@exabugs/dynamodb-client 1.20.0 → 1.22.0

package/terraform/ops-notify/main.tf

@@ -0,0 +1,295 @@
+# 運用通知（ADR 0003・ADR 0006 の (b)）
+#
+# ログ（warn 以上）・CloudWatch アラームの状態変化・週 1 回の生存確認 → 通知 Lambda
+# → 重複抑制・流量制限 → Slack とメール（管理者全員）。
+# Lambda の成果物はアプリが作り、source_file で渡す（実装は notify の部品。docs/NOTIFY.md）。
+# リソースのアドレス・名前は、asanowa / astro の旧モジュール（infra/modules/ops-notify）と同じ。
+#
+# 通知 Lambda 自身のログは購読しない（無限ループ）。失敗は Lambda の失敗先（SNS）→ 運用者のメールへ届ける。
+
+data "aws_caller_identity" "current" {}
+data "aws_region" "current" {}
+
+locals {
+  prefix = "${var.project_name}-${var.environment}"
+}
+
+# 重複抑制・流量制限の記録（パーティションキー pk、TTL 属性 ttl）
+resource "aws_dynamodb_table" "notices" {
+  name         = "${local.prefix}-notices"
+  billing_mode = "PAY_PER_REQUEST"
+  hash_key     = "pk"
+
+  attribute {
+    name = "pk"
+    type = "S"
+  }
+
+  ttl {
+    attribute_name = "ttl"
+    enabled        = true
+  }
+
+  server_side_encryption {
+    enabled = true
+  }
+}
+
+# 通知 Lambda が失敗したとき（Slack もメールも届けられないとき）の届け先
+resource "aws_sns_topic" "failure" {
+  name = "${local.prefix}-notify-failure"
+}
+
+resource "aws_sns_topic_policy" "failure" {
+  arn = aws_sns_topic.failure.arn
+
+  policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [
+      {
+        Sid       = "AllowLambdaDestination"
+        Effect    = "Allow"
+        Principal = { Service = "lambda.amazonaws.com" }
+        Action    = "sns:Publish"
+        Resource  = aws_sns_topic.failure.arn
+        Condition = {
+          StringEquals = { "aws:SourceAccount" = data.aws_caller_identity.current.account_id }
+        }
+      },
+      {
+        Sid       = "DenyInsecureTransport"
+        Effect    = "Deny"
+        Principal = "*"
+        Action    = "sns:Publish"
+        Resource  = aws_sns_topic.failure.arn
+        Condition = {
+          Bool = { "aws:SecureTransport" = "false" }
+        }
+      }
+    ]
+  })
+}
+
+resource "aws_sns_topic_subscription" "operator" {
+  topic_arn = aws_sns_topic.failure.arn
+  protocol  = "email"
+  endpoint  = var.operator_email
+}
+
+data "archive_file" "notify" {
+  type        = "zip"
+  source_file = var.source_file
+  output_path = "${path.root}/.terraform/archives/notify.zip"
+}
+
+resource "aws_cloudwatch_log_group" "notify" {
+  name              = "/aws/lambda/${local.prefix}-notify"
+  retention_in_days = var.log_retention_days
+}
+
+resource "aws_iam_role" "notify" {
+  name = "${local.prefix}-notify-role"
+
+  assume_role_policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [{
+      Action    = "sts:AssumeRole"
+      Effect    = "Allow"
+      Principal = { Service = "lambda.amazonaws.com" }
+    }]
+  })
+}
+
+resource "aws_iam_role_policy_attachment" "notify_logs" {
+  role       = aws_iam_role.notify.name
+  policy_arn = "arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole"
+}
+
+# 最小権限: 記録のテーブル（更新だけ。alerts の集計の行も UpdateItem だけで足りる）、Records Lambda（管理者の一覧を読む）、Webhook のパラメータ、
+# SES（送信元アドレスとドメインに絞る）、失敗先の SNS。alerts の書き込みも Records の IAM URL（既存の権限）
+resource "aws_iam_role_policy" "notify" {
