infra: develop環境のCDK環境名をdevからstgに戻す (#113)

* infra: develop環境のCDK環境名をdevからstgに戻す

develop環境AWSアカウント方針決定（#111）でstgを廃止しdevに統一する方針としたが、
再度方針を変更し、devという呼称を廃止してstgに戻す。AWSアカウント（826784631888）は
引き続き同一のものを流用し、変わるのは呼称（CDK環境名・スタック名・ワークフロー名等）のみ。

既存の-devサフィックス付きAWSリソース（CloudFormationスタック5つ・ECRリポジトリ・
IAM Role）は事前に削除済み（cdk destroy + ECRリポジトリの手動削除）。

* docs: stgスタックのデプロイ・Secret更新完了を反映

cdk deploy --all --context env=stg で新スタックをデプロイし、GitHub staging
EnvironmentのAWS_CDK_DEPLOY_ROLE_ARNを更新した結果をドキュメントに反映する。

Author: ushios

.github/workflows/_cdk_deploy.yml

@@ -10,7 +10,7 @@ on:
       context_env:
         required: true
         type: string
-        description: "CDK context environment name (e.g. prd, dev)"
+        description: "CDK context environment name (e.g. prd, stg)"
     secrets:
       role_arn:
         required: false

.github/workflows/_cdk_diff.yml

@@ -10,7 +10,7 @@ on:
       context_env:
         required: true
         type: string
-        description: "CDK context environment name (e.g. prd, dev)"
+        description: "CDK context environment name (e.g. prd, stg)"
       pr_number:
         required: true
         type: number

.github/workflows/cdk_deploy_dev.yml .github/workflows/cdk_deploy_stg.yml.github/workflows/cdk_deploy_dev.yml renamed to .github/workflows/cdk_deploy_stg.yml

@@ -1,18 +1,18 @@
-name: CDK Deploy [dev]
+name: CDK Deploy [stg]
 
-# develop へのマージ（push）で infra/aws-cdk に変更があるとき、dev環境へ cdk deploy する。
-# develop環境（staging）はAWSアカウントをdev環境（826784631888）と共用しているため、
-# 独立したstg環境は作らず、既存のdevスタックにそのままデプロイする。
+# develop へのマージ（push）で infra/aws-cdk に変更があるとき、stg環境へ cdk deploy する。
+# develop環境（staging）はAWSアカウントをstg環境（826784631888）と共用しているため、
+# 独立したstg環境は作らず、既存のstgスタックにそのままデプロイする。
 on:
   push:
     branches: [develop]
     paths:
       - "infra/aws-cdk/**"
-      - ".github/workflows/cdk_deploy_dev.yml"
+      - ".github/workflows/cdk_deploy_stg.yml"
       - ".github/workflows/_cdk_deploy.yml"
 
 concurrency:
-  group: cdk-deploy-dev
+  group: cdk-deploy-stg
   cancel-in-progress: false
 
 permissions:
@@ -24,6 +24,6 @@ jobs:
     uses: ./.github/workflows/_cdk_deploy.yml
     with:
       environment: staging
-      context_env: dev
+      context_env: stg
     secrets:
       role_arn: ${{ secrets.AWS_CDK_DEPLOY_ROLE_ARN }}

.github/workflows/cdk_diff_dev.yml .github/workflows/cdk_diff_stg.yml.github/workflows/cdk_diff_dev.yml renamed to .github/workflows/cdk_diff_stg.yml

@@ -1,17 +1,17 @@
-name: CDK Diff [dev]
+name: CDK Diff [stg]
 
-# develop への PR で infra/aws-cdk に変更があるとき、dev環境に対する cdk diff を実行し、
+# develop への PR で infra/aws-cdk に変更があるとき、stg環境に対する cdk diff を実行し、
 # 結果を PR コメントに表示する（実際のデプロイは行わない）。
 on:
   pull_request:
     branches: [develop]
     paths:
       - "infra/aws-cdk/**"
-      - ".github/workflows/cdk_diff_dev.yml"
+      - ".github/workflows/cdk_diff_stg.yml"
       - ".github/workflows/_cdk_diff.yml"
 
 concurrency:
-  group: cdk-diff-dev-${{ github.event.pull_request.number }}
+  group: cdk-diff-stg-${{ github.event.pull_request.number }}
   cancel-in-progress: true
 
 permissions:
@@ -21,12 +21,12 @@ permissions:
 
 jobs:
   cdk-diff:
-    # fork からの PR は OIDC で dev アカウントの認証情報を取得できてしまうと危険なため対象外
+    # fork からの PR は OIDC で stg アカウントの認証情報を取得できてしまうと危険なため対象外
     if: github.event.pull_request.head.repo.full_name == github.repository
     uses: ./.github/workflows/_cdk_diff.yml
     with:
       environment: staging
-      context_env: dev
+      context_env: stg
       pr_number: ${{ github.event.pull_request.number }}
     secrets:
       role_arn: ${{ secrets.AWS_CDK_DEPLOY_ROLE_ARN }}

