@exabugs/dynamodb-client 1.5.1 → 1.5.3

package/dist/server/utils/authHandler.d.ts

@@ -2,8 +2,46 @@
  * 認証ハンドラー
  *
  * IAM認証とCognito JWT認証を処理する
+ *
+ * このLambdaは2本のFunction URLから呼ばれる:
+ * - NONE認証のURL（ブラウザ・Admin UI向け）: Cognito JWTのみを受け付ける
+ * - AWS_IAM認証のURL（サーバー間呼び出し向け）: AWSが署名検証済みのリクエストのみ到達する
+ *
+ * 旧実装はAuthorization/x-amz-date等のヘッダーの「見た目」でIAM認証とみなしていたが、
+ * これらはクライアントが自由に送れる値であり、NONE認証のURL上では一切検証されない
+ * （署名検証はAWS_IAM認証のURL上でAWS自身が行うものであり、NONEのURLには存在しない）。
+ * そのため誰でも `x-amz-date` 等のヘッダーを送るだけでIAM認証を騙り、全リソースへの
+ * 認証なしアクセスが可能になっていた。
+ *
+ * 修正後は `event.requestContext.authorizer.iam` の有無で判定する。この値はAWS_IAM認証の
+ * Function URLが実際に署名検証に成功した場合にのみAWS側が付与するものであり、
+ * クライアントが送るヘッダーからは偽装できない。
  */
 import type { APIGatewayProxyEventV2 } from 'aws-lambda';
+/**
+ * AWS_IAM認証のFunction URLがリクエストに付与するコンテキスト
+ * （AWS Lambda公式の型定義 APIGatewayEventRequestContextIAMAuthorizer と同じ形）
+ */
+interface IAMAuthorizerContext {
+    accessKey: string;
+    accountId: string;
+    callerId: string;
+    cognitoIdentity: null;
+    principalOrgId: string;
+    userArn: string;
+    userId: string;
+}
+/**
+ * NONE/AWS_IAM両方のFunction URLから届き得るイベント
+ * （同一のLambdaコードが両方のURLから呼ばれるため、authorizerはオプショナル）
+ */
+type RecordsEvent = APIGatewayProxyEventV2 & {
+    requestContext: {
+        authorizer?: {
+            iam?: IAMAuthorizerContext;
+        };
+    };
+};
 /**
  * 認証を処理する
  *
@@ -12,5 +50,6 @@ import type { APIGatewayProxyEventV2 } from 'aws-lambda';
  * @returns 認証が成功した場合はvoid、失敗した場合は例外をスロー
  * @throws {Error} 認証に失敗した場合
  */
-export declare function handleAuthentication(event: APIGatewayProxyEventV2, requestId: string): Promise<void>;
+export declare function handleAuthentication(event: RecordsEvent, requestId: string): Promise<void>;
+export {};
 //# sourceMappingURL=authHandler.d.ts.map

package/dist/server/utils/authHandler.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"authHandler.d.ts","sourceRoot":"","sources":["../../../src/server/utils/authHandler.ts"],"names":[],"mappings":"AAAA;;;;GAIG;AACH,OAAO,KAAK,EAAE,sBAAsB,EAAE,MAAM,YAAY,CAAC;AAazD;;;;;;;GAOG;AACH,wBAAsB,oBAAoB,CACxC,KAAK,EAAE,sBAAsB,EAC7B,SAAS,EAAE,MAAM,GAChB,OAAO,CAAC,IAAI,CAAC,CAgCf"}
+{"version":3,"file":"authHandler.d.ts","sourceRoot":"","sources":["../../../src/server/utils/authHandler.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;GAkBG;AACH,OAAO,KAAK,EAAE,sBAAsB,EAAE,MAAM,YAAY,CAAC;AAazD;;;GAGG;AACH,UAAU,oBAAoB;IAC5B,SAAS,EAAE,MAAM,CAAC;IAClB,SAAS,EAAE,MAAM,CAAC;IAClB,QAAQ,EAAE,MAAM,CAAC;IACjB,eAAe,EAAE,IAAI,CAAC;IACtB,cAAc,EAAE,MAAM,CAAC;IACvB,OAAO,EAAE,MAAM,CAAC;IAChB,MAAM,EAAE,MAAM,CAAC;CAChB;AAED;;;GAGG;AACH,KAAK,YAAY,GAAG,sBAAsB,GAAG;IAC3C,cAAc,EAAE;QACd,UAAU,CAAC,EAAE;YACX,GAAG,CAAC,EAAE,oBAAoB,CAAC;SAC5B,CAAC;KACH,CAAC;CACH,CAAC;AAEF;;;;;;;GAOG;AACH,wBAAsB,oBAAoB,CACxC,KAAK,EAAE,YAAY,EACnB,SAAS,EAAE,MAAM,GAChB,OAAO,CAAC,IAAI,CAAC,CAYf"}

