform {
+  required_version = ">= 1.5"
+
+  required_providers {
+    aws = {
+      source  = "hashicorp/aws"
+      version = ">= 5.30, < 7.0"
+    }
+    archive = {
+      source  = "hashicorp/archive"
+      version = ">= 2.0"
+    }
+  }
+}

package/terraform/ops-notify/README.md

@@ -0,0 +1,109 @@
+# 運用通知 Terraformモジュール
+
+ADR 0006 の (b)（1.21.0）。asanowa・astro の `infra/modules/ops-notify` を 1 つにしたもの。使い方の詳細は [docs/NOTIFY.md](../../docs/NOTIFY.md)。
+
+## 作るもの
+
+- 通知 Lambda `<project>-<env>-notify`（Node.js 22、arm64、60 秒、256 MB。構造化ログ JSON）と、そのロググループ・実行ロール
+- 重複抑制・流量制限の記録のテーブル `<project>-<env>-notices`（pk、TTL `ttl`。Records の本体テーブルではない内部用）
+- 失敗先の SNS トピック `<project>-<env>-notify-failure`（運用者のメールの購読つき）。非同期の再試行 0
+- 入口 1: `watched_log_group_names` のロググループの購読（広めの語句。通知するかはハンドラが判定する）
+- 入口 2: CloudWatch アラームの状態変化（名前が `<project>-<env>-` で始まるもの）
+- 入口 3: 生存確認（既定 週 1 回）
+- us-east-1 のアラーム（CloudFront など）の転送（`forward_us_east_1_alarms = true` のときだけ）: us-east-1 の EventBridge ルールと、ホームのリージョンの default バスへ送るロール。転送されたイベントは入口 2 のルールが拾う
+- 権限: notices の `UpdateItem`、Records の IAM 版 URL の呼び出し、webhook のパラメータの読み取り、失敗先の SNS、SES（`mail_from` があるときだけ。送信元アドレスとドメインに絞る）
+
+## 前提
+
+- 参照は `node_modules` のパス（版は npm の版で固定される。git の `ref` ではない）。例: アプリの infra が `infra/` なら `source = "../node_modules/@exabugs/dynamodb-client/terraform/ops-notify"`、`infra/apps/<app>/` なら `"../../../node_modules/..."`
+- **Lambda の成果物はアプリが作り、`source_file`（バンドル済みの 1 ファイル）と `handler` で渡す**。エントリはアプリの数行（`createNotifyHandler` などの notify の部品。アプリ名や、権限チェック層を通すアプリの包み方を渡す）なので、ライブラリの dist は使わない
+- zip は `${path.root}/.terraform/archives/notify.zip` に作る（`path.module` を使わない。pnpm の版つきのパスが state に入ると、版を上げるたびに差分が出るため）
+- pnpm では、版を上げた後に `.terraform/modules` を消してから `terraform init` する（[../README.md](../README.md) の注意）
+- モジュール全体の `depends_on` は使わない（依存先に変更があると、中のデータソースが apply 時の読み取りになり、既存のリソースが作り直しになる）。依存は、出力の値（`log_group_name` など）で渡す
+
+## 使い方
+
+```hcl
+module "ops_notify" {
+  source = "../node_modules/@exabugs/dynamodb-client/terraform/ops-notify"
+
+  # 必須（forward_us_east_1_alarms が false でも）。モジュールが aws.us_east_1 の別名を宣言しているため
+  providers = {
+    aws.us_east_1 = aws.us_east_1
+  }
+
+  project_name             = var.project_name
+  environment              = var.environment
+  records_iam_function_url = module.records.iam_function_url
+  records_iam_alias_arn    = module.records.iam_alias_arn
+  log_retention_days       = var.log_retention_days
+
+  source_file = "${path.root}/../apps/server/dist/notify.cjs"
+  handler     = "notify.handler"
+
+  # 通知 Lambda 自身のロググループは入れない（無限ループ）
+  watched_log_group_names = [
+    module.records.log_group_name,
+    module.alerts_cleanup.log_group_name,
+    module.system_change_recorder.log_group_name,
+  ]
+  slack_webhook_param_name = "/${var.project_name}/${var.environment}/ops/slack-webhook"
+  mail_from                = var.ops_mail_from
+  ses_identity_domain      = var.ops_ses_identity_domain
+  operator_email           = var.ops_operator_email
+
+  # alerts（通知を管理画面のレコードとして残す）。空なら記録しない
+  admin_base_url                 = var.ops_admin_base_url
+  skip_record_log_groups         = [module.records.log_group_name]
+  reserved_concurrent_executions = var.ops_admin_base_url == "" ? null : 1
+}
+```
+
+## provider
+
+`aws`（ホームのリージョン）に加えて、**別名 `aws.us_east_1` を `providers` で必ず渡す**（`configuration_aliases`。転送を使わないときも要る。リージョンは us-east-1）。呼び出し側に無ければ、次を足す。
+
+```hcl
+provider "aws" {
+  alias  = "us_east_1"
+  region = "us-east-1"
+}
+```
+
+## 変数
+