…thub/workflows/deploy_worker_ecs_dev.yml …thub/workflows/deploy_worker_ecs_stg.yml.github/workflows/deploy_worker_ecs_dev.yml renamed to .github/workflows/deploy_worker_ecs_stg.yml .github/workflows/deploy_worker_ecs_dev.yml renamed to .github/workflows/deploy_worker_ecs_stg.yml

@@ -1,10 +1,10 @@
-name: Deploy Topic Analysis Worker (ECR) [dev]
+name: Deploy Topic Analysis Worker (ECR) [stg]
 
 # worker / topic-analysis-core / その依存パッケージがdevelopに変わったときだけ
 # イメージをビルドしてECRにpushする。Batch Job Definitionは常に:latestタグを
 # 参照するため、pushするだけで次回のSubmitJobから新しいイメージが使われる。
-# develop環境（staging）はAWSアカウントをdev環境（826784631888）と共用しているため、
-# push先はdev用ECRリポジトリになる。
+# develop環境（staging）はAWSアカウントをstg環境（826784631888）と共用しているため、
+# push先はstg用ECRリポジトリになる。
 on:
   push:
     branches: [develop]
@@ -14,22 +14,22 @@ on:
       - "packages/shared/**"
       - "packages/supabase/**"
       - "pnpm-lock.yaml"
-      - ".github/workflows/deploy_worker_ecs_dev.yml"
+      - ".github/workflows/deploy_worker_ecs_stg.yml"
       - ".github/workflows/_deploy_worker_ecs.yml"
 
 permissions:
   contents: read
   id-token: write
 
 concurrency:
-  group: deploy-worker-ecs-dev
+  group: deploy-worker-ecs-stg
   cancel-in-progress: false
 
 jobs:
   build-and-push:
     uses: ./.github/workflows/_deploy_worker_ecs.yml
     with:
       environment: staging
-      ecr_repository: mirai-gikai-topic-analysis-worker-dev
+      ecr_repository: mirai-gikai-topic-analysis-worker-stg
     secrets:
       role_arn: ${{ secrets.AWS_CDK_DEPLOY_ROLE_ARN }}

docs/20260906_0848_develop環境Vercel環境変数とSecrets実値設定手順.md

@@ -1,11 +1,11 @@
 # develop環境（staging）Vercel環境変数 ＋ Secrets Manager実値 設定手順
 
 `docs/20260831_1206_staging環境整備計画.md`の手順6・「TopicAnalysisStackのデプロイ後にやること」手順1に対応する作業手順。
-`MiraiGikaiVercelOidcStack-dev` / `MiraiGikaiTopicAnalysisStack-dev`は既にAWSアカウント`826784631888`（`saga-koucho-dev`）にデプロイ済みで、この手順はその出力値をVercel/Secrets Managerに反映する作業。
+`MiraiGikaiVercelOidcStack-stg` / `MiraiGikaiTopicAnalysisStack-stg`は既にAWSアカウント`826784631888`（`saga-koucho-stg`）にデプロイ済みで、この手順はその出力値をVercel/Secrets Managerに反映する作業。
 
 ## 前提
 
-- AWSアカウント`826784631888`（プロファイル`saga-koucho-dev`）への読み取りアクセス権があること
+- AWSアカウント`826784631888`（プロファイル`saga-koucho-stg`）への読み取りアクセス権があること
 - Vercelチーム`c4j`の`saga-kocho-web` / `saga-kocho-admin`プロジェクトの設定変更権限があること
 - `SUPABASE_SECRET_KEY` / `AI_GATEWAY_API_KEY`などの実値を持っていること（1Password等、社内の秘密情報管理先を参照）
 
@@ -20,8 +20,8 @@ develop環境（staging）には性質の異なる3種類の認証情報があ
 | ③ AWS Secrets Manager | AWSアカウント`826784631888`内 | AWS Batchで動くworkerコンテナが起動時に読む、Supabase/AI Gatewayの認証情報 | **未設定（本手順の対象）** |
 
