magic-pocket-cli 0.18.0__tar.gz → 0.19.0__tar.gz

{magic_pocket_cli-0.18.0 → magic_pocket_cli-0.19.0}/PKG-INFO

@@ -1,13 +1,13 @@
 Metadata-Version: 2.4
 Name: magic-pocket-cli
-Version: 0.18.0
+Version: 0.19.0
 Summary: CLI and deploy tools for magic-pocket.
 Requires-Python: >=3.10
 Requires-Dist: awscrt>=0.19.0
 Requires-Dist: click>=8.1.7
 Requires-Dist: deepdiff>=6.7.1
 Requires-Dist: jinja2>=3.1.3
-Requires-Dist: magic-pocket>=0.18.0
+Requires-Dist: magic-pocket>=0.19.0
 Requires-Dist: pathspec>=1.0.4
 Requires-Dist: python-on-whales>=0.68.0
 Requires-Dist: pyyaml>=6.0.1

{magic_pocket_cli-0.18.0 → magic_pocket_cli-0.19.0}/pocket_cli/cli/destroy_cli.py

@@ -114,8 +114,18 @@ def _collect_external_database_targets(context: Context) -> list[str]:
         if Upstash(context.upstash).database:
             targets.append("Upstash Redis: %s" % context.upstash.database_name)
     if context.neon and context.neon.provisioning != "command":
-        if Neon(context.neon).branch:
-            targets.append("Neon ブランチ")
+        neon = Neon(context.neon)
+        if neon.branch:
+            plan = neon.destroy_plan()
+            if plan == "project":
+                targets.append(
+                    "Neon プロジェクト '%s' (root branch のため project ごと削除)"
+                    % context.neon.project_name
+                )
+            elif plan == "branch":
+                targets.append("Neon ブランチ")
+            # "blocked" (root だが他 branch 同居) は削除できないため一覧に載せない
+            # (destroy 実行時に警告する)
     return targets
 
 
@@ -292,16 +302,38 @@ def _destroy_upstash(context: Context):
 
 
 def _destroy_neon(context: Context):
-    """Neon ブランチを削除 (provisioning="command" は管理外)"""
+    """Neon ブランチを削除 (provisioning="command" は管理外)
+
+    root branch は Neon 仕様で branch 単位の削除ができない (422: cannot delete the
+    root branch) ため、project 内に他 branch が無ければ project ごと削除する。他
+    branch が同居している場合は巻き添えになるため何も消さず警告して続行する
+    (destroy 全体を異常終了させない)。
+    """
     if not context.neon:
         return
     if context.neon.provisioning == "command":
         _warn_command_provisioned("Neon", "pocket resource neon delete")
         return
-    if Neon(context.neon).branch:
-        echo.log("Destroying Neon branch...")
-        Neon(context.neon).delete_branch()
-        echo.success("Neon branch was deleted.")
+    neon = Neon(context.neon)
+    if not neon.branch:
+        return
+    plan = neon.destroy_plan()
+    if plan == "blocked":
+        echo.warning(
+            "Neon branch '%s' は root branch のため単体削除できず、project '%s' には"
+            "他の branch が残っているため project 削除も行いません。"
+            "他 stage の destroy 後に pocket resource neon delete で削除してください。"
+            % (context.neon.branch_name, context.neon.project_name)
+        )
+        return
+    if plan == "project":
+        echo.log("Destroying Neon project (root branch のため project ごと削除)...")
+        neon.delete_project()
+        echo.success("Neon project '%s' was deleted." % context.neon.project_name)
+        return
+    echo.log("Destroying Neon branch...")
+    neon.delete_branch()
+    echo.success("Neon branch was deleted.")
 