package/dist/server/utils/authHandler.js

@@ -16,47 +16,28 @@ const logger = createLogger({
  * @throws {Error} 認証に失敗した場合
  */
 export async function handleAuthentication(event, requestId) {
-    // 認証チェック: IAMまたはCognito JWT
-    // Lambda Function URLがNONEの場合、両方の認証方式をサポート
-    const authHeader = event.headers.authorization || event.headers.Authorization;
-    // AWS SigV4署名の検出（複数のヘッダーで判定）
-    const hasAmzDate = event.headers['x-amz-date'] || event.headers['X-Amz-Date'];
-    const hasAmzContentSha = event.headers['x-amz-content-sha256'] || event.headers['X-Amz-Content-Sha256'];
-    const hasAwsSigV4Auth = authHeader?.startsWith('AWS4-HMAC-SHA256');
-    // デバッグ: ヘッダーをログ出力
-    logger.debug('Authentication check', {
-        requestId,
-        hasAuthHeader: !!authHeader,
-        hasAmzDate: !!hasAmzDate,
-        hasAmzContentSha: !!hasAmzContentSha,
-        hasAwsSigV4Auth: !!hasAwsSigV4Auth,
-        authHeaderPrefix: authHeader?.substring(0, 20),
-    });
-    // IAM認証チェック（AWS SigV4署名の特徴的なヘッダーで判定）
-    // 以下のいずれかの条件を満たす場合、IAM認証とみなす:
-    // 1. AuthorizationヘッダーがAWS4-HMAC-SHA256で始まる
-    // 2. x-amz-dateとx-amz-content-sha256の両方が存在する
-    const isIAMAuth = hasAwsSigV4Auth || !!(hasAmzDate && hasAmzContentSha);
-    if (isIAMAuth) {
-        await handleIAMAuthentication(event, requestId);
-    }
-    else {
-        await handleCognitoAuthentication(authHeader, requestId);
+    const iam = event.requestContext.authorizer?.iam;
+    if (iam) {
+        // AWS_IAM認証のFunction URL経由。AWSが署名検証済みであり、この値はクライアントから偽装できない
+        handleIAMAuthentication(iam, requestId);
+        return;
     }
+    // NONE認証のFunction URL経由。Cognito JWTのみを受け付ける
+    const authHeader = event.headers.authorization || event.headers.Authorization;
+    await handleCognitoAuthentication(authHeader, requestId);
 }
 /**
- * IAM認証を処理する
+ * IAM認証済みリクエストを処理する
  *
- * @param event - Lambda Function URLイベント
+ * @param iam - AWSが検証済みのIAM認証コンテキスト（偽装不可）
  * @param requestId - リクエストID
  */
-async function handleIAMAuthentication(event, requestId) {
-    // IAM認証（スクリプトからのアクセス）
-    // Lambda Function URLがNONEの場合、署名検証は行われないため、
-    // ここではIAM認証として扱うが、実際の検証はAWS側で行われる
+function handleIAMAuthentication(iam, requestId) {
     logger.info('IAM authenticated request', {
         requestId,
-        sourceIp: event.requestContext.http.sourceIp,
+        userArn: iam.userArn,
+        accountId: iam.accountId,
+        callerId: iam.callerId,
     });
 }
 /**