+  name = "${local.prefix}-notify"
+  role = aws_iam_role.notify.id
+
+  policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = concat(
+      [
+        {
+          Effect   = "Allow"
+          Action   = ["dynamodb:UpdateItem"]
+          Resource = [aws_dynamodb_table.notices.arn]
+        },
+        {
+          Effect   = "Allow"
+          Action   = ["lambda:InvokeFunctionUrl"]
+          Resource = [var.records_iam_alias_arn]
+        },
+        {
+          Effect   = "Allow"
+          Action   = ["ssm:GetParameter"]
+          Resource = ["arn:aws:ssm:${data.aws_region.current.name}:${data.aws_caller_identity.current.account_id}:parameter${var.slack_webhook_param_name}"]
+        },
+        {
+          Effect   = "Allow"
+          Action   = ["sns:Publish"]
+          Resource = [aws_sns_topic.failure.arn]
+        }
+      ],
+      var.mail_from == "" ? [] : [
+        {
+          Effect   = "Allow"
+          Action   = ["ses:SendEmail"]
+          Resource = ["arn:aws:ses:${var.ses_region}:${data.aws_caller_identity.current.account_id}:identity/${var.ses_identity_domain}"]
+          Condition = {
+            StringEquals = { "ses:FromAddress" = var.mail_from }
+          }
+        }
+      ]
+    )
+  })
+}
+
+resource "aws_lambda_function" "notify" {
+  function_name    = "${local.prefix}-notify"
+  role             = aws_iam_role.notify.arn
+  filename         = data.archive_file.notify.output_path
+  source_code_hash = data.archive_file.notify.output_base64sha256
+  handler          = var.handler
+  runtime          = "nodejs22.x"
+  architectures    = ["arm64"]
+  timeout          = 60
+  memory_size      = 256
+
+  # 既定 null（予約しない。従来どおり）。alerts の記録を有効にするときだけ 1（variables.tf）
+  reserved_concurrent_executions = var.reserved_concurrent_executions
+
+  environment {
+    # PROJECT_NAME・ENV_NAME・RECORDS_IAM_URL・NOTICE_TABLE は、通知のエントリが必須にすることがある（asanowa）ので常に入れる。
+    # alerts（ADMIN_BASE_URL・SKIP_RECORD_LOG_GROUPS）は、空なら環境変数に入れない（記録しない。asanowa の形）
+    variables = merge(
+      {
+        PROJECT_NAME        = var.project_name
+        ENV_NAME            = var.environment
+        RECORDS_IAM_URL     = var.records_iam_function_url
+        NOTICE_TABLE        = aws_dynamodb_table.notices.name
+        SLACK_WEBHOOK_PARAM = var.slack_webhook_param_name
+        MAIL_FROM           = var.mail_from
+        SES_REGION          = var.ses_region
+      },
+      var.admin_base_url == "" ? {} : { ADMIN_BASE_URL = var.admin_base_url },
+      length(var.skip_record_log_groups) == 0 ? {} : { SKIP_RECORD_LOG_GROUPS = join(",", var.skip_record_log_groups) }
+    )
+  }
+
+  logging_config {
+    log_format = "JSON"
+    log_group  = aws_cloudwatch_log_group.notify.name
+  }
+
+  depends_on = [aws_iam_role_policy_attachment.notify_logs]
+}
+
+# 再試行は 0（重複を避ける）。失敗は SNS（運用者のメール）へ
+resource "aws_lambda_function_event_invoke_config" "notify" {
+  function_name          = aws_lambda_function.notify.function_name
+  maximum_retry_attempts = 0
+
+  destination_config {
+    on_failure {