+| 変数                                                 | 既定                      | 説明                                                                                                            |
+| ---------------------------------------------------- | ------------------------- | --------------------------------------------------------------------------------------------------------------- |
+| `project_name` / `environment`                       | 必須                      | 名前の接頭辞 `<project>-<env>`。環境変数 `PROJECT_NAME` / `ENV_NAME`                                            |
+| `records_iam_function_url` / `records_iam_alias_arn` | 必須                      | Records の IAM 版 Function URL（管理者の一覧を読み、alerts を書く）と、そのエイリアスの ARN                     |
+| `source_file` / `handler`                            | 必須                      | アプリのバンドル（1 ファイル）と、ハンドラ                                                                      |
+| `watched_log_group_names`                            | 必須                      | 購読するロググループ。通知 Lambda 自身のものは入れない                                                          |
+| `slack_webhook_param_name`                           | 必須                      | Slack の webhook の SSM パラメータ名（SecureString。値は Terraform で扱わない）                                 |
+| `operator_email`                                     | 必須                      | 通知 Lambda 自身の失敗の届け先（SNS の確認メールが届く）                                                        |
+| `mail_from` / `ses_region` / `ses_identity_domain`   | `""` / `us-east-1` / `""` | メールの送信元と SES。`mail_from` が空ならメールは送らない                                                      |
+| `heartbeat_schedule`                                 | `rate(7 days)`            | 生存確認の間隔                                                                                                  |
+| `log_retention_days`                                 | 7                         | ロググループの保持日数                                                                                          |
+| `admin_base_url`                                     | `""`                      | 管理画面のベース URL。空でなければ alerts に記録し、通知に詳細の URL を載せる。空なら環境変数に入れない         |
+| `skip_record_log_groups`                             | `[]`                      | alerts に記録しないロググループ。**Records のロググループを必ず入れる**（ループ防止）。空なら環境変数に入れない |
+| `forward_us_east_1_alarms`                           | `false`                   | us-east-1 のアラームの状態変化を、ホームのリージョンの default バスへ転送する                                   |
+| `reserved_concurrent_executions`                     | `null`                    | 予約同時実行数。alerts の記録を有効にするときだけ 1                                                             |
+
+## 出力
+
+`function_name`、`function_arn`、`failure_topic_arn`、`notice_table_name`
+
+## アプリに残るもの
+
+- 上の module ブロック（`source`・`providers`・`source_file`・`handler` と設定の値）
+- Lambda のエントリ（`createNotifyHandler` などの notify の部品 を呼ぶ数行）とバンドルの作成（esbuild など）
+- 秘密（webhook の URL など）の SSM パラメータの作成
+
+## アプリのモジュールからの移行（置き換えを起こさない）
+
+リソースのアドレス・名前は、asanowa / astro の旧モジュール（`infra/modules/ops-notify`）と同じ。**module ブロックの名前（`module "ops_notify"`）を変えずに `source` だけを差し替え**、`source_file`・`handler` を足す。アドレスが変わらないので `moved` は要らない（ラッパーのモジュールで包むと、アドレスが変わり `moved` が要る）。
+
+1. `terraform init`（モジュールの取り直し）→ `terraform plan`
+2. **0 to add / 0 to destroy、`must be replaced` が無い**ことを確かめる。出てよいのは in-place の更新だけ（asanowa では zip の名前〔`ops-notify.zip` → `notify.zip`〕の `filename` が変わる。中身・`source_code_hash` は同じ。astro では環境変数 `PROJECT_NAME` が加わる）
+3. 確認のうえ apply。旧モジュールのディレクトリを消す
+
+詳細と実機の確認は [ADR 0006](../../docs/adr/0006-library-owns-table-operations.md) の段階 6。

