📘 改訂版：SnowflakeとTerraformによるインフラストラクチャ・アズ・コード（IaC）実践ガイド

$ brew tap hashicorp/tap
$ brew install hashicorp/tap/terraform

$ terraform -help
Usage: terraform [global options] <subcommand> [args]
# ... 省略 ...

resource "snowflake_user" "user1" {
  name    = "user1"
  comment = "example user"
}

resource "snowflake_role" "parent" {
  name    = "parent_role"
  comment = "example role"
}

resource "snowflake_role" "child" {
  name    = "child_role"
  comment = "example role"
}

resource "snowflake_role_grants" "grants" {
  role_name = snowflake_role.child.name

  # childロールにparentロールを付与し、ロールの階層関係を構築
  roles = [
    snowflake_role.parent.name,
  ]
  
  # user1にchildロールを付与
  users = [
    snowflake_user.user1.name
  ]
}

-- 1. 専用ロールの作成 (最小権限の原則に基づき、必要な権限のみを付与)
CREATE ROLE IF NOT EXISTS TERRAFORM_CI_ROLE COMMENT = 'Role for Terraform CI/CD automation.';

-- 2. サービスアカウントユーザーの作成 (キーペア認証を推奨)
-- パスワード認証を使用する場合の例（セキュリティリスクが高いため非推奨）
CREATE USER IF NOT EXISTS TERRAFORM_CI_USER
    PASSWORD = 'TemporaryPassword123!' -- セキュリティのため、必ず複雑なパスワードに変更
    DEFAULT_ROLE = TERRAFORM_CI_ROLE
    DEFAULT_WAREHOUSE = TERRAFORM_WH
    MUST_CHANGE_PASSWORD = TRUE;

-- 3. 必要な管理権限の付与 (最小権限の原則に基づき、SECURITYADMINとSYSADMINの直接付与は非推奨)
-- ユーザーやロール管理には USERADMIN または SECURITYADMIN のみが望ましい
GRANT ROLE USERADMIN TO ROLE TERRAFORM_CI_ROLE;
GRANT ROLE SYSADMIN TO ROLE TERRAFORM_CI_ROLE; -- リソース作成のために一時的にSYSADMINを付与

-- 4. ウェアハウスの作成と設定（最新の推奨設定）
CREATE OR REPLACE WAREHOUSE TERRAFORM_WH 
    WAREHOUSE_SIZE = XSMALL
    AUTO_RESUME = TRUE
    AUTO_SUSPEND = 300 -- 5分間（コスト削減のため短めに設定）
    INITIALLY_SUSPENDED = TRUE
    STATEMENT_TIMEOUT_IN_SECONDS = 3600 -- 60分
    COMMENT = 'For Terraform CI/CD operations.';

-- 5. 権限付与
-- 作成したCI/CD用ロールにウェアハウスの使用権限を付与
GRANT USAGE ON WAREHOUSE TERRAFORM_WH TO ROLE TERRAFORM_CI_ROLE;

-- 補足: 複数のロールに同じウェアハウス権限を付与する際は、個別にGRANTを実行します。
GRANT USAGE ON WAREHOUSE TERRAFORM_WH TO ROLE SECURITYADMIN;

環境変数,目的,旧設定の注意点,最新の推奨
SNOWFLAKE_ACCOUNT,アカウントロケーター,変更なし,変更なし
SNOWFLAKE_USER,ユーザー名,変更なし,変更なし
SNOWFLAKE_PASSWORD,パスワード,環境変数ではなくGitHub Secretsでのみ設定。非推奨。,使用しない (SNOWFLAKE_PRIVATE_KEYに置き換えを推奨)
SNOWFLAKE_ROLE,使用ロール,変更なし,変更なし
SNOWFLAKE_WAREHOUSE,使用ウェアハウス,変更なし,変更なし

terraform {
  required_version = "~> 1.6.0" # 最新安定版に更新

  backend "s3" {
    bucket         = "terraform-state-mnagaa"
    region         = "ap-northeast-1"
    key            = "common-github.tfstate"
    dynamodb_table = "mnagaa-terraform-state-lock"
    # OIDCを使用する場合、profileやaccess keyの記載は不要になる
  }
  
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0" # 最新のメジャーバージョンに更新
    }
    # Snowflake Providerのソースを明記
    snowflake = {
      source  = "Snowflake-Labs/snowflake"
      version = "~> 0.89.0" # 最新安定版に更新
    }
  }
}

provider "aws" {
  region = "ap-northeast-1"
  # OIDCを使うため、クレデンシャル設定はGitHub Actions側で行う
  default_tags {
    tags = {
      env     = var.environment
      project = var.project
      owner   = "terraform"
      tfstate = "common-github"
    }
  }
}

# ... (on: pull_request: 部分は変更なし)
env:
  # ... (AWS/Terraform/Snowflakeの環境変数は Secretsから読み込む)
  # TF_VERSION: "1.3.0" # setup-terraformのwithで指定することを推奨

jobs:
  plan-common:
    runs-on: ubuntu-latest # 最新のUbuntuランナーを使用
    # ... (permissionsは変更なし)
    strategy:
      matrix:
        path:
          - common-snowflake
    
    defaults:
      run:
        working-directory: ./terraform/project/${{ matrix.path }} # working-directoryをmatrixに合わせる

    steps:
      - uses: actions/checkout@v4 # アクションを最新版に更新

      - uses: aws-actions/configure-aws-credentials@v4 # アクションを最新版に更新
        with:
          role-to-assume: arn:aws:iam::${{ env.AWS_ACCOUNT_ID }}:role/mnagaa-github-actions-ro-role
          aws-region: ${{ env.AWS_REGION }}

      - uses: hashicorp/setup-terraform@v3 # アクションを最新版に更新
        with:
          terraform_version: 1.6.0 # TF_VERSIONではなくwithで直接指定 (推奨)

      - name: Check format
        run: terraform fmt -check -recursive

      # -chdir=${{ matrix.path }} は defaults:run: で設定済みのため不要
      - name: Init
        run: terraform init -upgrade -no-color

      - name: Check validate
        run: terraform validate

      - name: Plan
        run: terraform plan -no-color -input=false

# ... (on: workflow_dispatch: inputs: 部分は変更なし)

jobs:
  apply-common:
    # ... (runs-on, permissions, defaults:run: は plan と同様に更新)
    steps:
      - uses: actions/checkout@v4

      - uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: arn:aws:iam::${{ env.AWS_ACCOUNT_ID }}:role/mnagaa-github-actions-rw-role # Write権限のロールを使用
          aws-region: ${{ env.AWS_REGION }}

      - uses: hashicorp/setup-terraform@v3
        with:
          terraform_version: 1.6.0 # 最新版を指定

      - name: Init
        run: terraform init -upgrade -no-color

      - name: Apply
        # refresh_only のカスタムインプットを利用して、apply を実行するかを制御
        if: ${{ github.event.inputs.refresh_only == 'false' }} 
        run: terraform apply -no-color -auto-approve
        
      - name: Plan (Refresh Onlyとして実行する場合)
        # refresh_only が true の場合は、plan の実行に留める
        if: ${{ github.event.inputs.refresh_only == 'true' }} 
        run: terraform plan -no-color -input=false