+      destination = aws_sns_topic.failure.arn
+    }
+  }
+
+  depends_on = [aws_iam_role_policy.notify, aws_sns_topic_policy.failure]
+}
+
+# --- 入口 1: ログの購読（広めの語句。通知するかはハンドラが厳密に判定する）---
+
+resource "aws_lambda_permission" "logs" {
+  for_each = toset(var.watched_log_group_names)
+
+  statement_id  = "AllowLogs-${replace(each.value, "/", "_")}"
+  action        = "lambda:InvokeFunction"
+  function_name = aws_lambda_function.notify.function_name
+  principal     = "logs.amazonaws.com"
+  source_arn    = "arn:aws:logs:${data.aws_region.current.name}:${data.aws_caller_identity.current.account_id}:log-group:${each.value}:*"
+}
+
+resource "aws_cloudwatch_log_subscription_filter" "notify" {
+  for_each = toset(var.watched_log_group_names)
+
+  name            = "${local.prefix}-notify"
+  log_group_name  = each.value
+  filter_pattern  = "?warn ?error ?fatal ?WARN ?ERROR ?FATAL ?\"Task timed out\" ?\"Runtime exited\" ?Unhandled ?Uncaught ?\"Invoke Error\" ?\"Status: timeout\" ?\"Status: error\" ?timeout"
+  destination_arn = aws_lambda_function.notify.arn
+
+  depends_on = [aws_lambda_permission.logs]
+}
+
+# --- 入口 2: CloudWatch アラームの状態変化（このプロジェクト・環境のアラームだけ）---
+
+resource "aws_cloudwatch_event_rule" "alarms" {
+  name        = "${local.prefix}-notify-alarms"
+  description = "CloudWatch アラームの状態変化を、運用通知へ"
+
+  event_pattern = jsonencode({
+    source        = ["aws.cloudwatch"]
+    "detail-type" = ["CloudWatch Alarm State Change"]
+    detail = {
+      alarmName = [{ prefix = "${local.prefix}-" }]
+    }
+  })
+}
+
+resource "aws_cloudwatch_event_target" "alarms" {
+  rule = aws_cloudwatch_event_rule.alarms.name
+  arn  = aws_lambda_function.notify.arn
+
+  retry_policy {
+    maximum_retry_attempts       = 0
+    maximum_event_age_in_seconds = 3600
+  }
+}
+
+resource "aws_lambda_permission" "alarms" {
+  statement_id  = "AllowEventBridgeAlarms"
+  action        = "lambda:InvokeFunction"
+  function_name = aws_lambda_function.notify.function_name
+  principal     = "events.amazonaws.com"
+  source_arn    = aws_cloudwatch_event_rule.alarms.arn
+}
+
+# --- 入口 3: 生存確認（通知の経路が壊れて無音になることを防ぐ）---
+
+resource "aws_cloudwatch_event_rule" "heartbeat" {
+  name                = "${local.prefix}-notify-heartbeat"
+  description         = "通知の経路が生きていることの確認（Slack に投稿）"
+  schedule_expression = var.heartbeat_schedule
+}
+
+resource "aws_cloudwatch_event_target" "heartbeat" {
+  rule = aws_cloudwatch_event_rule.heartbeat.name
+  arn  = aws_lambda_function.notify.arn
+
+  input = jsonencode({
+    notice = {
+      level   = "ok"
+      event   = "HEARTBEAT"
+      message = "通知の経路は正常です（週 1 回の生存確認）"
+    }
+  })
+
+  retry_policy {
+    maximum_retry_attempts       = 0
+    maximum_event_age_in_seconds = 3600
+  }
+}
+
+resource "aws_lambda_permission" "heartbeat" {
+  statement_id  = "AllowEventBridgeHeartbeat"
+  action        = "lambda:InvokeFunction"
+  function_name = aws_lambda_function.notify.function_name
+  principal     = "events.amazonaws.com"
+  source_arn    = aws_cloudwatch_event_rule.heartbeat.arn
+}