package/terraform/ops-notify/main.tf

@@ -0,0 +1,295 @@
+# 運用通知（ADR 0003・ADR 0006 の (b)）
+#
+# ログ（warn 以上）・CloudWatch アラームの状態変化・週 1 回の生存確認 → 通知 Lambda
+# → 重複抑制・流量制限 → Slack とメール（管理者全員）。
+# Lambda の成果物はアプリが作り、source_file で渡す（実装は notify の部品。docs/NOTIFY.md）。
+# リソースのアドレス・名前は、asanowa / astro の旧モジュール（infra/modules/ops-notify）と同じ。
+#
+# 通知 Lambda 自身のログは購読しない（無限ループ）。失敗は Lambda の失敗先（SNS）→ 運用者のメールへ届ける。
+
+data "aws_caller_identity" "current" {}
+data "aws_region" "current" {}
+
+locals {
+  prefix = "${var.project_name}-${var.environment}"
+}
+
+# 重複抑制・流量制限の記録（パーティションキー pk、TTL 属性 ttl）
+resource "aws_dynamodb_table" "notices" {
+  name         = "${local.prefix}-notices"
+  billing_mode = "PAY_PER_REQUEST"
+  hash_key     = "pk"
+
+  attribute {
+    name = "pk"
+    type = "S"
+  }
+
+  ttl {
+    attribute_name = "ttl"
+    enabled        = true
+  }
+
+  server_side_encryption {
+    enabled = true
+  }
+}
+
+# 通知 Lambda が失敗したとき（Slack もメールも届けられないとき）の届け先
+resource "aws_sns_topic" "failure" {
+  name = "${local.prefix}-notify-failure"
+}
+
+resource "aws_sns_topic_policy" "failure" {
+  arn = aws_sns_topic.failure.arn
+
+  policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [
+      {
+        Sid       = "AllowLambdaDestination"
+        Effect    = "Allow"
+        Principal = { Service = "lambda.amazonaws.com" }
+        Action    = "sns:Publish"
+        Resource  = aws_sns_topic.failure.arn
+        Condition = {
+          StringEquals = { "aws:SourceAccount" = data.aws_caller_identity.current.account_id }
+        }
+      },
+      {
+        Sid       = "DenyInsecureTransport"
+        Effect    = "Deny"
+        Principal = "*"
+        Action    = "sns:Publish"
+        Resource  = aws_sns_topic.failure.arn
+        Condition = {
+          Bool = { "aws:SecureTransport" = "false" }
+        }
+      }
+    ]
+  })
+}
+
+resource "aws_sns_topic_subscription" "operator" {
+  topic_arn = aws_sns_topic.failure.arn
+  protocol  = "email"
+  endpoint  = var.operator_email
+}
+
+data "archive_file" "notify" {
+  type        = "zip"
+  source_file = var.source_file
+  output_path = "${path.root}/.terraform/archives/notify.zip"
+}
+
+resource "aws_cloudwatch_log_group" "notify" {
+  name              = "/aws/lambda/${local.prefix}-notify"
+  retention_in_days = var.log_retention_days
+}
+
+resource "aws_iam_role" "notify" {
+  name = "${local.prefix}-notify-role"
+
+  assume_role_policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [{
+      Action    = "sts:AssumeRole"
+      Effect    = "Allow"
+      Principal = { Service = "lambda.amazonaws.com" }
+    }]
+  })
+}
+
+resource "aws_iam_role_policy_attachment" "notify_logs" {
+  role       = aws_iam_role.notify.name
+  policy_arn = "arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole"
+}
+
+# 最小権限: 記録のテーブル（更新だけ。alerts の集計の行も UpdateItem だけで足りる）、Records Lambda（管理者の一覧を読む）、Webhook のパラメータ、
+# SES（送信元アドレスとドメインに絞る）、失敗先の SNS。alerts の書き込みも Records の IAM URL（既存の権限）
+resource "aws_iam_role_policy" "notify" {
+  name = "${local.prefix}-notify"
+  role = aws_iam_role.notify.id
+
+  policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = concat(
+      [
+        {
+          Effect   = "Allow"
+          Action   = ["dynamodb:UpdateItem"]
+          Resource = [aws_dynamodb_table.notices.arn]
+        },
+        {
+          Effect   = "Allow"
+          Action   = ["lambda:InvokeFunctionUrl"]
+          Resource = [var.records_iam_alias_arn]
+        },
+        {
+          Effect   = "Allow"
+          Action   = ["ssm:GetParameter"]
+          Resource = ["arn:aws:ssm:${data.aws_region.current.name}:${data.aws_caller_identity.current.account_id}:parameter${var.slack_webhook_param_name}"]
+        },
+        {
+          Effect   = "Allow"
+          Action   = ["sns:Publish"]
+          Resource = [aws_sns_topic.failure.arn]
+        }
+      ],
+      var.mail_from == "" ? [] : [
+        {
+          Effect   = "Allow"
+          Action   = ["ses:SendEmail"]
+          Resource = ["arn:aws:ses:${var.ses_region}:${data.aws_caller_identity.current.account_id}:identity/${var.ses_identity_domain}"]
+          Condition = {
+            StringEquals = { "ses:FromAddress" = var.mail_from }
+          }
+        }
+      ]
+    )
+  })
+}
+
+resource "aws_lambda_function" "notify" {
+  function_name    = "${local.prefix}-notify"
+  role             = aws_iam_role.notify.arn
+  filename         = data.archive_file.notify.output_path
+  source_code_hash = data.archive_file.notify.output_base64sha256
+  handler          = var.handler
