B システム設計/インフラ — Cloud Run v2 × Terraform 1.8+ × Secret Manager Volume Mount × 最小権限 IAM × VPC Connector × カナリアデプロイ（MOps Bad→Good Terraform）

📋 コピー# Cloud Run サービスアカウント
resource "google_service_account" "cloud_run_sa" {
  account_id   = "mops-cloud-run-sa"
  display_name = "MOps Cloud Run Service Account"
  project      = var.project_id
}

# 修正④: roles/editor を削除し、必要最小権限のみ付与
# BigQuery: mops_* データセットのみ dataEditor（IAM Conditions で制限）
resource "google_project_iam_member" "cloud_run_bq_editor" {
  project = var.project_id
  role    = "roles/bigquery.dataEditor"
  member  = "serviceAccount:${google_service_account.cloud_run_sa.email}"

  condition {
    title       = "mops_dataset_only"
    description = "MOps データセットへのアクセスのみ許可"
    expression  = "resource.name.startsWith(\"projects/${var.project_id}/datasets/mops_\")"
  }
}

# Pub/Sub: メッセージ publish のみ（topic レベルで制限）
resource "google_project_iam_member" "cloud_run_pubsub_publisher" {
  project = var.project_id
  role    = "roles/pubsub.publisher"
  member  = "serviceAccount:${google_service_account.cloud_run_sa.email}"
}

# Secret Manager: 対象シークレットのみ読み取り（プロジェクトレベルは不要）
resource "google_secret_manager_secret_iam_member" "cloud_run_sa_db" {
  project   = var.project_id
  secret_id = google_secret_manager_secret.db_conn.secret_id
  role      = "roles/secretmanager.secretAccessor"
  member    = "serviceAccount:${google_service_account.cloud_run_sa.email}"
}

resource "google_secret_manager_secret_iam_member" "cloud_run_sa_api_key" {
  project   = var.project_id
  secret_id = google_secret_manager_secret.external_api_key.secret_id
  role      = "roles/secretmanager.secretAccessor"
  member    = "serviceAccount:${google_service_account.cloud_run_sa.email}"
}

# 修正②: allUsers 削除 → Argo Workflows SA のみ invoker
resource "google_cloud_run_v2_service_iam_member" "invoker_argo" {
  project  = var.project_id
  location = google_cloud_run_v2_service.mops_api.location
  name     = google_cloud_run_v2_service.mops_api.name
  role     = "roles/run.invoker"
  member   = "serviceAccount:${google_service_account.argo_workflows_sa.email}"
}

# Cloud Load Balancer のヘルスチェック用（内部ロードバランサー経由の場合）
resource "google_cloud_run_v2_service_iam_member" "invoker_lb" {
  project  = var.project_id
  location = google_cloud_run_v2_service.mops_api.location
  name     = google_cloud_run_v2_service.mops_api.name
  role     = "roles/run.invoker"
  member   = "serviceAccount:service-${var.project_number}@serverless-robot-prod.iam.gserviceaccount.com"
}

📋 コピー# VPC アクセスコネクタ（GKE Pod → Cloud Run VPC 内通信）
resource "google_vpc_access_connector" "mops_connector" {
  name          = "mops-vpc-connector"
  region        = "asia-northeast1"
  project       = var.project_id
  network       = google_compute_network.mops_vpc.name
  ip_cidr_range = "10.8.0.0/28"  # /28 = 14 IP（コネクタ専用サブネット）

  # スループット設定（Cloud Run の最大インスタンス数に合わせて調整）
  min_throughput = 200   # Mbps
  max_throughput = 1000  # Mbps（max_instance_count = 10 に対応）
}

# ---- Direct VPC Egress の代替構成（コネクタ不要・推奨: 2024年以降）----
# VPC アクセスコネクタの代わりに Direct VPC Egress を使う場合:
#
# vpc_access {
#   network_interfaces {
#     network    = google_compute_network.mops_vpc.name
#     subnetwork = google_compute_subnetwork.cloud_run_subnet.name
#   }
#   egress = "PRIVATE_RANGES_ONLY"
# }
#
# Direct VPC Egress は Cloud Run v2 専用で、コネクタより低レイテンシ・
# 高スループット（最大 100 Gbps）を実現。コネクタ管理の手間も不要。
# 2024年以降の新規構成では Direct VPC Egress を推奨。

カナリアデプロイ手順（Terraform + CI/CD）

📋 コピー# ── 通常デプロイ（LATEST に 100%）──────────────────────────────────────────
traffic {
  type    = "TRAFFIC_TARGET_ALLOCATION_TYPE_LATEST"
  percent = 100
}

# ── カナリアデプロイ（新リビジョン 10%、旧リビジョン 90%）──────────────────
# CI/CD パイプラインから terraform apply -var canary_percent=10 で適用
traffic {
  type     = "TRAFFIC_TARGET_ALLOCATION_TYPE_REVISION"
  revision = var.stable_revision_name  # 例: "mops-internal-api-00010-abc"
  percent  = 90                        # 旧リビジョンに 90%
}
traffic {
  type    = "TRAFFIC_TARGET_ALLOCATION_TYPE_LATEST"
  percent = 10                         # 新リビジョンに 10%（カナリア）
}

# ── 完全切り替え（新リビジョンに 100%）──────────────────────────────────────
# エラーレートが閾値以下なら terraform apply -var canary_percent=100 で完全移行
traffic {
  type    = "TRAFFIC_TARGET_ALLOCATION_TYPE_LATEST"
  percent = 100
}

GitHub Actions カナリアデプロイワークフロー

📋 コピー# .github/workflows/deploy-canary.yml（概略）
jobs:
  canary:
    steps:
      - name: Deploy canary (10%)
        run: terraform apply -var canary_percent=10 -var api_image_digest=${{ env.IMAGE_DIGEST }}

      - name: Monitor error rate (5 min)
        run: |
          ERROR_RATE=$(gcloud monitoring read --filter='...')
          if [ "$ERROR_RATE" -gt "1" ]; then exit 1; fi

      - name: Promote to 100%
        run: terraform apply -var canary_percent=100