@exabugs/dynamodb-client 1.5.2 → 1.6.0

package/terraform/media/outputs.tf

@@ -0,0 +1,66 @@
+# メディア機能モジュール出力
+
+output "bucket_name" {
+  description = "メディア用S3バケット名"
+  value       = aws_s3_bucket.media.bucket
+}
+
+output "bucket_arn" {
+  description = "メディア用S3バケットARN"
+  value       = aws_s3_bucket.media.arn
+}
+
+output "cloudfront_distribution_id" {
+  description = "メディア配信用CloudFront Distribution ID"
+  value       = aws_cloudfront_distribution.media.id
+}
+
+output "cloudfront_domain_name" {
+  description = "メディア配信用CloudFrontドメイン名（カスタムドメイン未設定時はこちらを使う）"
+  value       = aws_cloudfront_distribution.media.domain_name
+}
+
+output "base_url" {
+  description = "署名付きURL発行時に使う配信ベースURL（カスタムドメイン優先）"
+  value       = "https://${coalesce(var.domain_name, aws_cloudfront_distribution.media.domain_name)}"
+}
+
+output "key_pair_id" {
+  description = "CloudFront署名用のKey Pair ID。sign.tsのkeyPairId引数に渡す"
+  value       = aws_cloudfront_public_key.media.id
+}
+
+output "key_group_id" {
+  description = "CloudFront Key Group ID"
+  value       = aws_cloudfront_key_group.media.id
+}
+
+output "process_handler_function_name" {
+  description = "process-handler Lambda関数名"
+  value       = aws_lambda_function.process_handler.function_name
+}
+
+output "process_handler_function_arn" {
+  description = "process-handler Lambda関数ARN"
+  value       = aws_lambda_function.process_handler.arn
+}
+
+output "process_handler_dlq_url" {
+  description = "process-handlerの失敗レコードを受け取るSQS DLQのURL"
+  value       = aws_sqs_queue.process_handler_dlq.url
+}
+
+output "media_handler_function_name" {
+  description = "media-handler Lambda関数名"
+  value       = aws_lambda_function.media_handler.function_name
+}
+
+output "media_handler_function_arn" {
+  description = "media-handler Lambda関数ARN"
+  value       = aws_lambda_function.media_handler.arn
+}
+
+output "sharp_layer_arn" {
+  description = "sharp Lambda LayerのARN"
+  value       = aws_lambda_layer_version.sharp.arn
+}

package/terraform/media/variables.tf

@@ -0,0 +1,117 @@
+# メディア機能モジュール変数定義
+
+variable "project_name" {
+  description = "プロジェクト名"
+  type        = string
+}
+
+variable "environment" {
+  description = "環境識別子（dev, stg, prd）"
+  type        = string
+}
+
+variable "region" {
+  description = "AWSリージョン"
+  type        = string
+}
+
+variable "table_name" {
+  description = "呼び出し側の既存DynamoDBテーブル名（mediaリソースを相乗りさせる）"
+  type        = string
+}
+
+variable "table_arn" {
+  description = "呼び出し側の既存DynamoDBテーブルARN"
+  type        = string
+}
+
+variable "image_cache_ttl_days" {
+  description = "cache/{fileId}/{width}（オンデマンドリサイズ結果）のS3 Lifecycleによる自動削除までの日数"
+  type        = number
+  default     = 30
+}
+
+variable "allowed_upload_origins" {
+  description = "presigned POSTでのブラウザアップロードを許可するオリジン（例: Admin UIのドメイン）。空配列の場合はCORS設定自体を作らない（モバイルのみの利用等、ブラウザアップロードが不要な場合）"
+  type        = list(string)
+  default     = []
+}
+
+# 呼び出し側の既存テーブルに相乗りするため、process-handlerが生成するShadow Recordsの
+# 形式は呼び出し側の既存Lambda（records等）の設定と一致させる必要がある
+# （詳細: docs/media-design.md「環境変数の一致」）。既定値は本体（terraform/variables.tf）と揃える。
+variable "shadow_created_at_field" {
+  description = "作成日時フィールド名（呼び出し側の既存設定と一致させること）"
+  type        = string
+  default     = "createdAt"
+}
+
+variable "shadow_updated_at_field" {
+  description = "更新日時フィールド名（呼び出し側の既存設定と一致させること）"
+  type        = string
+  default     = "updatedAt"
+}
+
+variable "shadow_string_max_bytes" {
+  description = "プリミティブ型の最大バイト数（呼び出し側の既存設定と一致させること）"
+  type        = number
+  default     = 100
+}
+
+variable "shadow_number_padding" {
+  description = "数値のパディング桁数（呼び出し側の既存設定と一致させること）"
+  type        = number
+  default     = 15
+}
+
+variable "signing_public_key_param" {
+  description = "CloudFront署名用の公開鍵（PEM形式）を保持するSSM Parameter名。値そのものは呼び出し側が別途登録する"
+  type        = string
+}
+
+variable "image_policy_param" {
+  description = "image policy（masterMaxDimension・allowedContentTypes・maxUploadSize）のJSONを保持するSSM Parameter名。値そのものは呼び出し側が別途登録する"
+  type        = string
+}
+
+variable "log_retention_days" {
+  description = "CloudWatch Logsの保持期間（日数）"
+  type        = number
+  default     = 7
+}
+
+variable "process_handler_timeout" {
+  description = "process-handler Lambdaのタイムアウト（秒）"
+  type        = number
+  default     = 60
+}
+
+variable "process_handler_memory_size" {
+  description = "process-handler Lambdaのメモリサイズ（MB）"
+  type        = number
+  default     = 1024
+}
+
+variable "media_handler_memory_size" {
+  description = "media-handler Lambdaのメモリサイズ（MB）"
+  type        = number
+  default     = 1024
+}
+
+variable "domain_name" {
+  description = "配信用CloudFrontのカスタムドメイン名（省略時はCloudFrontのデフォルトドメインを使う）"
+  type        = string
+  default     = null
+}
+
+variable "acm_certificate_arn" {
+  description = "domain_name指定時に使うACM証明書ARN（us-east-1リージョンのものである必要がある）"
+  type        = string
+  default     = null
+}
+
+variable "route53_zone_id" {
+  description = "domain_name指定時にAliasレコードを作成するRoute53 Hosted Zone ID（省略時はDNSレコードを作成しない）"
+  type        = string
+  default     = null
+}