+  runtime          = "nodejs22.x"
+  architectures    = ["arm64"]
+  timeout          = 60
+  memory_size      = 256
+
+  # 既定 null（予約しない。従来どおり）。alerts の記録を有効にするときだけ 1（variables.tf）
+  reserved_concurrent_executions = var.reserved_concurrent_executions
+
+  environment {
+    # PROJECT_NAME・ENV_NAME・RECORDS_IAM_URL・NOTICE_TABLE は、通知のエントリが必須にすることがある（asanowa）ので常に入れる。
+    # alerts（ADMIN_BASE_URL・SKIP_RECORD_LOG_GROUPS）は、空なら環境変数に入れない（記録しない。asanowa の形）
+    variables = merge(
+      {
+        PROJECT_NAME        = var.project_name
+        ENV_NAME            = var.environment
+        RECORDS_IAM_URL     = var.records_iam_function_url
+        NOTICE_TABLE        = aws_dynamodb_table.notices.name
+        SLACK_WEBHOOK_PARAM = var.slack_webhook_param_name
+        MAIL_FROM           = var.mail_from
+        SES_REGION          = var.ses_region
+      },
+      var.admin_base_url == "" ? {} : { ADMIN_BASE_URL = var.admin_base_url },
+      length(var.skip_record_log_groups) == 0 ? {} : { SKIP_RECORD_LOG_GROUPS = join(",", var.skip_record_log_groups) }
+    )
+  }
+
+  logging_config {
+    log_format = "JSON"
+    log_group  = aws_cloudwatch_log_group.notify.name
+  }
+
+  depends_on = [aws_iam_role_policy_attachment.notify_logs]
+}
+
+# 再試行は 0（重複を避ける）。失敗は SNS（運用者のメール）へ
+resource "aws_lambda_function_event_invoke_config" "notify" {
+  function_name          = aws_lambda_function.notify.function_name
+  maximum_retry_attempts = 0
+
+  destination_config {
+    on_failure {
+      destination = aws_sns_topic.failure.arn
+    }
+  }
+
+  depends_on = [aws_iam_role_policy.notify, aws_sns_topic_policy.failure]
+}
+
+# --- 入口 1: ログの購読（広めの語句。通知するかはハンドラが厳密に判定する）---
+
+resource "aws_lambda_permission" "logs" {
+  for_each = toset(var.watched_log_group_names)
+
+  statement_id  = "AllowLogs-${replace(each.value, "/", "_")}"
+  action        = "lambda:InvokeFunction"
+  function_name = aws_lambda_function.notify.function_name
+  principal     = "logs.amazonaws.com"
+  source_arn    = "arn:aws:logs:${data.aws_region.current.name}:${data.aws_caller_identity.current.account_id}:log-group:${each.value}:*"
+}
+
+resource "aws_cloudwatch_log_subscription_filter" "notify" {
+  for_each = toset(var.watched_log_group_names)
+
+  name            = "${local.prefix}-notify"
+  log_group_name  = each.value
+  filter_pattern  = "?warn ?error ?fatal ?WARN ?ERROR ?FATAL ?\"Task timed out\" ?\"Runtime exited\" ?Unhandled ?Uncaught ?\"Invoke Error\" ?\"Status: timeout\" ?\"Status: error\" ?timeout"
+  destination_arn = aws_lambda_function.notify.arn
+
+  depends_on = [aws_lambda_permission.logs]
+}
+
+# --- 入口 2: CloudWatch アラームの状態変化（このプロジェクト・環境のアラームだけ）---
+
+resource "aws_cloudwatch_event_rule" "alarms" {
+  name        = "${local.prefix}-notify-alarms"
+  description = "CloudWatch アラームの状態変化を、運用通知へ"
+
+  event_pattern = jsonencode({
+    source        = ["aws.cloudwatch"]
+    "detail-type" = ["CloudWatch Alarm State Change"]
+    detail = {
+      alarmName = [{ prefix = "${local.prefix}-" }]
+    }
+  })
+}
+
+resource "aws_cloudwatch_event_target" "alarms" {
+  rule = aws_cloudwatch_event_rule.alarms.name
+  arn  = aws_lambda_function.notify.arn
+
+  retry_policy {
+    maximum_retry_attempts       = 0
+    maximum_event_age_in_seconds = 3600
+  }
+}
+
+resource "aws_lambda_permission" "alarms" {
+  statement_id  = "AllowEventBridgeAlarms"
+  action        = "lambda:InvokeFunction"
+  function_name = aws_lambda_function.notify.function_name
+  principal     = "events.amazonaws.com"
+  source_arn    = aws_cloudwatch_event_rule.alarms.arn
+}
+
+# --- 入口 3: 生存確認（通知の経路が壊れて無音になることを防ぐ）---
+
+resource "aws_cloudwatch_event_rule" "heartbeat" {
+  name                = "${local.prefix}-notify-heartbeat"
+  description         = "通知の経路が生きていることの確認（Slack に投稿）"
+  schedule_expression = var.heartbeat_schedule
+}
+
+resource "aws_cloudwatch_event_target" "heartbeat" {
+  rule = aws_cloudwatch_event_rule.heartbeat.name
+  arn  = aws_lambda_function.notify.arn
+
+  input = jsonencode({
+    notice = {
+      level   = "ok"
+      event   = "HEARTBEAT"
+      message = "通知の経路は正常です（週 1 回の生存確認）"
+    }
+  })
+
+  retry_policy {
+    maximum_retry_attempts       = 0
+    maximum_event_age_in_seconds = 3600
+  }
+}
+
+resource "aws_lambda_permission" "heartbeat" {
+  statement_id  = "AllowEventBridgeHeartbeat"
+  action        = "lambda:InvokeFunction"
+  function_name = aws_lambda_function.notify.function_name
+  principal     = "events.amazonaws.com"
+  source_arn    = aws_cloudwatch_event_rule.heartbeat.arn
+}