package/terraform/ops-notify/outputs.tf

@@ -0,0 +1,19 @@
+output "function_name" {
+  description = "通知 Lambda の関数名"
+  value       = aws_lambda_function.notify.function_name
+}
+
+output "failure_topic_arn" {
+  description = "通知 Lambda の失敗先の SNS トピックの ARN（運用者のメールに届く）"
+  value       = aws_sns_topic.failure.arn
+}
+
+output "notice_table_name" {
+  description = "重複抑制・流量制限の記録のテーブル名"
+  value       = aws_dynamodb_table.notices.name
+}
+
+output "function_arn" {
+  description = "通知 Lambda の ARN"
+  value       = aws_lambda_function.notify.arn
+}

package/terraform/ops-notify/us-east-1.tf

@@ -0,0 +1,68 @@
+# us-east-1 のアラームの状態変化を、ホームのリージョン（例: Tokyo）の default バスへ転送する（asanowa の ADR-0046 から移した）
+#
+# CloudFront の指標は us-east-1 にしか出ないので、そのアラームも us-east-1 に作る。EventBridge は
+# アラームと同じリージョンのバスにしか届かないため、us-east-1 のルールで Tokyo の default バスへ転送する。
+# Tokyo の既存のルール（alarms）が、転送されたイベント（source・detail-type・detail は保たれる）を拾う。
+#
+# forward_us_east_1_alarms が true のときだけ作る（既定 false）。provider の aws.us_east_1 は、呼び出し側が常に渡す
+# （versions.tf の configuration_aliases。false でも要る）。リソースのアドレス・名前は asanowa の旧モジュールと同じ。
+
+locals {
+  forward_count = var.forward_us_east_1_alarms ? 1 : 0
+}
+
+# 転送先は、Tokyo の default バス
+resource "aws_iam_role" "forward_alarms" {
+  count = local.forward_count
+
+  name = "${local.prefix}-notify-forward-alarms"
+
+  assume_role_policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [{
+      Action    = "sts:AssumeRole"
+      Effect    = "Allow"
+      Principal = { Service = "events.amazonaws.com" }
+    }]
+  })
+}
+
+resource "aws_iam_role_policy" "forward_alarms" {
+  count = local.forward_count
+
+  name = "${local.prefix}-notify-forward-alarms"
+  role = aws_iam_role.forward_alarms[0].id
+
+  policy = jsonencode({
+    Version = "2012-10-17"
+    Statement = [{
+      Effect   = "Allow"
+      Action   = ["events:PutEvents"]
+      Resource = [local.home_default_bus_arn]
+    }]
+  })
+}
+
+locals {
+  home_default_bus_arn = "arn:aws:events:${data.aws_region.current.name}:${data.aws_caller_identity.current.account_id}:event-bus/default"
+}
+
+resource "aws_cloudwatch_event_rule" "alarms_us_east_1" {
+  provider = aws.us_east_1
+  count    = local.forward_count
+
+  name        = "${local.prefix}-notify-alarms-forward"
+  description = "us-east-1 の CloudWatch アラームの状態変化を、Tokyo の運用通知へ転送"
+
+  # Tokyo のルール（alarms）と同じパターン
+  event_pattern = aws_cloudwatch_event_rule.alarms.event_pattern
+}
+
+resource "aws_cloudwatch_event_target" "alarms_us_east_1" {
+  provider = aws.us_east_1
+  count    = local.forward_count
+
+  rule     = aws_cloudwatch_event_rule.alarms_us_east_1[0].name
+  arn      = local.home_default_bus_arn
+  role_arn = aws_iam_role.forward_alarms[0].arn
+}

