+ スキーマ駆動開発
  OpenAPI と 型自動生成ライブラリ を使用して型安全性を維持
  Prism でモックサーバを用意することで高速かつ効率的な開発環境を構築
+ CSS フレームワークによる型定義の導入
  tailwind.config でカラーを型定義
  一貫したカラーの実装を容易に
+ 各ページに適したキャッシュ戦略
  SSR, useSWR, server action の使い分け
+ NextAuth v5 による認証処理の実装
  Next.js App router との親和性を考慮
  簡素化された setup により session 取り出しを容易に
  Amplify を使用しずにあえて NextAuth v5（beta）を導入することによる技術的挑戦

+ Serializer の導入
  API レスポンスを共通化
+ 非同期処理
  Active Job により Rails プロセス内部で同時実効性を確保
  オールインワン実装によりデプロイコンポーネントを簡素化
+ マイグレーション戦略
  デプロイ時に差分を取得して必要に応じて DB マイグレートを実行
+ Graceful Shutdown の実装
  処理を確実に終えてからコンテナを停止
  フロントエンドに対するサーバサイドの SLI を保つ

+ 検知機能・アルゴリズムの定義
  第 1 フェーズ：人間か否かの判定
  第 2 フェーズ：女性か否かの判定
  第 3 フェーズ：公序良俗判定（露出度等）
+ Lambda イベントの利用
  S3 への画像アップロードを検知して推論エンドポイントを起動
+ 学習データ管理
  学習モデルを Docker イメージとして ECR で管理
+ 推論エンドポイントの起動
  SageMaker による投稿画像の判定処理を実施

resource "aws_autoscaling_schedule" "start_instances_weekdays" {
  for_each = module.eks-cluster.eks_node_groups

  scheduled_action_name  = "start-instances-weekdays"
  min_size               = local.eks_node_groups[each.key].min_size
  max_size               = local.eks_node_groups[each.key].max_size
  desired_capacity       = local.eks_node_groups[each.key].desired_size
  recurrence             = "0 7 * * MON-FRI" # 平日の朝7時に開始
  autoscaling_group_name = each.value.node_group_autoscaling_group_names[0]
}

resource "aws_autoscaling_schedule" "stop_instances_weekdays" {
  for_each = module.eks-cluster.eks_node_groups

  scheduled_action_name  = "stop-instances-weekdays"
  min_size               = 0
  max_size               = 0
  desired_capacity       = 0
  recurrence             = "0 21 * * MON-FRI" # 平日の夜21時に停止
  autoscaling_group_name = each.value.node_group_autoscaling_group_names[0]
}

resource "aws_autoscaling_schedule" "stop_instances_weekends" {
  for_each = module.eks-cluster.eks_node_groups

  scheduled_action_name  = "stop-instances-weekends"
  min_size               = 0
  max_size               = 0
  desired_capacity       = 0
  recurrence             = "0 0 * * SAT,SUN" # 土日の0時に停止（終日停止を確実にするため）
  autoscaling_group_name = each.value.node_group_autoscaling_group_names[0]
}

# Source: sparklink-web/templates/ingress.yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: sparklink-web-ingress
  namespace: sparklink-web
  labels:
    # 省略
  annotations:
    alb.ingress.kubernetes.io/load-balancer-name: sparklink-web-ingress # ALB（Ingress）の名前
    alb.ingress.kubernetes.io/listen-ports: '[{"HTTPS":443}, {"HTTP":80}]' # 443 と 80 でリッスン
    alb.ingress.kubernetes.io/ssl-redirect: '443' # 80 -> 443 へのリダイレクト処理
    alb.ingress.kubernetes.io/scheme: internet-facing # External LB
    alb.ingress.kubernetes.io/subnets: public-subnet-1a, public-subnet-1c, public-subnet-1d # パブリックサブネットを紐付ける（LB の設置箇所が重要）
    alb.ingress.kubernetes.io/target-type: ip # Pod（EP）にルーティング
spec:
  ingressClassName: alb # AWS Load Balancer Controller を使用して ALB をプロビジョニング
  rules:
    # 省略

# Source: sparklink-web/templates/hpa.yaml
apiVersion: autoscaling/v2
kind: HorizontalPodAutoscaler
metadata:
  name: sparklink-web-hpa
  namespace: sparklink-web
  labels:
    app: sparklink-web
spec:
  scaleTargetRef:
    apiVersion: apps/v1
    kind: Deployment
    name: sparklink-web-deployment
  minReplicas: 3 # 最小レプリカ数
  maxReplicas: 24 # 最大レプリカ数
  metrics:
    - resource:
        name: cpu
        target:
          averageUtilization: 80 # 閾値：平均 CPU 使用率 80%
          type: Utilization
      type: Resource
  behavior:
    # 10s で最大1つのレプリカをスケールアップ
    scaleUp:
      stabilizationWindowSeconds: 0 # 即時スケールアップ
      policies:
        - type: Pods
          value: 1
          periodSeconds: 10
    # 10s で最大1つのレプリカをスケールダウン
    scaleDown:
      stabilizationWindowSeconds: 5 # 5s で必要レプリカ数まで削減
      policies:
        - type: Pods
          value: 1
          periodSeconds: 10

if Rails.env.development? || Rails.env.test?
  ### local environment uses minio storage.