package/terraform/ops-notify/outputs.tf

@@ -0,0 +1,19 @@
+output "function_name" {
+  description = "通知 Lambda の関数名"
+  value       = aws_lambda_function.notify.function_name
+}
+
+output "failure_topic_arn" {
+  description = "通知 Lambda の失敗先の SNS トピックの ARN（運用者のメールに届く）"
+  value       = aws_sns_topic.failure.arn
+}
+
+output "notice_table_name" {
+  description = "重複抑制・流量制限の記録のテーブル名"
+  value       = aws_dynamodb_table.notices.name
+}
+
+output "function_arn" {
+  description = "通知 Lambda の ARN"
+  value       = aws_lambda_function.notify.arn
+}

package/terraform/ops-notify/us-east-1.tf

@@ -0,0 +1,68 @@
+# us-east-1 のアラームの状態変化を、ホームのリージョン（例: Tokyo）の default バスへ転送する（asanowa の ADR-0046 から移した）
+#
+# CloudFront の指標は us-east-1 にしか出ないので、そのアラームも us-east-1 に作る。EventBridge は
+# アラームと同じリージョンのバスにしか届かないため、us-east-1 のルールで Tokyo の default バスへ転送する。
+# Tokyo の既存のルール（alarms）が、転送されたイベント（source・detail-type・detail は保たれる）を拾う。
+#
+# forward_us_east_1_alarms が true のときだけ作る（既定 false）。provider の aws.us_east_1 は、呼び出し側が常に渡す
+# （versions.tf の configuration_aliases。false でも要る）。リソースのアドレス・名前は asanowa の旧モジュールと同じ。
+
+locals {
+  forward_count = var.forward_us_east_1_alarms ? 1 : 0
+}
+
+# 転送先は、Tokyo の default バス
+resource "aws_iam_role" "forward_alarms" {
+  count = local.forward_count
+
+  name = "${local.prefix}-notify-forward-alarms"
+
+  assume_role_policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [{
+      Action    = "sts:AssumeRole"
+      Effect    = "Allow"
+      Principal = { Service = "events.amazonaws.com" }
+    }]
+  })
+}
+
+resource "aws_iam_role_policy" "forward_alarms" {
+  count = local.forward_count
+
+  name = "${local.prefix}-notify-forward-alarms"
+  role = aws_iam_role.forward_alarms[0].id
+
+  policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [{
+      Effect   = "Allow"
+      Action   = ["events:PutEvents"]
+      Resource = [local.home_default_bus_arn]
+    }]
+  })
+}
+
+locals {
+  home_default_bus_arn = "arn:aws:events:${data.aws_region.current.name}:${data.aws_caller_identity.current.account_id}:event-bus/default"
+}
+
+resource "aws_cloudwatch_event_rule" "alarms_us_east_1" {
+  provider = aws.us_east_1
+  count    = local.forward_count
+
+  name        = "${local.prefix}-notify-alarms-forward"
+  description = "us-east-1 の CloudWatch アラームの状態変化を、Tokyo の運用通知へ転送"
+
+  # Tokyo のルール（alarms）と同じパターン
+  event_pattern = aws_cloudwatch_event_rule.alarms.event_pattern
+}
+
+resource "aws_cloudwatch_event_target" "alarms_us_east_1" {
+  provider = aws.us_east_1
+  count    = local.forward_count
+
+  rule     = aws_cloudwatch_event_rule.alarms_us_east_1[0].name
+  arn      = local.home_default_bus_arn
+  role_arn = aws_iam_role.forward_alarms[0].arn
+}

package/terraform/ops-notify/variables.tf

@@ -0,0 +1,105 @@
+variable "project_name" {
+  description = "プロジェクト名"
+  type        = string
+}
+
+variable "environment" {
+  description = "環境識別子（dev, prd）"
+  type        = string
+}
+
+variable "records_iam_function_url" {
+  description = "Records Lambda の AWS_IAM 認証版 Function URL（管理者の一覧を読む）"
+  type        = string
+}
+
+variable "records_iam_alias_arn" {
+  description = "Records Lambda の IAM 認証用エイリアスの ARN（lambda:InvokeFunctionUrl の Resource）"
+  type        = string
+}
+
+variable "watched_log_group_names" {
+  description = "warn 以上のログを通知する Lambda のロググループ名。通知 Lambda 自身のロググループは入れない（自分のログで無限ループになる）"
+  type        = list(string)
+}
+
+variable "slack_webhook_param_name" {
+  description = "Slack の Webhook の URL を置いた SSM パラメータ（SecureString）の名前。値は Terraform で扱わない（状態に残るため）。アプリの手順で置く"
+  type        = string
+}
+
+variable "mail_from" {
+  description = "メールの送信元（SES の検証済みドメインのアドレス）。空ならメールは送らない"
+  type        = string
+  default     = ""
+}
+
+variable "ses_region" {
+  description = "SES のリージョン（本番アクセス・ドメイン検証が済んだもの）"
+  type        = string
+  default     = "us-east-1"
+}
+
+variable "ses_identity_domain" {
+  description = "SES の検証済みドメイン（送信権限の対象）"
+  type        = string
+  default     = ""
+}
+
+variable "operator_email" {
+  description = "通知 Lambda 自身が失敗したときの届け先（運用者。admins に依存しない最後の砦）。SNS の確認メールが届く"
+  type        = string
+}
+
+variable "heartbeat_schedule" {
+  description = "通知の経路が生きていることの確認（Slack に投稿）の間隔"
+  type        = string
+  default     = "rate(7 days)"
+}
+
+variable "log_retention_days" {
+  description = "CloudWatch Logsの保持期間（日数）"
+  type        = number
+  default     = 7
+}
+
+# --- alerts（通知を管理画面のレコードとして残す。ADR 0003）---
+
+variable "admin_base_url" {
+  description = "管理画面のベース URL。空でなければ alerts に記録し、通知に詳細の URL（<admin_base_url>/alerts/<id>/show）を載せる。空なら記録しない（従来どおり）"
+  type        = string
+  default     = ""
+
+  validation {
+    condition     = var.admin_base_url == "" || can(regex("^https?://[^/]+", var.admin_base_url))
+    error_message = "admin_base_url は空か、http(s):// で始まる URL にしてください。"
+  }
+}
+
+variable "skip_record_log_groups" {
+  description = "alerts に記録しないロググループ（完全一致、または末尾 * の前方一致）。Records Lambda のロググループを必ず入れる（記録の失敗 → Records のエラーログ → 通知 → 記録、のループを防ぐ）。通知は送る。空なら環境変数に入れない"
+  type        = list(string)
+  default     = []
+}
+
+variable "reserved_concurrent_executions" {
+  description = "通知 Lambda の予約同時実行数。既定 null（予約しない。従来どおり）。**1 にするのは alerts の記録を有効にする（admin_base_url を設定する）ときだけ**（同じ alerts レコードへの同時の書き込みを避ける。入れると、記録なしでも通知の遅れ方が変わる。直列化は努力目標で、強制はされない）"
+  type        = number
+  default     = null
+}
+
+variable "source_file" {
+  description = "Lambda の成果物（バンドル済みの 1 ファイル。例: apps/server/dist/notify.cjs）。zip にして使う"
+  type        = string
+}
+
+variable "handler" {
+  description = "Lambda のハンドラ（例: notify.handler）"
+  type        = string
+}
+
+variable "forward_us_east_1_alarms" {
+  description = "us-east-1 の CloudWatch アラーム（CloudFront など。指標が us-east-1 にしか出ないもの）の状態変化を、ホームのリージョンの default バスへ転送するか。転送先のルール（alarms）が拾う。true なら providers の aws.us_east_1 が us-east-1 であること"
+  type        = bool
+  default     = false
+}