 
 def _destroy_cloudfront_and_acm(context: Context):

magic_pocket_cli-0.19.0/pocket_cli/cli/image_cli.py

@@ -0,0 +1,59 @@
+"""deploy 済みコンテナイメージの参照情報を出力する CLI。
+
+外部ツール (pocket と併走する deploy 系) が pocket のビルドしたイメージを
+参照する際、pocket.toml を読んだ正確な値をスクリプトから取得できるようにする
+(`pocket.naming.ecr_repo_name` の「toml を読む版」)。stdout には値のみを出し、
+`$(pocket resource image uri --stage <s>)` の形で食えるようにする (診断は stderr)。
+"""
+
+import click
+
+from pocket.context import Context
+from pocket_cli.cli.resource_helper import require_configured
+from pocket_cli.resources.awscontainer import AwsContainer
+
+
+@click.group()
+def image():
+    pass
+
+
+def _get_awscontainer(stage: str) -> AwsContainer:
+    context = Context.from_toml(stage=stage)
+    return AwsContainer(
+        require_configured(
+            context.awscontainer, "awscontainer is not configured for this stage"
+        )
+    )
+
+
+@image.command()
+@click.option("--stage", envvar="POCKET_DEPLOY_STAGE", prompt=True)
+def repo(stage):
+    """ECR repository 名を stdout に出力する (ecr_name 上書きを含め toml 準拠)。"""
+    ac = _get_awscontainer(stage)
+    click.echo(ac.context.ecr_name)
+
+
+@image.command()
+@click.option("--stage", envvar="POCKET_DEPLOY_STAGE", prompt=True)
+def uri(stage):
+    """deploy 済み実イメージの URI ({repo_uri}@{digest}) を stdout に出力する。
+
+    `:{stage}` タグが現在指している image を digest で固定した URI を返すため、
+    以後の deploy でタグが動いても参照が壊れない。
+    """
+    ac = _get_awscontainer(stage)
+    ecr = ac.ecr
+    if not ecr.uri:
+        raise click.ClickException(
+            "ECR repository '%s' が見つかりません。先に `pocket deploy` を"
+            "実行してください。" % ac.context.ecr_name
+        )
+    digest = ecr.image_detail.image_digest
+    if not digest:
+        raise click.ClickException(
+            "tag ':%s' のイメージが '%s' に見つかりません。deploy 済みか確認して"
+            "ください。" % (stage, ac.context.ecr_name)
+        )
+    click.echo("%s@%s" % (ecr.uri, digest))

{magic_pocket_cli-0.18.0 → magic_pocket_cli-0.19.0}/pocket_cli/cli/main_cli.py

@@ -10,6 +10,7 @@ from pocket_cli.cli import (
     deploy_cli,
     destroy_cli,
     dsql_cli,
+    image_cli,
     migrate_cli,
     neon_cli,
     permissions_cli,
@@ -91,3 +92,4 @@ resource.add_command(s3_cli.s3)
 resource.add_command(cloudfront_cli.cloudfront)
 resource.add_command(cloudfront_keys_cli.cloudfront_keys)
 resource.add_command(cloudfront_waf_cli.cloudfront_waf)
+resource.add_command(image_cli.image)

{magic_pocket_cli-0.18.0 → magic_pocket_cli-0.19.0}/pocket_cli/cli/neon_cli.py

@@ -69,12 +69,41 @@ def branch_out(stage, base_stage):
     "--yes", "-y", is_flag=True, default=False, help="確認プロンプトをスキップ"
 )
 def delete(stage, yes):
+    """stage の Neon ブランチを削除する。
+
+    root branch は Neon 仕様で branch 単位の削除ができない (422: cannot delete the
+    root branch) ため、project 内に他 branch が無ければ再確認のうえ project ごと
+    削除する。他 branch が同居している場合は巻き添えになるためエラーで中断する。
+    """
     if not yes:
         click.confirm(
             "stage '%s' の Neon ブランチを削除しますか？(データは失われます)" % stage,
             abort=True,
         )
     neon = get_neon_resource(stage)
+    if neon.branch is None:
+        raise click.ClickException(
+            "Neon branch '%s' が見つかりません" % neon.context.branch_name
+        )
+    plan = neon.destroy_plan()
+    if plan == "blocked":
+        raise click.ClickException(
+            "branch '%s' は root branch のため単体削除できません (Neon 仕様)。"
+            "project '%s' には他の branch が残っているため project 削除も行いません。"
+            "他の branch を先に削除してください。"
+            % (neon.context.branch_name, neon.context.project_name)
+        )
+    if plan == "project":
+        if not yes:
+            click.confirm(
+                "branch '%s' は root branch のため、project '%s' を丸ごと削除します。"
+                "よろしいですか？"
+                % (neon.context.branch_name, neon.context.project_name),
+                abort=True,
+            )
+        neon.delete_project()
+        echo.success("Project '%s' was deleted." % neon.context.project_name)
+        return
     neon.delete_branch()
     echo.success("Branch was deleted successfully.")
 