package/dist/server/utils/authHandler.js.map

@@ -1 +1 @@
-{"version":3,"file":"authHandler.js","sourceRoot":"","sources":["../../../src/server/utils/authHandler.ts"],"names":[],"mappings":"AAOA,OAAO,EAAE,YAAY,EAAE,MAAM,uBAAuB,CAAC;AACrD,OAAO,EAAE,gBAAgB,EAAE,MAAM,WAAW,CAAC;AAE7C;;GAEG;AACH,MAAM,MAAM,GAAG,YAAY,CAAC;IAC1B,OAAO,EAAE,cAAc;IACvB,KAAK,EAAG,OAAO,CAAC,GAAG,CAAC,SAAiD,IAAI,MAAM;CAChF,CAAC,CAAC;AAEH;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,oBAAoB,CACxC,KAA6B,EAC7B,SAAiB;IAEjB,4BAA4B;IAC5B,2CAA2C;IAC3C,MAAM,UAAU,GAAG,KAAK,CAAC,OAAO,CAAC,aAAa,IAAI,KAAK,CAAC,OAAO,CAAC,aAAa,CAAC;IAE9E,6BAA6B;IAC7B,MAAM,UAAU,GAAG,KAAK,CAAC,OAAO,CAAC,YAAY,CAAC,IAAI,KAAK,CAAC,OAAO,CAAC,YAAY,CAAC,CAAC;IAC9E,MAAM,gBAAgB,GACpB,KAAK,CAAC,OAAO,CAAC,sBAAsB,CAAC,IAAI,KAAK,CAAC,OAAO,CAAC,sBAAsB,CAAC,CAAC;IACjF,MAAM,eAAe,GAAG,UAAU,EAAE,UAAU,CAAC,kBAAkB,CAAC,CAAC;IAEnE,kBAAkB;IAClB,MAAM,CAAC,KAAK,CAAC,sBAAsB,EAAE;QACnC,SAAS;QACT,aAAa,EAAE,CAAC,CAAC,UAAU;QAC3B,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,gBAAgB,EAAE,CAAC,CAAC,gBAAgB;QACpC,eAAe,EAAE,CAAC,CAAC,eAAe;QAClC,gBAAgB,EAAE,UAAU,EAAE,SAAS,CAAC,CAAC,EAAE,EAAE,CAAC;KAC/C,CAAC,CAAC;IAEH,qCAAqC;IACrC,8BAA8B;IAC9B,4CAA4C;IAC5C,6CAA6C;IAC7C,MAAM,SAAS,GAAG,eAAe,IAAI,CAAC,CAAC,CAAC,UAAU,IAAI,gBAAgB,CAAC,CAAC;IAExE,IAAI,SAAS,EAAE,CAAC;QACd,MAAM,uBAAuB,CAAC,KAAK,EAAE,SAAS,CAAC,CAAC;IAClD,CAAC;SAAM,CAAC;QACN,MAAM,2BAA2B,CAAC,UAAU,EAAE,SAAS,CAAC,CAAC;IAC3D,CAAC;AACH,CAAC;AAED;;;;;GAKG;AACH,KAAK,UAAU,uBAAuB,CACpC,KAA6B,EAC7B,SAAiB;IAEjB,sBAAsB;IACtB,4CAA4C;IAC5C,kCAAkC;IAClC,MAAM,CAAC,IAAI,CAAC,2BAA2B,EAAE;QACvC,SAAS;QACT,QAAQ,EAAE,KAAK,CAAC,cAAc,CAAC,IAAI,CAAC,QAAQ;KAC7C,CAAC,CAAC;AACL,CAAC;AAED;;;;;;GAMG;AACH,KAAK,UAAU,2BAA2B,CACxC,UAA8B,EAC9B,SAAiB;IAEjB,6BAA6B;IAC7B,MAAM,UAAU,GAAG,OAAO,CAAC,GAAG,CAAC,oBAAoB,CAAC;IACpD,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,iBAAiB,CAAC,CAAC,QAAQ;IAExD,IAAI,CAAC,UAAU,EAAE,CAAC;QAChB,MAAM,IAAI,KAAK,CAAC,uDAAuD,CAAC,CAAC;IAC3E,CAAC;IAED,MAAM,UAAU,GAAG,MAAM,gBAAgB,CAAC,UAAU,EAAE,UAAU,EAAE,QAAQ,CAAC,CAAC;IAE5E,MAAM,CAAC,KAAK,CAAC,sBAAsB,EAAE;QACnC,SAAS;QACT,GAAG,EAAE,UAAU,CAAC,GAAG;QACnB,KAAK,EAAE,UAAU,CAAC,KAAK;KACxB,CAAC,CAAC;IAEH,kBAAkB;IAClB,uCAAuC;AACzC,CAAC"}
+{"version":3,"file":"authHandler.js","sourceRoot":"","sources":["../../../src/server/utils/authHandler.ts"],"names":[],"mappings":"AAqBA,OAAO,EAAE,YAAY,EAAE,MAAM,uBAAuB,CAAC;AACrD,OAAO,EAAE,gBAAgB,EAAE,MAAM,WAAW,CAAC;AAE7C;;GAEG;AACH,MAAM,MAAM,GAAG,YAAY,CAAC;IAC1B,OAAO,EAAE,cAAc;IACvB,KAAK,EAAG,OAAO,CAAC,GAAG,CAAC,SAAiD,IAAI,MAAM;CAChF,CAAC,CAAC;AA4BH;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,oBAAoB,CACxC,KAAmB,EACnB,SAAiB;IAEjB,MAAM,GAAG,GAAG,KAAK,CAAC,cAAc,CAAC,UAAU,EAAE,GAAG,CAAC;IAEjD,IAAI,GAAG,EAAE,CAAC;QACR,4DAA4D;QAC5D,uBAAuB,CAAC,GAAG,EAAE,SAAS,CAAC,CAAC;QACxC,OAAO;IACT,CAAC;IAED,4CAA4C;IAC5C,MAAM,UAAU,GAAG,KAAK,CAAC,OAAO,CAAC,aAAa,IAAI,KAAK,CAAC,OAAO,CAAC,aAAa,CAAC;IAC9E,MAAM,2BAA2B,CAAC,UAAU,EAAE,SAAS,CAAC,CAAC;AAC3D,CAAC;AAED;;;;;GAKG;AACH,SAAS,uBAAuB,CAAC,GAAyB,EAAE,SAAiB;IAC3E,MAAM,CAAC,IAAI,CAAC,2BAA2B,EAAE;QACvC,SAAS;QACT,OAAO,EAAE,GAAG,CAAC,OAAO;QACpB,SAAS,EAAE,GAAG,CAAC,SAAS;QACxB,QAAQ,EAAE,GAAG,CAAC,QAAQ;KACvB,CAAC,CAAC;AACL,CAAC;AAED;;;;;;GAMG;AACH,KAAK,UAAU,2BAA2B