docs(infra): 踏み台越し migration の手順を実地に合わせる

[yook11]

背景

本番へ z10 / z11 を適用する作業で、infra/aws/README.md の記述が現状と 2 点ズレていることが分かった。どちらも RDS 移行後に生じたもので、実際に手が止まった箇所。

1. TLS の指定

手順 4 / 5 の URL が host=127.0.0.1 になっていた。この形は 2 つの経路のどちらも塞がっている。

• sslmode を省く → asyncpg 既定の prefer に落ちる。prefer は check_hostname=False / verify_mode=CERT_NONE なので、検証なしの TLS で接続が成立する。rds.force_ssl=1 は満たすため気づけない
• sslmode=require を付ける → db_ssl.py が require を verify-full に格上げするため、CN 不一致で落ちる

db_ssl.py は「検証なし TLS というモードは持たない」と宣言している (sslmode 抜きの ssl 系 param を ValueError で弾く設計) ので、その抜け道を手順書に残さない。hosts で RDS のホスト名を 127.0.0.1 へ向け、名前解決で解く形に直した。

足す: echo "127.0.0.1 <RDS endpoint>" | sudo tee -a /etc/hosts
消す: sudo sed -i '' '/<RDS endpoint>/d' /etc/hosts   (作業後に必ず)

あわせて「libpq は host / hostaddr の分離指定で保てるが、asyncpg / pg にその分離は無い」を明記した。psql と backend で解き方が違うことが読み取れなかったのが元の混乱の原因。

2. 踏み台に使う権限

「生やす / 繋ぐ / 消す」の 3 つはいずれも admin が要るが、手順書に profile の記載が無かった。deploy 用の profile で試して 3 回失敗した。

理由は bastion.tf の注記のとおりで、

• 踏み台の role は Session Manager を使うため permissions boundary を付けられない (boundary が ssmmessages:* を Deny)
• boundary 無しの role 作成は terraform-apply 側の DenyRoleCreationWithoutBoundary が拒否する
• ssm:StartSession も terraform-apply は持たない

踏み台が admin 専用なのは設計であって権限不足ではない、と読める形で手順書側にも書いた。

公開範囲

実 endpoint 名は <RDS endpoint> の placeholder のまま。アカウント ID・ホスト名・実 profile 値は含まない。

🤖 Generated with Claude Code

[yook11]

運用手順を公開 README に厚く書き足す方向だったため取り下げる。Public Repository Hygiene に沿って private runbook へ移す形に作り直した (後継 PR)。