package/terraform/ops-notify/variables.tf

@@ -0,0 +1,105 @@
+variable "project_name" {
+  description = "プロジェクト名"
+  type        = string
+}
+
+variable "environment" {
+  description = "環境識別子（dev, prd）"
+  type        = string
+}
+
+variable "records_iam_function_url" {
+  description = "Records Lambda の AWS_IAM 認証版 Function URL（管理者の一覧を読む）"
+  type        = string
+}
+
+variable "records_iam_alias_arn" {
+  description = "Records Lambda の IAM 認証用エイリアスの ARN（lambda:InvokeFunctionUrl の Resource）"
+  type        = string
+}
+
+variable "watched_log_group_names" {
+  description = "warn 以上のログを通知する Lambda のロググループ名。通知 Lambda 自身のロググループは入れない（自分のログで無限ループになる）"
+  type        = list(string)
+}
+
+variable "slack_webhook_param_name" {
+  description = "Slack の Webhook の URL を置いた SSM パラメータ（SecureString）の名前。値は Terraform で扱わない（状態に残るため）。アプリの手順で置く"
+  type        = string
+}
+
+variable "mail_from" {
+  description = "メールの送信元（SES の検証済みドメインのアドレス）。空ならメールは送らない"
+  type        = string
+  default     = ""
+}
+
+variable "ses_region" {
+  description = "SES のリージョン（本番アクセス・ドメイン検証が済んだもの）"
+  type        = string
+  default     = "us-east-1"
+}
+
+variable "ses_identity_domain" {
+  description = "SES の検証済みドメイン（送信権限の対象）"
+  type        = string
+  default     = ""
+}
+
+variable "operator_email" {
+  description = "通知 Lambda 自身が失敗したときの届け先（運用者。admins に依存しない最後の砦）。SNS の確認メールが届く"
+  type        = string
+}
+
+variable "heartbeat_schedule" {
+  description = "通知の経路が生きていることの確認（Slack に投稿）の間隔"
+  type        = string
+  default     = "rate(7 days)"
+}
+
+variable "log_retention_days" {
+  description = "CloudWatch Logsの保持期間（日数）"
+  type        = number
+  default     = 7
+}
+
+# --- alerts（通知を管理画面のレコードとして残す。ADR 0003）---
+
+variable "admin_base_url" {
+  description = "管理画面のベース URL。空でなければ alerts に記録し、通知に詳細の URL（<admin_base_url>/alerts/<id>/show）を載せる。空なら記録しない（従来どおり）"
+  type        = string
+  default     = ""
+
+  validation {
+    condition     = var.admin_base_url == "" || can(regex("^https?://[^/]+", var.admin_base_url))
+    error_message = "admin_base_url は空か、http(s):// で始まる URL にしてください。"
+  }
+}
+
+variable "skip_record_log_groups" {
+  description = "alerts に記録しないロググループ（完全一致、または末尾 * の前方一致）。Records Lambda のロググループを必ず入れる（記録の失敗 → Records のエラーログ → 通知 → 記録、のループを防ぐ）。通知は送る。空なら環境変数に入れない"
+  type        = list(string)
+  default     = []
+}
+
+variable "reserved_concurrent_executions" {
+  description = "通知 Lambda の予約同時実行数。既定 null（予約しない。従来どおり）。**1 にするのは alerts の記録を有効にする（admin_base_url を設定する）ときだけ**（同じ alerts レコードへの同時の書き込みを避ける。入れると、記録なしでも通知の遅れ方が変わる。直列化は努力目標で、強制はされない）"
+  type        = number
+  default     = null
+}
+
+variable "source_file" {
+  description = "Lambda の成果物（バンドル済みの 1 ファイル。例: apps/server/dist/notify.cjs）。zip にして使う"
+  type        = string
+}
+
+variable "handler" {
+  description = "Lambda のハンドラ（例: notify.handler）"
+  type        = string
+}
+
+variable "forward_us_east_1_alarms" {
+  description = "us-east-1 の CloudWatch アラーム（CloudFront など。指標が us-east-1 にしか出ないもの）の状態変化を、ホームのリージョンの default バスへ転送するか。転送先のルール（alarms）が拾う。true なら providers の aws.us_east_1 が us-east-1 であること"
+  type        = bool
+  default     = false
+}

package/terraform/ops-notify/versions.tf

@@ -0,0 +1,18 @@
+# provider の版: astro（5.x）と asanowa（6.x）の両方で使う。
+# 下限は Lambda の logging_config（5.x の途中で追加）。上限は data.aws_region の name（6.x で非推奨）が消える 7.x の前まで
+terraform {
+  required_version = ">= 1.5"
+
+  required_providers {
+    aws = {
+      source  = "hashicorp/aws"
+      version = ">= 5.30, < 7.0"
+      # us-east-1 のアラームの転送（us-east-1.tf）。呼び出し側は providers = { aws.us_east_1 = aws.us_east_1 } を常に渡す
+      configuration_aliases = [aws.us_east_1]
+    }
+    archive = {
+      source  = "hashicorp/archive"
+      version = ">= 2.0"
+    }
+  }
+}