,CACxC,UAA8B,EAC9B,SAAiB;IAEjB,6BAA6B;IAC7B,MAAM,UAAU,GAAG,OAAO,CAAC,GAAG,CAAC,oBAAoB,CAAC;IACpD,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,iBAAiB,CAAC,CAAC,QAAQ;IAExD,IAAI,CAAC,UAAU,EAAE,CAAC;QAChB,MAAM,IAAI,KAAK,CAAC,uDAAuD,CAAC,CAAC;IAC3E,CAAC;IAED,MAAM,UAAU,GAAG,MAAM,gBAAgB,CAAC,UAAU,EAAE,UAAU,EAAE,QAAQ,CAAC,CAAC;IAE5E,MAAM,CAAC,KAAK,CAAC,sBAAsB,EAAE;QACnC,SAAS;QACT,GAAG,EAAE,UAAU,CAAC,GAAG;QACnB,KAAK,EAAE,UAAU,CAAC,KAAK;KACxB,CAAC,CAAC;IAEH,kBAAkB;IAClB,uCAAuC;AACzC,CAAC"}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@exabugs/dynamodb-client",
-  "version": "1.5.1",
+  "version": "1.5.3",
   "description": "DynamoDB Single-Table Client SDK with MongoDB-like API, Shadow Records, and Lambda implementation for serverless applications",
   "author": "exabugs",
   "license": "MIT",
@@ -87,7 +87,32 @@
       "import": "./dist/mcp/index.js",
       "types": "./dist/mcp/index.d.ts"
     },
-    "./terraform": "./terraform/main.tf"
+    "./server/media/presign": {
+      "import": "./dist/server/media/presign.js",
+      "types": "./dist/server/media/presign.d.ts"
+    },
+    "./server/media-process-handler": {
+      "import": "./dist/server/media-process-handler.cjs",
+      "types": "./dist/server/media/process-handler.d.ts"
+    },
+    "./server/media-process-handler-dlq": {
+      "import": "./dist/server/media-process-handler-dlq.cjs",
+      "types": "./dist/server/media/process-handler-dlq.d.ts"
+    },
+    "./server/media-handler": {
+      "import": "./dist/server/media-handler.cjs",
+      "types": "./dist/server/media/media-handler.d.ts"
+    },
+    "./server/media-sign": {
+      "import": "./dist/server/media/sign.js",
+      "types": "./dist/server/media/sign.d.ts"
+    },
+    "./types/media": {
+      "import": "./dist/server/media/types.js",
+      "types": "./dist/server/media/types.d.ts"
+    },
+    "./terraform": "./terraform/main.tf",
+    "./terraform/media": "./terraform/media/main.tf"
   },
   "peerDependencies": {
     "react-admin": "^5.0.0"
@@ -99,9 +124,10 @@
   },
   "scripts": {
     "prebuild": "npm run generate-types",
-    "build": "tsc && node esbuild.config.js",
+    "build": "tsc && node esbuild.config.js && npm run build:sharp-layer",
     "build:client": "tsc",
     "build:lambda": "node esbuild.config.js",
+    "build:sharp-layer": "bash scripts/build-sharp-layer.sh",
     "clean": "rm -rf dist",
     "lint": "eslint src --ext ts --max-warnings 0",
     "format": "prettier --write .",
@@ -119,8 +145,12 @@
   "dependencies": {
     "@aws-crypto/sha256-js": "5.2.0",
     "@aws-sdk/client-dynamodb": "3.946.0",
+    "@aws-sdk/client-s3": "3.946.0",
+    "@aws-sdk/client-ssm": "3.946.0",
+    "@aws-sdk/cloudfront-signer": "3.946.0",
     "@aws-sdk/credential-provider-node": "3.946.0",
     "@aws-sdk/lib-dynamodb": "3.946.0",
+    "@aws-sdk/s3-presigned-post": "3.946.0",
     "@modelcontextprotocol/sdk": "^1.26.0",
     "@smithy/protocol-http": "5.3.5",
     "@smithy/signature-v4": "5.3.5",
@@ -146,6 +176,7 @@
     "orval": "^8.2.0",
     "prettier": "^3.0.0",
     "react-admin": "^5.0.0",
+    "sharp": "^0.35.5",
     "tsx": "^4.21.0",
     "typescript": "^5.3.0",
     "vitest": "^2.0.0",

