Terraform でコンソール構築の AWS アカウントを本番から作り直す — 読み取り専用の spec、設定差分の検証、GitHub OIDC
コンソールで作られた AWS のデータ層を、本番を読み取り専用で採取した結果から Terraform でコード化しました。設定の差分で同等性を確かめ、GitHub OIDC 経由で実行します。
AWS
Bedrock の構造化出力は Claude 4.6 で止まる — Sonnet 5 の JSON をプロンプト 1 行とエラーの差し戻しで守る
Amazon Bedrock は Claude Sonnet 5 で strict tool use を拒否します。プロンプトの 1 行と tool_result によるエラーの差し戻しで、翻訳の JSON を正しい形に保ちました。
GitHub ActionsでCognitoのM2Mトークンを発行しデプロイ直後のMCPを検証する — 1つのジョブに2つのアイデンティティ
GitHub OIDCはCIにAWSのアイデンティティを与えるが、JWT認可のMCPエンドポイントにはもう1つ必要になる。terraform outputから読むCognitoのclient_credentialsトークンである。
Bedrockのナレッジベースが削除できない — 先にOpenSearchコレクションを消すとDELETE_UNSUCCESSFULで詰む
OpenSearch Serverlessのコレクションを先に削除したため、Amazon Bedrockのナレッジベース2つがDELETE_UNSUCCESSFULで止まりました。dataDeletionPolicyをRETAINにする対処法まで。
GROUP BY ROLLUPとスカラーサブクエリでtext-to-SQLエージェントの文中計算をなくす — 禁止ルールでは止まらなかった集計とファンアウトのミス
text-to-SQLエージェントが、行を手で足すなという規則を破りました。GROUP BY ROLLUPとスカラーサブクエリは、規則ではなく手順そのものを消して直しました。
_override.tf でコミット済みの Terraform をサンドボックスで動かす — validate が見逃したものを apply が捕まえた
gitignore 済みの Terraform オーバーライドファイルで、コミット済みの設定を自分の AWS サンドボックスに向け直す。ローカルバックエンド、locals の上書き、そして apply でしか分からなかったこと。
GrantedでAWSの平文キーをSSOに置き換える — 見分けにくい2つのAWSログインに要注意
GrantedとAWS IAM Identity Centerは、Windows上の静的IAMキーを短命なSSO認証情報に置き換えます。従来のAWSサインイン画面はこの認証情報を受け付けません。