{magic_pocket_cli-0.18.0 → magic_pocket_cli-0.19.0}/pocket_cli/mediator.py

@@ -108,26 +108,25 @@ class Mediator:
         sc.pocket_store.delete_secret_keys(orphaned)
 
     def _generate_secret(self, spec: ManagedSecretSpec):
-        if spec.type == "auto_database_url":
-            return self._get_auto_database_url()
-        elif spec.type == "password":
-            return self._generate_password(spec.options)
-        elif spec.type == "neon_database_url":
-            return self._get_neon_database_url()
-        elif spec.type == "tidb_database_url":
-            return self._get_tidb_database_url()
-        elif spec.type == "rds_database_url":
-            return self._get_rds_database_url()
-        elif spec.type == "upstash_redis_url":
-            return self._get_upstash_redis_url()
-        elif spec.type == "rsa_pem_base64":
-            return self._generate_rsa_pem()
-        elif spec.type == "cloudfront_signing_key":
-            return self._generate_rsa_pem()
-        elif spec.type in ("spa_token_secret", "origin_verify_secret"):
-            return secrets.token_hex(32)
-        else:
+        generators = {
+            "auto_database_url": self._get_auto_database_url,
+            "password": lambda: self._generate_password(spec.options),
+            "neon_database_url": self._get_neon_database_url,
+            "tidb_database_url": self._get_tidb_database_url,
+            "rds_database_url": self._get_rds_database_url,
+            "upstash_redis_url": self._get_upstash_redis_url,
+            "rsa_pem_base64": self._generate_rsa_pem,
+            "cloudfront_signing_key": self._generate_rsa_pem,
+            "spa_token_secret": lambda: secrets.token_hex(32),
+            "origin_verify_secret": lambda: secrets.token_hex(32),
+            "basic_auth_credential": lambda: self._generate_basic_auth_credential(
+                spec.options
+            ),
+        }
+        generator = generators.get(spec.type)
+        if generator is None:
             raise RuntimeError("Unknown secret type: %s" % spec.type)
+        return generator()
 
     def _generate_rsa_pem(self) -> dict[str, str]:
         try:
@@ -153,6 +152,32 @@ class Mediator:
             "pub": base64.b64encode(pem_public_key).decode("utf-8"),
         }
 
+    def _generate_basic_auth_credential(self, options):
+        """Basic 認証の credential "user:pass" を生成する。
+
+        username は必須 (settings で検証済みだが直接呼び出しに備え再検証)。
+        password は options で固定値を指定でき、省略時は length/chars でランダム
+        生成する。固定値は pocket.toml (= git) に入る点に注意 (公開前サイトの
+        隠蔽用の共有credential を想定)。
+        """
+        username = options.get("username")
+        if not isinstance(username, str) or not username or ":" in username:
+            raise Exception(
+                "basic_auth_credential requires options.username (str, ':' 不可)"
+            )
+        password = options.get("password")
+        if password is None:
+            # Basic 認証はブラウザ入力なので記号を避けた英数字既定にする
+            password = self._generate_password(
+                {
+                    "length": options.get("length", 16),
+                    "chars": options.get("chars", "abcdefghijkmnpqrstuvwxyz23456789"),
+                }
+            )
+        elif not isinstance(password, str) or not password:
+            raise Exception("basic_auth_credential options.password must be str")
+        return "%s:%s" % (username, password)
+
     def _generate_password(self, options):
         length = options.get("length", 16)
         if not isinstance(length, int):

{magic_pocket_cli-0.18.0 → magic_pocket_cli-0.19.0}/pocket_cli/resources/aws/cloudformation.py

@@ -401,7 +401,10 @@ class CloudFrontStack(Stack):
 
     @property
     def _has_token_kvs(self) -> bool:
-        return any(r.require_token for r in self.context.routes)
+        # KVS は spa auth の token_secret と basic_auth の期待ヘッダ値を共用する
+        return any(r.require_token for r in self.context.routes) or bool(
+            self.context.basic_auth
+        )
 
