B システム設計/インフラ — GKE Autopilot × digest ピン留め × ESO シークレット管理 × Workload Identity v2 × PDB + HPA 複合メトリクス（MOps Bad→Good YAML）

📋 コピー# 修正③: ESO v0.9+ で Secret Manager から DB パスワードを自動同期
# refreshInterval: 1h でローテーションに対応
apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: mops-db-secret
  namespace: mops
spec:
  refreshInterval: 1h   # 1時間ごとに Secret Manager から再取得
  secretStoreRef:
    name: gcp-secret-store
    kind: ClusterSecretStore
  target:
    name: mops-db-secret
    creationPolicy: Owner  # ESO が Secret の所有者（削除時に一緒に削除）
    deletionPolicy: Retain # ExternalSecret 削除後も Secret は残す（安全側）
  data:
  - secretKey: DB_PASSWORD          # Kubernetes Secret のキー名
    remoteRef:
      key: mops/db-password         # Secret Manager のシークレット名
      version: latest               # 常に最新バージョンを取得
  - secretKey: DB_CONNECTION_STRING
    remoteRef:
      key: mops/db-connection-string
      version: latest

📋 コピー# 修正⑥: CPU + Pub/Sub バックログの複合スケーリング
# CPU averageUtilization を 80 → 60 に下げてスロットリング前に早めスケール
apiVersion: autoscaling/v2
kind: HorizontalPodAutoscaler
metadata:
  name: mops-batch-hpa
  namespace: mops
spec:
  scaleTargetRef:
    apiVersion: apps/v1
    kind: Deployment
    name: mops-batch
  minReplicas: 2      # 最低2レプリカ（単一障害点を排除）
  maxReplicas: 20     # 50→20に削減（コスト管理）
  behavior:
    scaleDown:
      stabilizationWindowSeconds: 300  # 5分間の安定化ウィンドウ
      policies:
      - type: Pods
        value: 2
        periodSeconds: 60
    scaleUp:
      stabilizationWindowSeconds: 0   # スケールアップは即時
      policies:
      - type: Pods
        value: 4
        periodSeconds: 60
  metrics:
  # メトリクス①: CPU 使用率（60%でスケール開始）
  - type: Resource
    resource:
      name: cpu
      target:
        type: Utilization
        averageUtilization: 60
  # メトリクス②: Pub/Sub バックログ（100メッセージ/Pod を超えたらスケール）
  - type: External
    external:
      metric:
        name: pubsub.googleapis.com|subscription|num_undelivered_messages
        selector:
          matchLabels:
            resource.labels.subscription_id: mops-batch-sub
      target:
        type: AverageValue
        averageValue: "100"
---
# 修正⑤: PDB でローリングアップデート中の可用性を保証
apiVersion: policy/v1
kind: PodDisruptionBudget
metadata:
  name: mops-batch-pdb
  namespace: mops
spec:
  minAvailable: 1    # 常に最低1 Pod が稼働（Deployment の replicas=3 前提）
  selector:
    matchLabels:
      app: mops-batch

📋 コピー# 修正④⑥: Workload Identity Federation v2 の正しい設定
# KSA の annotation + Terraform IAM Binding の両方が必要
apiVersion: v1
kind: ServiceAccount
metadata:
  name: mops-ksa
  namespace: mops
  annotations:
    # GKE Workload Identity: KSA と GSA をバインド
    iam.gke.io/gcp-service-account: "mops-sa@my-project.iam.gserviceaccount.com"
---
# Terraform 側で必ず設定する（annotation だけでは認証が通らない）:
#
# resource "google_service_account_iam_binding" "workload_identity" {
#   service_account_id = google_service_account.mops_sa.name
#   role               = "roles/iam.workloadIdentityUser"
#   members = [
#     "serviceAccount:my-project.svc.id.goog[mops/mops-ksa]",
#   ]
# }
#
# これにより Pod は GCP リソース（BigQuery, Pub/Sub, Secret Manager）に
# 認証情報なしでアクセスできる（サービスアカウントキー不要）