  Aws.config.update({
                      region: ENV['S3_REGION'],
                      credentials: Aws::Credentials.new(ENV['AWS_ACCESS_ID'], ENV['AWS_SECRET_KEY']),
                      endpoint: 'http://localhost:9000',
                      force_path_style: true
                    })

  S3_BUCKET = Aws::S3::Resource.new.bucket(ENV['LOCAL_BUCKET_NAME']) # Minio に作成したバケットを指定

elsif Rails.env.production?
  ### dev/stg/prd environment uses cloud object storage (S3 or GCS or, ...etc.).

  # COMMENT: dev/stg/prd (EKS) uses IRSA to access S3 via IAM Role.
  Aws.config.update({
                      region: ENV['S3_REGION']
                    })

  S3_BUCKET = Aws::S3::Resource.new.bucket(ENV['PRODUCTION_BUCKET_NAME'])

else
  exit 1
end

Host must be trusted. URL was: http://[Pod IP]

if (!options.trustHost) {
  return new UntrustedHost(`Host must be trusted. URL was: ${request.url}`)
}

import NextAuth, { NextAuthConfig, Session } from 'next-auth'
import { JWT } from 'next-auth/jwt'
import CogntioProvider from 'next-auth/providers/cognito' // IdP として Cognito を使用

export interface CustomSession extends Session {
  accessToken?: string
}

interface ExtendedToken extends JWT {
  accessToken?: string
}

export const options: NextAuthConfig = {
  secret: process.env.NEXTAUTH_SECRET,
  providers: [
    CogntioProvider({
      clientId: process.env.COGNITO_CLIENT_ID,
      clientSecret: process.env.COGNITO_CLIENT_SECRET,
      issuer: process.env.COGNITO_ISSUER,
    }),
  ],
  callbacks: {
    authorized({ request, auth }) {
      try {
        return Promise.resolve(!!auth)
      } catch (error) {
        return Promise.resolve(false)
      }
    },
    async jwt({ token, account, profile, user }) {
      const extendedToken: ExtendedToken = token as ExtendedToken
      if (account) {
        extendedToken.accessToken = account.access_token
      }
      return { ...extendedToken, ...user }
    },
    async session({ session, token, user }) {
      const extendedToken: ExtendedToken = token as ExtendedToken
      const customSession: CustomSession = {
        ...session,
        accessToken: extendedToken.accessToken,
      }
      return customSession
    },
  },
  trustHost: true, // クラスタ内の通信を全て許可
  session: {
    strategy: 'jwt',
  },
  pages: {
    signIn: '/login',
  },
}

export const { handlers, auth, signIn, signOut } = NextAuth(options)

name: build-sparklink-backend

on:
  workflow_dispatch:
    inputs:
      environment:
        type: choice
        description: 'Environment.'
        required: true
        options:
          - dev
          - prd

defaults:
  run:
    working-directory: .

env:
  TZ: 'Asia/Tokyo'
  ENVIRONMENT_NAME: ${{ github.event.inputs.environment }}
  APPLICATION_PLREFIX: sparklink
  APPLICATION_NAME: backend
  IMAGE_TAG: ${{ github.sha }}
  AWS_REGION: ap-northeast-1
  AWS_ROLE_ARN: | # OIDC を使用して AWS リソースへアクセス
    ${{
      github.event.inputs.environment == 'dev' && 'arn:aws:iam::[AWS AccountID]:role/sparklink-dev-build-github-actions' ||
      github.event.inputs.environment == 'prd' && 'arn:aws:iam::[AWS AccountID]:role/sparklink-prd-build-github-actions'
    }}

jobs:
  build-image:
    runs-on: [self-hosted, myshoes, myshoes_tky02_lxd_large]
    permissions:
      id-token: write
      contents: read
    steps:
      - name: Checkout
        uses: actions/checkout@v4

      - name: Set IAM role for GitHub Actions runner
        uses: aws-actions/configure-aws-credentials@v1
        with:
          aws-region: ${{ env.AWS_REGION }}
          role-to-assume: ${{ env.AWS_ROLE_ARN }}

      - name: Login to ECR
        uses: aws-actions/amazon-ecr-login@v1
        id: login-ecr

      - name: build and push docker image to ecr # コミットハッシュで Docker イメージのタグを書き換えて ECR へ Push
        env:
          REGISTRY: ${{ steps.login-ecr.outputs.registry }}
          REPOSITORY: $APPLICATION_PLREFIX-$ENVIRONMENT_NAME-$APPLICATION_NAME
        run: |
          docker build --tag ${{ env.REGISTRY }}/${{ env.REPOSITORY }}:${{ env.IMAGE_TAG }} --file ./.docker/backend/Dockerfile.prd .
          docker push ${{ env.REGISTRY }}/${{ env.REPOSITORY }}:${{ env.IMAGE_TAG }}

  change-image-tag:
    runs-on: [self-hosted, myshoes, myshoes_tky02_lxd_large]
    env:
      PR_LABEL: image-tag
      BASE_BRANCH: main
    if: success()
    needs: build-image
    steps:
      - name: Checkout
        uses: actions/checkout@v4
        with:
          ref: ${{ env.BASE_BRANCH }}