     @property
     def export(self):
@@ -477,6 +480,11 @@ class CloudFrontStack(Stack):
         prelude = self._render_host_redirect_prelude()
         if not prelude:
             return code
+        return self._inject_after_request_line(code, prelude)
+
+    @staticmethod
+    def _inject_after_request_line(code: str, prelude: str) -> str:
+        """`var request = event.request;` の直後に prelude を差し込む。"""
         out: list[str] = []
         injected = False
         for line in code.splitlines():
@@ -486,6 +494,44 @@ class CloudFrontStack(Stack):
                 injected = True
         return "\n".join(out)
 
+    def _render_basic_auth_prelude(self) -> str:
+        """Basic 認証 prelude (4 スペース字下げ)。basic_auth 未設定なら空文字。"""
+        if not self.context.basic_auth:
+            return ""
+        env = Environment(
+            loader=PackageLoader("pocket_cli"),
+            autoescape=select_autoescape(),
+        )
+        template = env.get_template("cloudformation/cf_function_basic_auth_prelude.js")
+        return template.render().rstrip("\n")
+
+    def _inject_basic_auth(self, code: str) -> str:
+        """生成済み Function コードに Basic 認証 prelude を差し込む
+        (basic_auth 有効時のみ)。
+
+        KVS 参照のため handler を async 化し、kvsHandle を持たない Function には
+        引数なし `cf.kvs()` (その Function に関連付けられた唯一の KVS を返す) の
+        宣言を前置する。呼び出し側はこの Function に KeyValueStoreAssociations を
+        必ず付けること (テンプレート側で basic_auth 時に一括付与)。
+        """
+        prelude = self._render_basic_auth_prelude()
+        if not prelude:
+            return code
+        if "kvsHandle" not in code:
+            code = "import cf from 'cloudfront';\nconst kvsHandle = cf.kvs();\n" + code
+        if "async function handler" not in code:
+            code = code.replace("function handler(", "async function handler(", 1)
+        return self._inject_after_request_line(code, prelude)
+
+    def _inject_viewer_preludes(self, code: str) -> str:
+        """全 viewer-request Function 共通の prelude 合成。
+
+        basic auth を先に差し込み、その後 host redirect を同じ位置に差し込むことで
+        実行順は host redirect → basic auth になる (非 canonical host はまず 301 し、
+        認証プロンプトは canonical domain でのみ出す)。
+        """
+        return self._inject_host_redirect(self._inject_basic_auth(code))
+
     @staticmethod
     def _reindent(code: str, indent: int) -> str:
         """FunctionCode: | ブロック用に 2 行目以降を indent スペース字下げする。"""
@@ -509,6 +555,22 @@ class CloudFrontStack(Stack):
         )
         return self._reindent(code, 8)
 
+    def _generate_basic_auth_function(self) -> str:
+        """viewer-request Function を持たない behavior 用の単体 Basic 認証 Function。
+
+        behavior に付けられる viewer-request Function は 1 つだけのため、
+        redirect_from 有効時は host redirect prelude もここに同居させる
+        (単体 HostRedirectFunction は basic_auth 時には生成しない)。
+        """
+        code = (
+            "function handler(event) {\n"
+            "    var request = event.request;\n"
+            "    return request;\n"
+            "}"
+        )
+        code = self._inject_viewer_preludes(code)
+        return self._reindent(code, 8)
+
     def _build_deploy_hash_function_codes(self) -> dict[str, str]:
         """deploy_hash route 用の hash prefix strip Function コードを生成する"""
         codes: dict[str, str] = {}
@@ -525,30 +587,38 @@ class CloudFrontStack(Stack):
                 "    return request;\n"
                 "}" % deploy_hash
             )
-            code = self._inject_host_redirect(code)
+            code = self._inject_viewer_preludes(code)
             codes[route.yaml_key] = self._reindent(code, 8)
         return codes
 