package/terraform/ops-notify/versions.tf

@@ -0,0 +1,18 @@
+# provider の版: astro（5.x）と asanowa（6.x）の両方で使う。
+# 下限は Lambda の logging_config（5.x の途中で追加）。上限は data.aws_region の name（6.x で非推奨）が消える 7.x の前まで
+terraform {
+  required_version = ">= 1.5"
+
+  required_providers {
+    aws = {
+      source  = "hashicorp/aws"
+      version = ">= 5.30, < 7.0"
+      # us-east-1 のアラームの転送（us-east-1.tf）。呼び出し側は providers = { aws.us_east_1 = aws.us_east_1 } を常に渡す
+      configuration_aliases = [aws.us_east_1]
+    }
+    archive = {
+      source  = "hashicorp/archive"
+      version = ">= 2.0"
+    }
+  }
+}

package/terraform/system-change-recorder/README.md

@@ -0,0 +1,71 @@
+# システム変更履歴の記録 Lambda Terraformモジュール
+
+ADR 0006 の (b)（1.21.0）。asanowa・astro の `infra/modules/system-change-recorder` を 1 つにしたもの。使い方の詳細は [docs/SYSTEM_CHANGES.md](../../docs/SYSTEM_CHANGES.md)。
+
+## 作るもの
+
+- Lambda `<project>-<env>-system-change-recorder`（Node.js 22、arm64、15 秒、256 MB。構造化ログ JSON）と、そのロググループ・実行ロール
+- 権限: Records の IAM 版 URL の呼び出し（`lambda:InvokeFunctionUrl`）、Slack の webhook のパラメータの読み取り（`slack_webhook_param_name` があるときだけ）。DynamoDB には直接触れない
+- 非同期の呼び出しの再試行 0（同じ入力の再試行は、同じ変更が 2 件になる）
+- 作らないもの: Function URL・EventBridge・`aws_lambda_permission`（呼び出しは人・CI の AWS の認証。`dynamodb-system-change` の CLI）
+
+## 前提
+
+- 参照は `node_modules` のパス（版は npm の版で固定される。git の `ref` ではない）。例: アプリの infra が `infra/` なら `source = "../node_modules/@exabugs/dynamodb-client/terraform/system-change-recorder"`、`infra/apps/<app>/` なら `"../../../node_modules/..."`
+- **Lambda の成果物はアプリが作り、`source_file`（バンドル済みの 1 ファイル）と `handler` で渡す**。エントリはアプリの数行（`createSystemChangeHandler`。アプリ名や、権限チェック層を通すアプリの包み方を渡す）なので、ライブラリの dist は使わない
+- zip は `${path.root}/.terraform/archives/system-change-recorder.zip` に作る（`path.module` を使わない。pnpm の版つきのパスが state に入ると、版を上げるたびに差分が出るため）
+- pnpm では、版を上げた後に `.terraform/modules` を消してから `terraform init` する（[../README.md](../README.md) の注意）
+- モジュール全体の `depends_on` は使わない（依存先に変更があると、中のデータソースが apply 時の読み取りになり、既存のリソースが作り直しになる）。依存は、出力の値（`log_group_name` など）で渡す
+
+## 使い方
+
+```hcl
+module "system_change_recorder" {
+  source = "../node_modules/@exabugs/dynamodb-client/terraform/system-change-recorder"
+
+  project_name             = var.project_name
+  environment              = var.environment
+  records_iam_function_url = module.records.iam_function_url
+  records_iam_alias_arn    = module.records.iam_alias_arn
+  log_retention_days       = var.log_retention_days
+
+  # アプリのバンドル（エントリは createSystemChangeHandler の数行）
+  source_file = "${path.root}/../apps/server/dist/system-change-recorder.cjs"
+  handler     = "system-change-recorder.handler"
+
+  slack_webhook_param_name = "/${var.project_name}/${var.environment}/ops/slack-webhook"
+  admin_base_url           = var.ops_admin_base_url
+}
+```
+
+## 変数
+
+| 変数                                                 | 既定    | 説明                                                                          |
+| ---------------------------------------------------- | ------- | ----------------------------------------------------------------------------- |
+| `project_name` / `environment`                       | 必須    | 名前の接頭辞 `<project>-<env>`。環境変数 `PROJECT_NAME` / `ENV_NAME`          |
+| `records_iam_function_url` / `records_iam_alias_arn` | 必須    | Records の IAM 版 Function URL と、そのエイリアスの ARN（呼び出し権限の対象） |
+| `source_file` / `handler`                            | 必須    | アプリのバンドル（1 ファイル）と、ハンドラ                                    |
+| `log_retention_days`                                 | 7       | ロググループの保持日数                                                        |
+| `slack_webhook_param_name`                           | `""`    | Slack の webhook の SSM パラメータ名（SecureString）。空なら Slack に送らない |
+| `admin_base_url`                                     | `""`    | 管理画面の URL（Slack の通知に詳細のリンクを付ける）                          |
+| `notify_started`                                     | `false` | 「開始」も Slack に送るか                                                     |
+
+## 出力
+
+`function_name`（CLI の `--function` の既定と同じ名前）、`function_arn`、`log_group_name`（ops-notify に購読させる）
+
+## アプリに残るもの
+
+- 上の module ブロック（`source`・`source_file`・`handler` と設定の値）
+- Lambda のエントリ（`createSystemChangeHandler` を呼ぶ数行）とバンドルの作成（esbuild など）
+- 秘密（webhook の URL など）の SSM パラメータの作成
+
+## アプリのモジュールからの移行（置き換えを起こさない）
+
+リソースのアドレス・名前は、asanowa / astro の旧モジュール（`infra/modules/system-change-recorder`）と同じ。**module ブロックの名前（`module "system_change_recorder"`）を変えずに `source` だけを差し替え**、`source_file`・`handler` を足す。アドレスが変わらないので `moved` は要らない（ラッパーのモジュールで包むと、アドレスが変わり `moved` が要る）。
+
+1. `terraform init`（モジュールの取り直し）→ `terraform plan`
+2. **0 to add / 0 to destroy、`must be replaced` が無い**ことを確かめる。出てよいのは in-place の更新だけ（文言の差。asanowa / astro では Lambda の description の ADR の番号が消える）
+3. 確認のうえ apply。旧モジュールのディレクトリを消す
+
+詳細と実機の確認は [ADR 0006](../../docs/adr/0006-library-owns-table-operations.md) の段階 6。