package/terraform/system-change-recorder/README.md

@@ -0,0 +1,71 @@
+# システム変更履歴の記録 Lambda Terraformモジュール
+
+ADR 0006 の (b)（1.21.0）。asanowa・astro の `infra/modules/system-change-recorder` を 1 つにしたもの。使い方の詳細は [docs/SYSTEM_CHANGES.md](../../docs/SYSTEM_CHANGES.md)。
+
+## 作るもの
+
+- Lambda `<project>-<env>-system-change-recorder`（Node.js 22、arm64、15 秒、256 MB。構造化ログ JSON）と、そのロググループ・実行ロール
+- 権限: Records の IAM 版 URL の呼び出し（`lambda:InvokeFunctionUrl`）、Slack の webhook のパラメータの読み取り（`slack_webhook_param_name` があるときだけ）。DynamoDB には直接触れない
+- 非同期の呼び出しの再試行 0（同じ入力の再試行は、同じ変更が 2 件になる）
+- 作らないもの: Function URL・EventBridge・`aws_lambda_permission`（呼び出しは人・CI の AWS の認証。`dynamodb-system-change` の CLI）
+
+## 前提
+
+- 参照は `node_modules` のパス（版は npm の版で固定される。git の `ref` ではない）。例: アプリの infra が `infra/` なら `source = "../node_modules/@exabugs/dynamodb-client/terraform/system-change-recorder"`、`infra/apps/<app>/` なら `"../../../node_modules/..."`
+- **Lambda の成果物はアプリが作り、`source_file`（バンドル済みの 1 ファイル）と `handler` で渡す**。エントリはアプリの数行（`createSystemChangeHandler`。アプリ名や、権限チェック層を通すアプリの包み方を渡す）なので、ライブラリの dist は使わない
+- zip は `${path.root}/.terraform/archives/system-change-recorder.zip` に作る（`path.module` を使わない。pnpm の版つきのパスが state に入ると、版を上げるたびに差分が出るため）
+- pnpm では、版を上げた後に `.terraform/modules` を消してから `terraform init` する（[../README.md](../README.md) の注意）
+- モジュール全体の `depends_on` は使わない（依存先に変更があると、中のデータソースが apply 時の読み取りになり、既存のリソースが作り直しになる）。依存は、出力の値（`log_group_name` など）で渡す
+
+## 使い方
+
+```hcl
+module "system_change_recorder" {
+  source = "../node_modules/@exabugs/dynamodb-client/terraform/system-change-recorder"
+
+  project_name             = var.project_name
+  environment              = var.environment
+  records_iam_function_url = module.records.iam_function_url
+  records_iam_alias_arn    = module.records.iam_alias_arn
+  log_retention_days       = var.log_retention_days
+
+  # アプリのバンドル（エントリは createSystemChangeHandler の数行）
+  source_file = "${path.root}/../apps/server/dist/system-change-recorder.cjs"
+  handler     = "system-change-recorder.handler"
+
+  slack_webhook_param_name = "/${var.project_name}/${var.environment}/ops/slack-webhook"
+  admin_base_url           = var.ops_admin_base_url
+}
+```
+
+## 変数
+
+| 変数                                                 | 既定    | 説明                                                                          |
+| ---------------------------------------------------- | ------- | ----------------------------------------------------------------------------- |
+| `project_name` / `environment`                       | 必須    | 名前の接頭辞 `<project>-<env>`。環境変数 `PROJECT_NAME` / `ENV_NAME`          |
+| `records_iam_function_url` / `records_iam_alias_arn` | 必須    | Records の IAM 版 Function URL と、そのエイリアスの ARN（呼び出し権限の対象） |
+| `source_file` / `handler`                            | 必須    | アプリのバンドル（1 ファイル）と、ハンドラ                                    |
+| `log_retention_days`                                 | 7       | ロググループの保持日数                                                        |
+| `slack_webhook_param_name`                           | `""`    | Slack の webhook の SSM パラメータ名（SecureString）。空なら Slack に送らない |
+| `admin_base_url`                                     | `""`    | 管理画面の URL（Slack の通知に詳細のリンクを付ける）                          |
+| `notify_started`                                     | `false` | 「開始」も Slack に送るか                                                     |
+
+## 出力
+
+`function_name`（CLI の `--function` の既定と同じ名前）、`function_arn`、`log_group_name`（ops-notify に購読させる）
+
+## アプリに残るもの
+
+- 上の module ブロック（`source`・`source_file`・`handler` と設定の値）
+- Lambda のエントリ（`createSystemChangeHandler` を呼ぶ数行）とバンドルの作成（esbuild など）
+- 秘密（webhook の URL など）の SSM パラメータの作成
+
+## アプリのモジュールからの移行（置き換えを起こさない）
+
+リソースのアドレス・名前は、asanowa / astro の旧モジュール（`infra/modules/system-change-recorder`）と同じ。**module ブロックの名前（`module "system_change_recorder"`）を変えずに `source` だけを差し替え**、`source_file`・`handler` を足す。アドレスが変わらないので `moved` は要らない（ラッパーのモジュールで包むと、アドレスが変わり `moved` が要る）。
+
+1. `terraform init`（モジュールの取り直し）→ `terraform plan`
+2. **0 to add / 0 to destroy、`must be replaced` が無い**ことを確かめる。出てよいのは in-place の更新だけ（文言の差。asanowa / astro では Lambda の description の ADR の番号が消える）
+3. 確認のうえ apply。旧モジュールのディレクトリを消す
+
+詳細と実機の確認は [ADR 0006](../../docs/adr/0006-library-owns-table-operations.md) の段階 6。