 ①と②はどちらも「AWSにOIDCで認証する」という点で似ているが、**別々のIAM Role**を使う点に注意:
-- ①は`MiraiGikaiGitHubActionsDeployRole-dev`（GitHub Actions用、`infra/aws-cdk`のCDKデプロイ専用）
-- ②は`MiraiGikaiVercelBedrockAccessRole-dev`（Vercel用、Bedrock呼び出し＋Batch SubmitJob専用）
+- ①は`MiraiGikaiGitHubActionsDeployRole-stg`（GitHub Actions用、`infra/aws-cdk`のCDKデプロイ専用）
+- ②は`MiraiGikaiVercelBedrockAccessRole-stg`（Vercel用、Bedrock呼び出し＋Batch SubmitJob専用）
 
 ### ① GitHub Actions Environment Secrets（`staging`、現状・参考情報）
 
@@ -33,7 +33,7 @@ gh api repos/codeforjapan/saga-broadlistening/environments/staging/secrets --jq
 
 | Secret名 | 用途 |
 |---|---|
-| `AWS_CDK_DEPLOY_ROLE_ARN` | CDK deploy/diff・worker ECR pushのOIDC認証（`MiraiGikaiGitHubActionsDeployRole-dev`） |
+| `AWS_CDK_DEPLOY_ROLE_ARN` | CDK deploy/diff・worker ECR pushのOIDC認証（`MiraiGikaiGitHubActionsDeployRole-stg`） |
 | `SUPABASE_ACCESS_TOKEN` / `SUPABASE_PROJECT_REF` / `SUPABASE_DB_PASSWORD` | `supabase link` / `db push` |
 | `SUPABASE_AUTH_EXTERNAL_GOOGLE_CLIENT_ID` / `SUPABASE_AUTH_EXTERNAL_GOOGLE_SECRET` / `ADMIN_AUTH_CALLBACK_URL` | `supabase config push`（Google OAuth設定） |
 | `WEB_VERCEL_DEPLOY_HOOK_URL` / `ADMIN_VERCEL_DEPLOY_HOOK_URL` | DB migrate完了後にVercelデプロイを起動するDeploy Hook |
@@ -46,24 +46,24 @@ adminアプリ（`admin/src/lib/env.ts`）が実行時に読む変数。**webア
 
 | 環境変数名 | 取得元 |
 |---|---|
-| `AWS_ROLE_ARN` | `MiraiGikaiVercelOidcStack-dev`の出力`VercelBedrockAccessRoleArn` |
+| `AWS_ROLE_ARN` | `MiraiGikaiVercelOidcStack-stg`の出力`VercelBedrockAccessRoleArn` |
 | `AWS_REGION` | `ap-northeast-1`（固定値。未設定でもコード側のデフォルトで動くが明示推奨） |
-| `TOPIC_ANALYSIS_BATCH_JOB_QUEUE_ARN` | `MiraiGikaiTopicAnalysisStack-dev`の出力`JobQueueArnOutput` |
-| `TOPIC_ANALYSIS_BATCH_JOB_DEFINITION_ARN` | `MiraiGikaiTopicAnalysisStack-dev`の出力`JobDefinitionArnOutput` |
+| `TOPIC_ANALYSIS_BATCH_JOB_QUEUE_ARN` | `MiraiGikaiTopicAnalysisStack-stg`の出力`JobQueueArnOutput` |
+| `TOPIC_ANALYSIS_BATCH_JOB_DEFINITION_ARN` | `MiraiGikaiTopicAnalysisStack-stg`の出力`JobDefinitionArnOutput` |
 
 ### 2.2 実際の値を取得する
 
 ```bash
-aws sso login --profile saga-koucho-dev
+aws sso login --profile saga-koucho-stg
 
 aws cloudformation describe-stacks \
-  --stack-name MiraiGikaiVercelOidcStack-dev \
-  --profile saga-koucho-dev --region ap-northeast-1 \
+  --stack-name MiraiGikaiVercelOidcStack-stg \
+  --profile saga-koucho-stg --region ap-northeast-1 \
   --query "Stacks[0].Outputs"
 
 aws cloudformation describe-stacks \
-  --stack-name MiraiGikaiTopicAnalysisStack-dev \
-  --profile saga-koucho-dev --region ap-northeast-1 \
+  --stack-name MiraiGikaiTopicAnalysisStack-stg \
+  --profile saga-koucho-stg --region ap-northeast-1 \
   --query "Stacks[0].Outputs"
 ```
 