package/terraform/system-change-recorder/main.tf

@@ -0,0 +1,122 @@
+# システム変更履歴（systemChanges）の記録 Lambda（ADR 0006 の (b)。docs/SYSTEM_CHANGES.md）
+#
+# 入力（直接呼び出し）を検証し、Records の IAM URL で systemChanges に書く（削除しない）。
+# Lambda の成果物（バンドル済みの 1 ファイル）はアプリが作り、source_file で渡す（エントリでアプリの設定・
+# 権限チェック層を渡すため。実装は `createSystemChangeHandler`）。
+#
+# 呼び出しは、人・CI の AWS の認証（lambda:InvokeFunction）で行う。Function URL・EventBridge・
+# リソースベースのポリシー（aws_lambda_permission）は作らない。
+# 失敗は構造化ログ（warn / error）に出す。このロググループは、通知（../ops-notify）に購読させる。
+#
+# リソースのアドレス・名前は、asanowa / astro の旧モジュール（infra/modules/system-change-recorder）と同じ
+# （module ブロックの名前を変えずに source だけを差し替えれば、moved なしで置き換えが起きない）。
+
+locals {
+  prefix = "${var.project_name}-${var.environment}"
+}
+
+data "aws_caller_identity" "current" {}
+data "aws_region" "current" {}
+
+data "archive_file" "recorder" {
+  type        = "zip"
+  source_file = var.source_file
+  output_path = "${path.root}/.terraform/archives/system-change-recorder.zip"
+}
+
+resource "aws_cloudwatch_log_group" "recorder" {
+  name              = "/aws/lambda/${local.prefix}-system-change-recorder"
+  retention_in_days = var.log_retention_days
+}
+
+resource "aws_iam_role" "recorder" {
+  name = "${local.prefix}-system-change-recorder-role"
+
+  assume_role_policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [{
+      Action    = "sts:AssumeRole"
+      Effect    = "Allow"
+      Principal = { Service = "lambda.amazonaws.com" }
+    }]
+  })
+}
+
+resource "aws_iam_role_policy_attachment" "recorder_logs" {
+  role       = aws_iam_role.recorder.name
+  policy_arn = "arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole"
+}
+
+# Records Lambda の IAM 認証版 URL（エイリアス）を呼ぶ権限だけ（最小権限）。DynamoDB には直接触れない
+resource "aws_iam_role_policy" "recorder_invoke_records" {
+  name = "${local.prefix}-system-change-recorder-invoke-records"
+  role = aws_iam_role.recorder.id
+
+  policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [{
+      Effect   = "Allow"
+      Action   = ["lambda:InvokeFunctionUrl"]
+      Resource = [var.records_iam_alias_arn]
+    }]
+  })
+}
+
+# Slack の webhook（SecureString）を読む権限だけ。通知 Lambda と同じ（暗号化は、AWS 管理の鍵で、追加の KMS 権限は不要。PoC で確認）
+resource "aws_iam_role_policy" "recorder_read_slack_webhook" {
+  count = var.slack_webhook_param_name == "" ? 0 : 1
+  name  = "${local.prefix}-system-change-recorder-read-slack-webhook"
+  role  = aws_iam_role.recorder.id
+
+  policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [{
+      Effect   = "Allow"
+      Action   = ["ssm:GetParameter"]
+      Resource = ["arn:aws:ssm:${data.aws_region.current.name}:${data.aws_caller_identity.current.account_id}:parameter${var.slack_webhook_param_name}"]
+    }]
+  })
+}
+
+resource "aws_lambda_function" "recorder" {
+  function_name    = "${local.prefix}-system-change-recorder"
+  description      = "Record a system change (release, OTA, infra, Lambda) to the systemChanges records"
+  role             = aws_iam_role.recorder.arn
+  filename         = data.archive_file.recorder.output_path
+  source_code_hash = data.archive_file.recorder.output_base64sha256
+  handler          = var.handler
+  runtime          = "nodejs22.x"
+  architectures    = ["arm64"]
+  # HTTP の時間切れ（RECORD_HTTP_TIMEOUT_MS = 5 秒）より長く
+  timeout     = 15
+  memory_size = 256
+
+  environment {
+    variables = merge(
+      {
+        PROJECT_NAME    = var.project_name
+        ENV_NAME        = var.environment
+        RECORDS_IAM_URL = var.records_iam_function_url
+      },
+      var.slack_webhook_param_name == "" ? {} : {
+        SLACK_WEBHOOK_PARAM = var.slack_webhook_param_name
+        NOTIFY_STARTED      = tostring(var.notify_started)
+      },
+      var.admin_base_url == "" ? {} : { ADMIN_BASE_URL = var.admin_base_url },
+    )
+  }
+
+  logging_config {
+    log_format = "JSON"
+    log_group  = aws_cloudwatch_log_group.recorder.name
+  }
+
+  depends_on = [aws_iam_role_policy_attachment.recorder_logs]
+}
+
+# 非同期の呼び出し（--invocation-type Event）の再試行は 0
+# （同じ入力の再試行は、同じ変更が 2 件になる。失敗はログ → 通知で知る）
+resource "aws_lambda_function_event_invoke_config" "recorder" {
+  function_name          = aws_lambda_function.recorder.function_name
+  maximum_retry_attempts = 0
+}