+    @staticmethod
+    def _spa_fallback_uri(route) -> str:
+        """SPA fallback の書き換え先 URI を組み立てる。
+
+        path_pattern の glob (`/admin/*` 等) をそのまま連結するとリテラル URI に
+        `*` が残り (`/admin/*/index.html`)、S3 に該当キーが無く全リクエストが 403 に
+        なる。prefix 部分だけを使う (`/admin/*` → `/admin/index.html`)。catch-all
+        (path_pattern 空) は従来どおり `/index.html`。
+        """
+        prefix = route.path_pattern.rstrip("*").rstrip("/")
+        return prefix + "/" + route.spa_fallback_html
+
     def _generate_spa_fallback_function(self, route) -> str:  # type: ignore
         """SPA URL フォールバック用 CloudFront Function コードを生成する"""
-        fallback_uri = route.path_pattern + "/" + route.spa_fallback_html
-        if not route.path_pattern:
-            fallback_uri = "/" + route.spa_fallback_html
+        fallback_uri = self._spa_fallback_uri(route)
         env = Environment(
             loader=PackageLoader("pocket_cli"),
             autoescape=select_autoescape(),
         )
         template = env.get_template("cloudformation/cf_function_spa_fallback.js")
         code = template.render(fallback_uri=fallback_uri)
-        code = self._inject_host_redirect(code)
+        code = self._inject_viewer_preludes(code)
         # FunctionCode: | の下は8スペース
         return self._reindent(code, 8)
 
     def _generate_spa_auth_function(self, route) -> str:  # type: ignore
         """KVS + HMAC 検証付き async CloudFront Function コードを生成する"""
-        fallback_uri = route.path_pattern + "/" + route.spa_fallback_html
-        if not route.path_pattern:
-            fallback_uri = "/" + route.spa_fallback_html
+        fallback_uri = self._spa_fallback_uri(route)
         env = Environment(
             loader=PackageLoader("pocket_cli"),
             autoescape=select_autoescape(),
@@ -558,7 +628,7 @@ class CloudFrontStack(Stack):
             fallback_uri=fallback_uri,
             login_path=route.login_path,
         )
-        code = self._inject_host_redirect(code)
+        code = self._inject_viewer_preludes(code)
         # Fn::Sub の2パラメータ形式で - | の下は12スペース
         return self._reindent(code, 12)
 
@@ -570,7 +640,7 @@ class CloudFrontStack(Stack):
         )
         template = env.get_template("cloudformation/cf_function_api_host.js")
         code = template.render()
-        code = self._inject_host_redirect(code)
+        code = self._inject_viewer_preludes(code)
         return self._reindent(code, 8)
 
     @property
@@ -582,21 +652,28 @@ class CloudFrontStack(Stack):
         api_host_function_code = ""
         if self.context.has_lambda_route:
             api_host_function_code = self._generate_api_host_function()
+        # basic_auth 時、素の behavior には単体 BasicAuthFunction を付ける
+        # (redirect prelude も同居)。単体 HostRedirectFunction は非 basic_auth 時のみ。
+        basic_auth_function_code = ""
+        if self.context.basic_auth:
+            basic_auth_function_code = self._generate_basic_auth_function()
         host_redirect_function_code = ""
-        if self.context.has_redirect_from:
+        if self.context.has_redirect_from and not self.context.basic_auth:
             host_redirect_function_code = self._generate_host_redirect_function()
 
         return self._render_yaml(
             context_data=self.context.model_dump(
-                exclude={"signing_key", "token_secret"}
+                exclude={"signing_key", "token_secret", "basic_auth"}
             ),
             signing_key=bool(self.context.signing_key),
+            basic_auth=bool(self.context.basic_auth),
             acm_certificate_arn=acm_certificate_arn,
             waf_acl_arn=waf_acl_arn,
             function_codes=function_codes,
             deploy_hash_function_codes=deploy_hash_function_codes,
             api_host_function_code=api_host_function_code,
             host_redirect_function_code=host_redirect_function_code,
+            basic_auth_function_code=basic_auth_function_code,
             has_token_kvs=self._has_token_kvs,
             origin_verify_secret=self._origin_verify_secret_value,
         )

{magic_pocket_cli-0.18.0 → magic_pocket_cli-0.19.0}/pocket_cli/resources/cloudfront.py

@@ -46,6 +46,8 @@ class CloudFront:
         self.cf_client = boto3.client("cloudfront")
         self._token_secret_value: str = ""
         self._origin_verify_secret_value: str = ""
+        # Basic 認証の期待 Authorization ヘッダ値 ("Basic <base64(user:pass)>")
+        self._basic_auth_expected: str = ""
 
     @property
     def description(self):
@@ -80,6 +82,7 @@ class CloudFront:
         deploy 済み hash と一致せず、毎回 REQUIRE_UPDATE になる。
         """
         self._prepare_token_secret(mediator)
+        self._prepare_basic_auth(mediator)
         self._prepare_origin_verify_secret(mediator)
 
     def create(self, mediator: Mediator | None = None):
@@ -144,6 +147,32 @@ class CloudFront:
                 % self.context.token_secret
             )
 