@@ -75,7 +75,7 @@ aws cloudformation describe-stacks \
 
 ### 2.4 注意（重要・セキュリティ）
 
-Vercelの`Preview`環境変数は、branchを絞らない限り**developブランチだけでなく、任意のfeatureブランチのプレビューデプロイにも適用される**。つまり何も絞らずに設定すると、develop以外のPRプレビューからも`MiraiGikaiVercelBedrockAccessRole-dev`（Bedrock呼び出し＋Batch SubmitJob権限）にアクセスできてしまう。
+Vercelの`Preview`環境変数は、branchを絞らない限り**developブランチだけでなく、任意のfeatureブランチのプレビューデプロイにも適用される**。つまり何も絞らずに設定すると、develop以外のPRプレビューからも`MiraiGikaiVercelBedrockAccessRole-stg`（Bedrock呼び出し＋Batch SubmitJob権限）にアクセスできてしまう。
 
 - Vercelのプラン・設定で「特定ブランチのみに適用するPreview環境変数」（Preview Branchesの指定）が可能な場合は、**`develop`ブランチに限定**して設定すること
 - 絞り込みができない場合は、リスクを許容範囲と判断できるか（本リポジトリはfork PRを`if: github.event.pull_request.head.repo.full_name == github.repository`で弾いているため、外部フォークからの悪用は防げるが、社内の他featureブランチのプレビューからはアクセスできてしまう点は変わらない）を確認してから設定する
@@ -84,66 +84,66 @@ Vercelの`Preview`環境変数は、branchを絞らない限り**developブラ
 
 1. `develop`へpush → `Migrate DB then Deploy`ワークフロー経由でVercelデプロイが起動することを確認
 2. developのプレビューURLでadminにログインし、トピック分析のBatch起動機能（`admin/src/lib/topic-analysis-batch.ts`を使う画面）を実行
-3. AWS Batchのjob queue（`mirai-gikai-topic-analysis-dev`）にjobが積まれることを確認:
+3. AWS Batchのjob queue（`mirai-gikai-topic-analysis-stg`）にjobが積まれることを確認:
    ```bash
-   aws batch list-jobs --job-queue mirai-gikai-topic-analysis-dev \
-     --profile saga-koucho-dev --region ap-northeast-1
+   aws batch list-jobs --job-queue mirai-gikai-topic-analysis-stg \
+     --profile saga-koucho-stg --region ap-northeast-1
    ```
 
-## 3. Secrets Manager実値の投入（devのworker用）
+## 3. Secrets Manager実値の投入（stgのworker用）
 
 ### 3.1 対象キー
 
 CDKは空のSecretだけを作成しており（`infra/aws-cdk/lib/stacks/topic-analysis-stack.ts`）、実値は別途投入する必要がある。worker本体（`worker/src/main.ts`）が起動時に必須envとして要求する3つ。
 
 | Secret ID | 値 |
 |---|---|
-| `mirai-gikai-topic-analysis-worker-dev/SUPABASE_URL` | dev用SupabaseプロジェクトのURL |
-| `mirai-gikai-topic-analysis-worker-dev/SUPABASE_SECRET_KEY` | dev用SupabaseのService Role Key |
-| `mirai-gikai-topic-analysis-worker-dev/AI_GATEWAY_API_KEY` | Vercel AI GatewayのAPIキー |
+| `mirai-gikai-topic-analysis-worker-stg/SUPABASE_URL` | stg用SupabaseプロジェクトのURL |
+| `mirai-gikai-topic-analysis-worker-stg/SUPABASE_SECRET_KEY` | stg用SupabaseのService Role Key |
+| `mirai-gikai-topic-analysis-worker-stg/AI_GATEWAY_API_KEY` | Vercel AI GatewayのAPIキー |
 
 ### 3.2 投入コマンド
 
 値は対話入力させ、シェル履歴に残さない。
 
 ```bash
 aws secretsmanager put-secret-value \
-  --secret-id mirai-gikai-topic-analysis-worker-dev/SUPABASE_URL \
-  --secret-string "<値>" --profile saga-koucho-dev --region ap-northeast-1
+  --secret-id mirai-gikai-topic-analysis-worker-stg/SUPABASE_URL \
+  --secret-string "<値>" --profile saga-koucho-stg --region ap-northeast-1
 
 aws secretsmanager put-secret-value \
-  --secret-id mirai-gikai-topic-analysis-worker-dev/SUPABASE_SECRET_KEY \
-  --secret-string "<値>" --profile saga-koucho-dev --region ap-northeast-1
+  --secret-id mirai-gikai-topic-analysis-worker-stg/SUPABASE_SECRET_KEY \
+  --secret-string "<値>" --profile saga-koucho-stg --region ap-northeast-1
 
 aws secretsmanager put-secret-value \
-  --secret-id mirai-gikai-topic-analysis-worker-dev/AI_GATEWAY_API_KEY \
-  --secret-string "<値>" --profile saga-koucho-dev --region ap-northeast-1
+  --secret-id mirai-gikai-topic-analysis-worker-stg/AI_GATEWAY_API_KEY \
+  --secret-string "<値>" --profile saga-koucho-stg --region ap-northeast-1
 ```
 