package/terraform/main.tf

@@ -116,6 +116,7 @@ resource "aws_lambda_function" "records" {
       REGION               = var.region
       TABLE_NAME           = var.dynamodb_table_name
       COGNITO_USER_POOL_ID = var.cognito_user_pool_id
+      COGNITO_CLIENT_ID    = var.cognito_client_id
       LOG_LEVEL            = var.log_level
       # シャドウ設定（環境変数ベース）
       SHADOW_CREATED_AT_FIELD = var.shadow_created_at_field
@@ -168,6 +169,38 @@ resource "aws_lambda_permission" "function_url" {
   principal              = "*"
   function_url_auth_type = "NONE"
 }
+
+# サーバー間（Lambda-to-Lambda）呼び出し専用のエイリアス
+# NONE認証のFunction URL（上記）とは別に、AWS_IAM認証のFunction URLをこのエイリアス経由で公開する。
+# 同一のLambda関数コード（$LATEST）を指すが、Function URLは修飾子（エイリアス）ごとに1本しか
+# 設定できないため、2本目のURLを持つにはエイリアスが必要。
+resource "aws_lambda_alias" "iam" {
+  name             = "iam"
+  description      = "サーバー間呼び出し用（AWS_IAM認証のFunction URL向け）"
+  function_name    = aws_lambda_function.records.function_name
+  function_version = "$LATEST"
+}
+
+# AWS_IAM認証のLambda Function URL
+# サーバー間呼び出し元（モバイルBFF・weather Lambda・運用スクリプト等）はこちらを使う。
+# NONE認証URLと異なり、呼び出し元のIAMロールにlambda:InvokeFunctionUrl権限が必要で、
+# AWSが実際にSigV4署名を検証する（NONE側のような「なんちゃってIAM認証」ではない）。
+resource "aws_lambda_function_url" "records_iam" {
+  function_name      = aws_lambda_function.records.function_name
+  qualifier          = aws_lambda_alias.iam.name
+  authorization_type = "AWS_IAM"
+
+  cors {
+    allow_origins     = ["*"]
+    allow_methods     = ["GET", "POST", "PUT", "DELETE"]
+    allow_headers     = ["content-type", "authorization", "x-amz-date", "x-api-key", "x-amz-security-token"]
+    expose_headers    = ["content-type", "x-amzn-requestid"]
+    allow_credentials = false
+    max_age           = 86400 # 24時間
+  }
+
+  depends_on = [aws_lambda_alias.iam]
+}
 # Parameter Store モジュール
 module "parameter_store" {
   source = "./modules/parameter-store"
@@ -178,8 +211,9 @@ module "parameter_store" {
   region       = var.region
 