+    def _prepare_basic_auth(self, mediator: Mediator | None):
+        """basic_auth の managed secret ("user:pass") から期待ヘッダ値を組み立てる。
+
+        値は CloudFront Function が比較する "Basic <base64(user:pass)>" 形式で、
+        テンプレートには入れず deploy 後に KVS へ書き込む (token_secret と同経路)。
+        """
+        import base64
+
+        if not self.context.basic_auth:
+            return
+        if not mediator:
+            return
+        ac = mediator.context.awscontainer
+        if not ac or not ac.secrets:
+            return
+        secrets = ac.secrets.pocket_store.secrets
+        value = secrets.get(self.context.basic_auth)
+        if not isinstance(value, str) or ":" not in value:
+            echo.warning(
+                "basic_auth '%s' の値が 'user:pass' 形式ではありません"
+                % self.context.basic_auth
+            )
+            return
+        encoded = base64.b64encode(value.encode()).decode()
+        self._basic_auth_expected = "Basic %s" % encoded
+
     def _prepare_origin_verify_secret(self, mediator: Mediator | None):
         """enable_origin_verify 時に origin verify secret の値を store から読む。
 
@@ -172,7 +201,13 @@ class CloudFront:
             )
 
     def _write_token_secret_to_kvs(self):
-        if not self._token_secret_value:
+        """KVS に token_secret / basic_auth を書き込む (設定されているもののみ)。"""
+        entries = {
+            "token_secret": self._token_secret_value,
+            "basic_auth": self._basic_auth_expected,
+        }
+        entries = {k: v for k, v in entries.items() if v}
+        if not entries:
             return
         if not self.stack.output:
             echo.warning("スタック出力が取得できません。KVS 書き込みをスキップします。")
@@ -184,15 +219,16 @@ class CloudFront:
         kvs_client = boto3.client(
             "cloudfront-keyvaluestore", region_name=self.context.region
         )
-        desc = kvs_client.describe_key_value_store(KvsARN=kvs_arn)
-        etag = desc["ETag"]
-        kvs_client.put_key(
-            KvsARN=kvs_arn,
-            Key="token_secret",
-            Value=self._token_secret_value,
-            IfMatch=etag,
-        )
-        echo.info("KVS にトークンシークレットを書き込みました")
+        for key, value in entries.items():
+            # put_key ごとに ETag が変わるため毎回 describe で取り直す
+            desc = kvs_client.describe_key_value_store(KvsARN=kvs_arn)
+            kvs_client.put_key(
+                KvsARN=kvs_arn,
+                Key=key,
+                Value=value,
+                IfMatch=desc["ETag"],
+            )
+            echo.info("KVS に %s を書き込みました" % key)
 
     def upload_managed_assets(self):
         """managed_assets のファイルを S3 に同期する (全件 upload + 不要削除)。"""

{magic_pocket_cli-0.18.0 → magic_pocket_cli-0.19.0}/pocket_cli/templates/cloudformation/awscontainer.yaml

@@ -156,6 +156,8 @@ Resources:
     Properties:
       FunctionName: "{{ handler.function_name }}"
       PackageType: Image
+      Architectures:
+        - "{{ lambda_architecture }}"
       MemorySize: "{{ handler.memory_size }}"
       Timeout: "{{ handler.timeout }}"
       # {% if handler.reserved_concurrency %}
@@ -172,8 +174,16 @@ Resources:
       Environment:
         Variables:
           "POCKET_STAGE": "{{ stage }}"
+          # {# tojson で YAML セーフに埋め込む (値内の二重引用符等で ParserError にしない)。
+          #    container 共通 envs に handler.envs をマージし handler 側を優先する。
+          #    重複キーを 2 回出さないよう共通側は handler.envs にあるキーをスキップ #}
           # {% for env_key, value in envs.items() %}
-          "{{ env_key }}": "{{ value }}"
+          # {% if env_key not in handler.envs %}
+          {{ env_key | tojson }}: {{ value | tojson }}
+          # {% endif %}
+          # {% endfor %}
+          # {% for env_key, value in handler.envs.items() %}
+          {{ env_key | tojson }}: {{ value | tojson }}
           # {% endfor %}
           # {% for env_key, import_name in signing_key_imports.items() %}
           "{{ env_key }}":
@@ -412,6 +422,11 @@ Resources:
     Type: AWS::IAM::Role
     Properties:
       RoleName: "{{ scheduler.role_name }}"
+      # {% if permissions_boundary %}
+      # boundary 強制 account (iam:CreateRole が boundary 付きのみ許可) では
+      # LambdaRole と同様に boundary が無いと作成できない
+      PermissionsBoundary: "{{ permissions_boundary }}"
+      # {% endif %}
       AssumeRolePolicyDocument:
         Version: "2012-10-17"
         Statement:

