B システム設計/インフラ — Cloud Armor（OWASP CRS + レート制限）× Cloud CDN TTL/cache_key_policy × Workload Identity Federation KSA→GSA × 最小権限 IAM × PodDisruptionBudget × securityContext（Restricted）× KEDA Pub/Sub スケーラー（MOps CDN バックエンド Bad→Good）

📋 コピー# ksa.yaml — KSA（WIF Annotation）
apiVersion: v1
kind: ServiceAccount
metadata:
  name: cdn-purge-worker
  namespace: mops
  annotations:
    # 修正③: KSA → GSA バインド（SA キーファイル廃止）
    iam.gke.io/gcp-service-account: mops-cdn-purge@PROJECT_ID.iam.gserviceaccount.com
---
# deployment.yaml — CDN パージワーカー（改善後）
apiVersion: apps/v1
kind: Deployment
metadata:
  name: cdn-purge-worker
  namespace: mops
spec:
  replicas: 2
  selector:
    matchLabels:
      app: cdn-purge-worker
  template:
    metadata:
      labels:
        app: cdn-purge-worker
    spec:
      # 修正③: 専用 KSA（ADC で自動 GSA 認証）
      serviceAccountName: cdn-purge-worker

      topologySpreadConstraints:
        - maxSkew: 1
          topologyKey: kubernetes.io/hostname
          whenUnsatisfiable: DoNotSchedule
          labelSelector:
            matchLabels:
              app: cdn-purge-worker

      containers:
        - name: cdn-purge-worker
          # digest ピン留め（latest タグ禁止）
          image: asia-northeast1-docker.pkg.dev/PROJECT_ID/mops/cdn-purge-worker@sha256:def456
          imagePullPolicy: IfNotPresent

          ports:
            - name: http
              containerPort: 8080

          env:
            - name: GOOGLE_CLOUD_PROJECT
              value: "PROJECT_ID"
            - name: PUBSUB_SUBSCRIPTION
              value: "campaign-publish-sub"
            # SA キーファイル環境変数は削除（ADC 使用）

          resources:
            requests:
              cpu: "250m"
              memory: "256Mi"
            limits:
              memory: "512Mi"

          # 修正⑥: securityContext（GKE Autopilot Restricted 準拠）
          securityContext:
            runAsNonRoot: true            # root 実行禁止
            runAsUser: 1000
            readOnlyRootFilesystem: true  # ルート FS 読み取り専用
            allowPrivilegeEscalation: false
            capabilities:
              drop: ["ALL"]               # 全 Linux Capabilities 削除
            seccompProfile:
              type: RuntimeDefault        # デフォルト seccomp プロファイル

          readinessProbe:
            httpGet: { path: /healthz, port: 8080 }
            initialDelaySeconds: 5
            periodSeconds: 10

          livenessProbe:
            httpGet: { path: /healthz, port: 8080 }
            initialDelaySeconds: 15
            periodSeconds: 30

          volumeMounts:
            - name: tmp
              mountPath: /tmp

      volumes:
        - name: tmp
          emptyDir: {}
          # SA キーファイル Secret マウントを削除

---
# pdb.yaml — PodDisruptionBudget（修正⑤）
apiVersion: policy/v1
kind: PodDisruptionBudget
metadata:
  name: cdn-purge-worker-pdb
  namespace: mops
spec:
  # ノードドレイン / アップグレード時も最低 2 Pod を維持
  minAvailable: 2
  selector:
    matchLabels:
      app: cdn-purge-worker

---
# hpa.yaml — HPA（CPU + Memory、KEDA と共存）
apiVersion: autoscaling/v2
kind: HorizontalPodAutoscaler
metadata:
  name: cdn-purge-worker-hpa
  namespace: mops
spec:
  scaleTargetRef:
    apiVersion: apps/v1
    kind: Deployment
    name: cdn-purge-worker
  # PDB minAvailable と揃える
  minReplicas: 2
  maxReplicas: 20
  metrics:
    - type: Resource
      resource:
        name: cpu
        target:
          type: Utilization
          averageUtilization: 60  # 80% → 60% でスパイク余裕確保
  behavior:
    scaleUp:
      stabilizationWindowSeconds: 30
      policies:
        - type: Pods
          value: 4
          periodSeconds: 60
    scaleDown:
      stabilizationWindowSeconds: 300  # スケールイン慎重に（5分待機）

---
# keda-scaler.yaml — KEDA ScaledObject: Pub/Sub（修正⑦）
apiVersion: keda.sh/v1alpha1
kind: ScaledObject
metadata:
  name: cdn-purge-worker-scaler
  namespace: mops
spec:
  scaleTargetRef:
    apiVersion: apps/v1
    kind: Deployment
    name: cdn-purge-worker
  # HPA minReplicas と揃える（競合防止）
  minReplicaCount: 2
  maxReplicaCount: 20
  pollingInterval: 15    # 15秒ごとにキュー深さチェック
  cooldownPeriod: 60
  triggers:
    - type: google-cloud-pubsub
      metadata:
        # キャンペーン公開イベントの Pub/Sub サブスクリプション
        subscriptionName: campaign-publish-sub
        mode: SubscriptionSize   # 未処理メッセージ数でスケール
        value: "5"               # メッセージ 5件/Pod の比率
      authenticationRef:
        name: keda-gcp-auth

---
# keda-auth.yaml — KEDA GCP WIF 認証
apiVersion: keda.sh/v1alpha1
kind: TriggerAuthentication
metadata:
  name: keda-gcp-auth
  namespace: mops
spec:
  podIdentity:
    provider: gcp-workload-identity
    identityId: mops-cdn-purge@PROJECT_ID.iam.gserviceaccount.com