   # Records Lambda設定
-  records_function_url = aws_lambda_function_url.records.function_url
-  records_function_arn = aws_lambda_function.records.arn
+  records_function_url     = aws_lambda_function_url.records.function_url
+  records_iam_function_url = aws_lambda_function_url.records_iam.function_url
+  records_function_arn     = aws_lambda_function.records.arn
 
   # Cognito設定
   cognito_user_pool_id = var.cognito_user_pool_id

package/terraform/media/README.md

@@ -0,0 +1,64 @@
+# メディア機能 Terraformモジュール
+
+ファイルアップロード・処理（EXIF除去・リサイズ）・配信機能をデプロイするTerraformモジュールです。
+
+詳細設計: [../../docs/media-design.md](../../docs/media-design.md)
+決定事項・トレードオフ: [../../docs/adr/0002-media-design.md](../../docs/adr/0002-media-design.md)
+
+## 概要
+
+このモジュールは、以下のリソースをデプロイします：
+
+- S3バケット（raw/master/cache の3プレフィックス、完全非公開）
+- sharp Lambda Layer（`scripts/build-sharp-layer.sh`で事前ビルドが必要）
+- process-handler Lambda（S3 ObjectCreatedトリガー、EXIF除去・リサイズ・master配置）
+- process-handler-dlq Lambda（SQS DLQトリガー、処理失敗時のfailedレコード書き込み）
+- media-handler Lambda（CloudFront `/resize/*` 専用オリジン、オンデマンドリサイズ）
+- CloudFront Distribution（`/master/*`はS3直接配信、`/resize/*`はmedia-handler経由、両方とも署名付きURL必須）
+- CloudFront Public Key / Key Group（署名鍵は呼び出し側がSSM Parameter Storeに別途登録する）
+
+**含まないもの**: presign/署名URL発行用のLambda。「誰にpresign/署名URLを発行してよいか」の認可判断はアプリごとに異なるため、呼び出し側は既存のHTTP APIレイヤー（認証・権限チェック済み）から `../../src/server/media/presign.ts`・`sign.ts` を直接呼び出して自前のLambda/ルートに組み込んでください。
+
+## 前提条件
+
+1. `npm run build`（`scripts/build-sharp-layer.sh`を含む。Dockerが必要）を実行し、`dist/`配下にLambda成果物を生成しておくこと
+2. 署名鍵（RSA 2048bit）を生成し、公開鍵を`signing_public_key_param`で指定するSSM Parameterに登録しておくこと（秘密鍵は呼び出し側のpresign/署名URL発行処理が別途SSM経由で取得する）
+3. image policy（`masterMaxDimension`・`allowedContentTypes`・`maxUploadSize`）のJSONを`image_policy_param`で指定するSSM Parameterに登録しておくこと
+
+## 使用方法
+
+```hcl
+module "media" {
+  source = "github.com/exabugs/dynamodb-client//terraform/media"
+
+  project_name = "my-project"
+  environment  = "dev"
+  region       = "ap-northeast-1"
+
+  table_name = module.dynamodb.table_name
+  table_arn  = module.dynamodb.table_arn
+
+  signing_public_key_param = "/my-project/dev/media/signing-public-key"
+  image_policy_param       = "/my-project/dev/media/image-policy"
+
+  # カスタムドメイン使用時のみ（省略時はCloudFrontのデフォルトドメインを使う）
+  domain_name         = "media.dev.example.com"
+  acm_certificate_arn = module.cloudfront.certificate_arn # us-east-1リージョンの証明書
+  route53_zone_id     = var.route53_zone_id
+}
+```
+
+`module.media`のoutput（`key_pair_id`・`base_url`）を、presign/署名URL発行を行う呼び出し側のLambdaへ変数として渡してください。
+
+## 依存関係の向き
+
+本モジュールは呼び出し側の既存CloudFront・テーブルARNに依存しません（片方向）。循環依存を避けるため、呼び出し側のLambdaが`module.media`のoutputに依存する向きで配線してください。
+
+## 検証
+
+```bash
+terraform init -backend=false
+terraform validate
+```
+
+実際の`terraform plan`/`apply`にはAWS認証情報とダミーでない変数値が必要です。