magic_pocket_cli-0.19.0/pocket_cli/templates/cloudformation/cf_function_basic_auth_prelude.js

@@ -0,0 +1,11 @@
+    var __pocketBaAuth = request.headers.authorization;
+    var __pocketBaExpected;
+    try { __pocketBaExpected = await kvsHandle.get('basic_auth'); }
+    catch (e) { __pocketBaExpected = null; }
+    if (!__pocketBaExpected || !__pocketBaAuth || __pocketBaAuth.value !== __pocketBaExpected) {
+        return {
+            statusCode: 401,
+            statusDescription: 'Unauthorized',
+            headers: { 'www-authenticate': { value: 'Basic realm="Restricted"' } }
+        };
+    }

{magic_pocket_cli-0.18.0 → magic_pocket_cli-0.19.0}/pocket_cli/templates/cloudformation/cloudfront.yaml

@@ -11,12 +11,15 @@ Resources:
         SigningBehavior: always
         SigningProtocol: sigv4
 
+  # {# basic_auth 時に素の behavior へ付ける単体 Function 名 (redirect prelude 同居)。
+  #    非 basic_auth 時は従来どおり HostRedirectFunction #}
+  # {% set bare_viewer_fn = "BasicAuthFunction" if basic_auth else "HostRedirectFunction" %}
   # {% if has_token_kvs %}
   TokenKvs:
     Type: AWS::CloudFront::KeyValueStore
     Properties:
       Name: "{{ slug }}-token-kvs"
-      Comment: "KVS for SPA token secret"
+      Comment: "KVS for SPA token secret / basic auth credential"
   # {% endif %}
 
   # {% for route in routes %}
@@ -40,7 +43,7 @@ Resources:
       FunctionConfig:
         Comment: "CloudFront function for {{ route.name }}"
         Runtime: cloudfront-js-2.0
-        # {% if route.require_token %}
+        # {% if route.require_token or basic_auth %}
         KeyValueStoreAssociations:
           - KeyValueStoreARN:
               Fn::GetAtt: TokenKvs.Arn
@@ -69,6 +72,11 @@ Resources:
       FunctionConfig:
         Comment: "Strip deploy hash prefix for {{ route.name }}"
         Runtime: cloudfront-js-2.0
+        # {% if basic_auth %}
+        KeyValueStoreAssociations:
+          - KeyValueStoreARN:
+              Fn::GetAtt: TokenKvs.Arn
+        # {% endif %}
   # {% endif %}
   # {% endfor %}
 
@@ -83,13 +91,19 @@ Resources:
       FunctionConfig:
         Comment: "Add X-Forwarded-Host for API routes"
         Runtime: cloudfront-js-2.0
+        # {% if basic_auth %}
+        KeyValueStoreAssociations:
+          - KeyValueStoreARN:
+              Fn::GetAtt: TokenKvs.Arn
+        # {% endif %}
   # {% endif %}
 
-  # {% if has_redirect_from %}
+  # {% if has_redirect_from and not basic_auth %}
   # 非 canonical host (redirect_from ドメイン) を canonical domain へ 301 する
   # viewer-request Function。既存 viewer-request Function を持たない behavior
   # (プレーン S3 route / managed asset) にのみ association する。既存 Function を
   # 持つ behavior には各 Function コード側に同等の redirect prelude を注入済み。
+  # basic_auth 時は BasicAuthFunction に redirect prelude が同居するため作らない。
   HostRedirectFunction:
     Type: AWS::CloudFront::Function
     Properties:
@@ -102,6 +116,26 @@ Resources:
         Runtime: cloudfront-js-2.0
   # {% endif %}
 