 ### 3.3 workerイメージのpush（初回のみ手動、以降は自動）
 
 `:latest`タグが無いとBatch Job Definitionの起動が失敗する。PR #109で`deploy_worker_ecs_dev.yml`が追加されたため、**develop側は次回`worker/`配下の変更がdevelopにマージされた時点で自動push**される。それより前に動作確認したい場合のみ手動push:
 
 ```bash
-aws ecr get-login-password --region ap-northeast-1 --profile saga-koucho-dev | \
+aws ecr get-login-password --region ap-northeast-1 --profile saga-koucho-stg | \
   docker login --username AWS --password-stdin 826784631888.dkr.ecr.ap-northeast-1.amazonaws.com
 docker build --platform linux/amd64 -f worker/Dockerfile \
-  -t 826784631888.dkr.ecr.ap-northeast-1.amazonaws.com/mirai-gikai-topic-analysis-worker-dev:latest .
-docker push 826784631888.dkr.ecr.ap-northeast-1.amazonaws.com/mirai-gikai-topic-analysis-worker-dev:latest
+  -t 826784631888.dkr.ecr.ap-northeast-1.amazonaws.com/mirai-gikai-topic-analysis-worker-stg:latest .
+docker push 826784631888.dkr.ecr.ap-northeast-1.amazonaws.com/mirai-gikai-topic-analysis-worker-stg:latest
 ```
 
 ### 3.4 動作確認（手動でBatchジョブを実行）
 
 ```bash
 aws batch submit-job \
   --job-name manual-test \
-  --job-queue mirai-gikai-topic-analysis-dev \
-  --job-definition mirai-gikai-topic-analysis-worker-dev \
+  --job-queue mirai-gikai-topic-analysis-stg \
+  --job-definition mirai-gikai-topic-analysis-worker-stg \
   --container-overrides command=--mode=analyze-all \
-  --profile saga-koucho-dev --region ap-northeast-1
+  --profile saga-koucho-stg --region ap-northeast-1
 
-aws logs tail /mirai-gikai/topic-analysis-worker-dev --follow \
-  --profile saga-koucho-dev --region ap-northeast-1
+aws logs tail /mirai-gikai/topic-analysis-worker-stg --follow \
+  --profile saga-koucho-stg --region ap-northeast-1
 ```
 
 ## 4. 未対応（本手順の対象外）

docs/20260906_2230_develop環境_全サービス環境変数チェックリスト.md

@@ -82,10 +82,10 @@ Branchingの`develop`ブランチ（親プロジェクト配下）を使う。
 
 | 変数名 | 取得元 |
 |---|---|
-| `AWS_ROLE_ARN` | `MiraiGikaiVercelOidcStack-dev`の出力`VercelBedrockAccessRoleArn` |
+| `AWS_ROLE_ARN` | `MiraiGikaiVercelOidcStack-stg`の出力`VercelBedrockAccessRoleArn` |
 | `AWS_REGION` | `ap-northeast-1` |
-| `TOPIC_ANALYSIS_BATCH_JOB_QUEUE_ARN` | `MiraiGikaiTopicAnalysisStack-dev`の出力`JobQueueArnOutput` |
-| `TOPIC_ANALYSIS_BATCH_JOB_DEFINITION_ARN` | `MiraiGikaiTopicAnalysisStack-dev`の出力`JobDefinitionArnOutput` |
+| `TOPIC_ANALYSIS_BATCH_JOB_QUEUE_ARN` | `MiraiGikaiTopicAnalysisStack-stg`の出力`JobQueueArnOutput` |
+| `TOPIC_ANALYSIS_BATCH_JOB_DEFINITION_ARN` | `MiraiGikaiTopicAnalysisStack-stg`の出力`JobDefinitionArnOutput` |
 
 > **セキュリティ注意**: 上記AWS系変数はVercelの`Preview`環境変数がブランチを絞らない限り
 > 任意のfeatureブランチのプレビューにも適用される。可能なら`develop`ブランチに限定すること