package/terraform/system-change-recorder/outputs.tf

@@ -0,0 +1,14 @@
+output "function_name" {
+  description = "システム変更履歴の記録 Lambda の関数名（aws lambda invoke で呼ぶ）"
+  value       = aws_lambda_function.recorder.function_name
+}
+
+output "function_arn" {
+  description = "システム変更履歴の記録 Lambda の ARN"
+  value       = aws_lambda_function.recorder.arn
+}
+
+output "log_group_name" {
+  description = "システム変更履歴の記録 Lambda のロググループ名（通知 Lambda が購読する）"
+  value       = aws_cloudwatch_log_group.recorder.name
+}

package/terraform/system-change-recorder/variables.tf

@@ -0,0 +1,53 @@
+variable "project_name" {
+  description = "プロジェクト名"
+  type        = string
+}
+
+variable "environment" {
+  description = "環境識別子（dev, prd）"
+  type        = string
+}
+
+variable "records_iam_function_url" {
+  description = "Records Lambda の AWS_IAM 認証版 Function URL（systemChanges に書く）"
+  type        = string
+}
+
+variable "records_iam_alias_arn" {
+  description = "Records Lambda の IAM 認証用エイリアスの ARN（lambda:InvokeFunctionUrl の Resource）"
+  type        = string
+}
+
+variable "log_retention_days" {
+  description = "CloudWatch Logsの保持期間（日数）"
+  type        = number
+  default     = 7
+}
+
+variable "slack_webhook_param_name" {
+  description = "Slack の webhook の SSM パラメータ名（SecureString。通知 Lambda と同じもの）。空なら、Slack に送らない"
+  type        = string
+  default     = ""
+}
+
+variable "admin_base_url" {
+  description = "管理画面の URL（Slack の通知に、システム変更履歴の詳細へのリンクを付ける）。空ならリンクを付けない"
+  type        = string
+  default     = ""
+}
+
+variable "notify_started" {
+  description = "「開始」も Slack に送るか。既定は false（1 回の適用で 2 通になるため。結果だけを送る）"
+  type        = bool
+  default     = false
+}
+
+variable "source_file" {
+  description = "Lambda の成果物（バンドル済みの 1 ファイル。例: apps/server/dist/system-change-recorder.cjs）。zip にして使う"
+  type        = string
+}
+
+variable "handler" {
+  description = "Lambda のハンドラ（例: system-change-recorder.handler）"
+  type        = string
+}

package/terraform/system-change-recorder/versions.tf

@@ -0,0 +1,16 @@
+# provider の版: astro（5.x）と asanowa（6.x）の両方で使う。
+# 下限は Lambda の logging_config（5.x の途中で追加）。上限は data.aws_region の name（6.x で非推奨）が消える 7.x の前まで
+terraform {
+  required_version = ">= 1.5"
+
+  required_providers {
+    aws = {
+      source  = "hashicorp/aws"
+      version = ">= 5.30, < 7.0"
+    }
+    archive = {
+      source  = "hashicorp/archive"
+      version = ">= 2.0"
+    }
+  }
+}