+  # {% if basic_auth %}
+  # distribution 全体の Basic 認証。既存 viewer-request Function を持たない
+  # behavior (プレーン S3 route / managed asset) にのみ association する。既存
+  # Function を持つ behavior には各 Function コード側に同等の prelude を注入済み。
+  # redirect_from 有効時は host redirect prelude もこの Function に同居する。
+  BasicAuthFunction:
+    Type: AWS::CloudFront::Function
+    Properties:
+      Name: "{{ slug }}-basic-auth"
+      AutoPublish: true
+      FunctionCode: |
+        {{ basic_auth_function_code }}
+      FunctionConfig:
+        Comment: "Basic auth gate for {{ slug }}"
+        Runtime: cloudfront-js-2.0
+        KeyValueStoreAssociations:
+          - KeyValueStoreARN:
+              Fn::GetAtt: TokenKvs.Arn
+  # {% endif %}
+
   CloudFrontDistribution:
     Type: AWS::CloudFront::Distribution
     DependsOn:
@@ -120,9 +154,12 @@ Resources:
       # {% if has_lambda_route %}
       - ApiHostFunction
       # {% endif %}
-      # {% if has_redirect_from %}
+      # {% if has_redirect_from and not basic_auth %}
       - HostRedirectFunction
       # {% endif %}
+      # {% if basic_auth %}
+      - BasicAuthFunction
+      # {% endif %}
     Properties:
       DistributionConfig:
         # {% if domain %}
@@ -198,11 +235,11 @@ Resources:
             - EventType: viewer-request
               FunctionARN:
                 Fn::GetAtt: UrlFallbackFunction{{ default_route.yaml_key }}.FunctionMetadata.FunctionARN
-          # {% elif has_redirect_from %}
+          # {% elif basic_auth or has_redirect_from %}
           FunctionAssociations:
             - EventType: viewer-request
               FunctionARN:
-                Fn::GetAtt: HostRedirectFunction.FunctionMetadata.FunctionARN
+                Fn::GetAtt: {{ bare_viewer_fn }}.FunctionMetadata.FunctionARN
           # {% endif %}
           # {% if default_route.versioning %}
           ResponseHeadersPolicyId:
@@ -232,11 +269,11 @@ Resources:
                 FunctionARN:
                   Fn::GetAtt: DeployHashStripFunction{{ route.yaml_key }}.FunctionMetadata.FunctionARN
             # {% endif %}
-            # {% if not route.is_spa and not route.is_deploy_hash and has_redirect_from %}
+            # {% if not route.is_spa and not route.is_deploy_hash and (basic_auth or has_redirect_from) %}
             FunctionAssociations:
               - EventType: viewer-request
                 FunctionARN:
-                  Fn::GetAtt: HostRedirectFunction.FunctionMetadata.FunctionARN
+                  Fn::GetAtt: {{ bare_viewer_fn }}.FunctionMetadata.FunctionARN
             # {% endif %}
             # {% if route.versioning %}
             ResponseHeadersPolicyId:
@@ -271,11 +308,11 @@ Resources:
             TargetOriginId: "{{ resource_prefix }}pocket-managed"
             ViewerProtocolPolicy: "redirect-to-https"
             PathPattern: "/{{ filename }}"
-            # {% if has_redirect_from %}
+            # {% if basic_auth or has_redirect_from %}
             FunctionAssociations:
               - EventType: viewer-request
                 FunctionARN:
-                  Fn::GetAtt: HostRedirectFunction.FunctionMetadata.FunctionARN
+                  Fn::GetAtt: {{ bare_viewer_fn }}.FunctionMetadata.FunctionARN
             # {% endif %}
           # {% endfor %}
         # {% endif %}

{magic_pocket_cli-0.18.0 → magic_pocket_cli-0.19.0}/pyproject.toml

@@ -1,10 +1,10 @@
 [project]
 name = "magic-pocket-cli"
-version = "0.18.0"
+version = "0.19.0"
 description = "CLI and deploy tools for magic-pocket."
 requires-python = ">=3.10"
 dependencies = [
-    "magic-pocket>=0.18.0",
+    "magic-pocket>=0.19.0",
     "click>=8.1.7",
     "jinja2>=3.1.3",
     "python-on-whales>=0.68.0",