      - name: Setup env
        run: |
          echo "WORK_BRANCH_NAME=admin/$APPLICATION_NAME/$(date "+%Y%m%d%H%M%S")" >> $GITHUB_ENV

      - name: Update backend manifest file # コミットハッシュで HelmChart のイメージタグをオーバーライド
        run: |
          git checkout -b $WORK_BRANCH_NAME
          sed -i -e "s/\(tag\: \).*/\1$IMAGE_TAG/" ./charts/backend/values/${ENVIRONMENT_NAME}-image-tag.yaml
          git config user.name  "actions-user"
          git config user.email "action@github.com"
          git add -u
          git commit -m "Update $ENVIRONMENT_NAME $APPLICATION_NAME image tag (by $GITHUB_ACTOR)."

      - name: Push to GitHub
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        run: git push https://x-access-token:$GITHUB_TOKEN@github.com/$GITHUB_REPOSITORY

      - name: Create Pull Request & Enable auto merge # Actions Bot を使用して HelmChart の変更をリビジョンブランチに取り込む
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        run: |
          gh pr create -l $PR_LABEL -B $BASE_BRANCH -H $WORK_BRANCH_NAME -t "Update $ENVIRONMENT_NAME $APPLICATION_NAME image tag (by $GITHUB_ACTOR)." -b "Created by Github Actions ($GITHUB_SERVER_URL/$GITHUB_REPOSITORY/actions/runs/$GITHUB_RUN_ID)"
          gh pr merge --merge --delete-branch

  check-registry:
    runs-on: [self-hosted, myshoes, myshoes_tky02_lxd_large]
    if: success()
    needs: change-image-tag
    permissions:
      id-token: write
      contents: read
    steps:
      - name: Checkout
        uses: actions/checkout@v4

      - name: Set IAM role for GitHub Actions runner
        uses: aws-actions/configure-aws-credentials@v1
        with:
          aws-region: ${{ env.AWS_REGION }}
          role-to-assume: ${{ env.AWS_ROLE_ARN }}

      - name: Login to ECR
        uses: aws-actions/amazon-ecr-login@v1
        id: login-ecr

      - name: Show Docker registry # 対象のコンテナイメージが ECR にアップロードされていることを確認
        run: |
          aws ecr describe-images --repository-name $APPLICATION_PLREFIX-$ENVIRONMENT_NAME-$APPLICATION_NAME --filter "tagStatus=TAGGED" --query "imageDetails[?imageTags.contains(@, '$IMAGE_TAG')]"

.
├── modules
│   ├── aws
│   │   └── {aurora, eks, iam, route53, vpc, ...}
│   │       └── 以下省略
│   └── gcp
│        └── 以下省略
├── platform
│   ├── aws
│   │   └── {aurora, eks, iam, route53, vpc, ...}
│   │       ├── dev
│   │       │   └── 以下省略
│   │       └── prd
│   │           └── 以下省略
│   └── gcp
│       └── 以下省略
├── scripts
│   ├── aws
│   │   ├── dev
│   │   │   ├── create-tfstate-bucket.sh
│   │   │   └── delete-tfstate-bucket.sh
│   │   └── prd
│   │       ├── create-tfstate-bucket.sh
│   │       └── delete-tfstate-bucket.sh
│   └── gcp
│       └── 以下省略
└── services
    ├── aws
    │   └── {web, backend, github-actions, ...}
    │       ├── dev
    │       │   └── 以下省略
    │       └── prd
    │           └── 以下省略
    └── gcp
        └── 以下省略

コンポーネント（modules, platform, services） >> プロバイダ（aws, gcp, azure, ...） >> 実行環境（dev, prd, load, poc, ...） >> リージョン（ap-northeast-1, ap-northeast-2, ap-northeast-3, ...）

{dev, prd}
├── cloudwatch.tf // （必要に応じて） ログ格納先を定義
├── iam.tf        // （必要に応じて） IAM ロールを定義
├── labels.tf     // （共通） リソース作成時に付与するタグを定義 => コスト管理等に役立てることができる
├── locals.tf     // （共通） modules に対してローカル固有の設定を定義
├── main.tf       // （共通） modules を呼び出して必要なパラメータを渡す
├── outputs.tf    // （必要に応じて） tfstate のパラメータを出力・保存
├── provider.tf   // （共通） terraform provider 各種バーション等を定義
├── remote.tf     // （必要に応じて） tfstate によって管理している他リソースの （outputs.tf が出力した） パラメータを呼び出す
├── terraform.tf  // （共通） terraform の実行に必要なバージョンやロールを指定
└── variables.tf  // （共通） main.tf に渡す共通パラメータを集約