package/terraform/modules/parameter-store/main.tf

@@ -9,6 +9,11 @@ locals {
 }
 
 # DynamoDB Client API URL (外部参照用)
+# NONE認証。ブラウザ・Admin UI（Cognito JWT）向け。
+# サーバー間呼び出し・運用スクリプト（IAM署名）はこちらを使わないこと
+# （IAM認証バイパス脆弱性の修正でNONE URLからIAM認証の分岐が削除された。
+# ADR: dynamodb-client/docs/adr/0001-fix-iam-auth-bypass.md）。
+# 下のinfra_dynamodb_client_api_iam_urlを使う。
 resource "aws_ssm_parameter" "infra_dynamodb_client_api_url" {
   name      = "/${var.project_name}/${var.environment}/infra/dynamodb-client-api-url"
   type      = local.parameter_type
@@ -16,7 +21,27 @@ resource "aws_ssm_parameter" "infra_dynamodb_client_api_url" {
   value     = var.records_function_url
   overwrite = true
 
-  description = "DynamoDB Client API URL (for Admin UI and internal Lambdas)"
+  description = "DynamoDB Client API URL, NONE auth (for Admin UI / Cognito JWT clients only)"
+
+  tags = {
+    Environment = var.environment
+    ManagedBy   = "terraform"
+    Category    = "infra-info"
+  }
+}
+
+# DynamoDB Client API URL, AWS_IAM認証版 (外部参照用)
+# サーバー間呼び出し・運用スクリプト（IAM署名クライアント）向け
+resource "aws_ssm_parameter" "infra_dynamodb_client_api_iam_url" {
+  count = var.records_iam_function_url != null ? 1 : 0
+
+  name      = "/${var.project_name}/${var.environment}/infra/dynamodb-client-api-iam-url"
+  type      = local.parameter_type
+  tier      = local.parameter_tier
+  value     = var.records_iam_function_url
+  overwrite = true
+
+  description = "DynamoDB Client API URL, AWS_IAM auth (for server-to-server callers and operational scripts)"
 
   tags = {
     Environment = var.environment

package/terraform/modules/parameter-store/variables.tf

@@ -16,10 +16,16 @@ variable "region" {
 }
 
 variable "records_function_url" {
-  description = "Records Lambda Function URL"
+  description = "Records Lambda Function URL（NONE認証。ブラウザ・Admin UI向け）"
   type        = string
 }
 
+variable "records_iam_function_url" {
+  description = "Records Lambda の AWS_IAM認証Function URL（サーバー間呼び出し・運用スクリプト向け）。省略時はパラメータを作成しない"
+  type        = string
+  default     = null
+}
+
 variable "records_function_arn" {
   description = "Records Lambda Function ARN"
   type        = string