Claude Code×クラウドCLI（AWS・Cloudflare・Vercel）【2026】ログ調査・障害切り分け・コスト点検をAIエージェントで

# 人が使う通常のプロファイル（AIには使わせない）
[profile admin]
sso_session = my-sso
sso_account_id = 123456789012
sso_role_name = AdministratorAccess
region = ap-northeast-1

# AI用：読み取り専用の権限セット（IAM Identity Center の例）
[profile readonly]
sso_session = my-sso
sso_account_id = 123456789012
sso_role_name = ClaudeReadOnly
region = ap-northeast-1

[sso-session my-sso]
sso_start_url = https://my-org.awsapps.com/start
sso_region = ap-northeast-1

# 読み取り専用プロファイルでログインし、誰として認証されているか確認
aws sso login --profile readonly
AWS_PROFILE=readonly aws sts get-caller-identity
{ "UserId": "...", "Account": "123456789012", "Arn": "arn:aws:sts::123456789012:assumed-role/AWSReservedSSO_ClaudeReadOnly_.../..." }

infra-ops/
├── CLAUDE.md                          # 環境の説明・やってよいこと/いけないこと
├── .claude/
│   ├── settings.json                  # env（AWS_PROFILE=readonly）・permissions・hooks
│   ├── hooks/
│   │   └── block-destructive.sh       # 変更系コマンドを実行前にブロック（exit 2）
│   └── skills/
│       └── cost-review/SKILL.md       # 月次コスト点検の手順
├── scripts/
│   ├── cost_by_service.sh             # Cost Explorer でサービス別コストを取得
│   ├── aws_unused_report.sh           # 未使用リソースの一覧（読み取りのみ）
│   └── tf_plan.sh                     # terraform plan を実行しテキスト/JSONで保存
├── terraform/
│   ├── staging/                       # まずこちらで試す
│   └── production/
├── reports/                           # 出力先（.gitignore 済み）
└── tmp/                               # ログ等の一時ファイル（.gitignore 済み）

# 直近1時間の ERROR を含むログを短い形式で表示（Lambda の例）
aws logs tail /aws/lambda/order-api --since 1h \
  --filter-pattern "ERROR" --format short > tmp/order-api-errors.log

# 件数の推移を5分単位で見る：CloudWatch Logs Insights（非同期クエリ）
QID=$(aws logs start-query \
  --log-group-name /aws/lambda/order-api \
  --start-time $(date -d '-3 hours' +%s) --end-time $(date +%s) \
  --query-string 'fields @timestamp, @message
    | filter @message like /ERROR/
    | stats count() as errors by bin(5m)' \
  --query queryId --output text)

sleep 5
aws logs get-query-results --query-id "$QID" > tmp/errors-by-5m.json

# Workers のリアルタイムログを、エラーだけ JSON で2分間収集（tail は止めない限り流れ続ける）
timeout 120 npx wrangler tail order-worker --format json --status error \
  > tmp/worker-errors.jsonl

# Pages Functions の場合
timeout 120 npx wrangler pages deployment tail --project-name my-site \
  --format json > tmp/pages-tail.jsonl

#!/usr/bin/env bash
# 使い方: scripts/cost_by_service.sh 2026-08-01 2026-09-01（End は含まれない）
set -euo pipefail
START="$1"; END="$2"
mkdir -p reports

aws ce get-cost-and-usage \
  --time-period Start="$START",End="$END" \
  --granularity MONTHLY \
  --metrics UnblendedCost \
  --group-by Type=DIMENSION,Key=SERVICE \
  --query 'ResultsByTime[].Groups[].{service: Keys[0], usd: Metrics.UnblendedCost.Amount}' \
  --output json > "reports/cost_${START}_${END}.json"

echo "saved: reports/cost_${START}_${END}.json"

#!/usr/bin/env bash
# 読み取り（describe）だけで、削除候補になりうるリソースを一覧化する。削除はしない。
set -euo pipefail
OUT="reports/unused_$(date +%Y%m%d).md"
mkdir -p reports

{
  echo "## 未アタッチのEBSボリューム"
  aws ec2 describe-volumes --filters Name=status,Values=available \
    --query 'Volumes[].[VolumeId,Size,VolumeType,CreateTime]' --output text

  echo "## どこにも関連付けられていないElastic IP"
  aws ec2 describe-addresses \
    --query 'Addresses[?AssociationId==null].[PublicIp,AllocationId]' --output text

  echo "## 停止中のEC2インスタンス"
  aws ec2 describe-instances --filters Name=instance-state-name,Values=stopped \
    --query 'Reservations[].Instances[].[InstanceId,InstanceType,Tags[?Key==`Name`]|[0].Value]' \
    --output text

  echo "## 古い順のスナップショット（先頭30件）"
  aws ec2 describe-snapshots --owner-ids self \
    --query 'sort_by(Snapshots,&StartTime)[:30].[SnapshotId,VolumeSize,StartTime,Description]' \
    --output text
} > "$OUT"

echo "saved: $OUT"

#!/usr/bin/env bash
# 使い方: scripts/tf_plan.sh staging
set -euo pipefail
ENV="$1"
cd "terraform/${ENV}"

terraform init -input=false > /dev/null
terraform plan -input=false -no-color -out=tfplan > "../../tmp/plan_${ENV}.txt"
terraform show -json tfplan > "../../tmp/plan_${ENV}.json"

# 削除・置き換え（delete を含む）になるリソースだけ抜き出す
jq -r '.resource_changes[] | select(.change.actions | index("delete")) | .address' \
  "../../tmp/plan_${ENV}.json"

# Cloudflare Pages：本番ブランチ以外の --branch を指定するとプレビューとしてデプロイされる
npx wrangler pages deploy ./public --project-name my-site --branch staging

# Vercel：--prod を付けなければプレビューデプロイ（本番に出すのは人）
vercel deploy

# Vercel のデプロイ一覧・ログ確認
vercel ls
vercel logs <デプロイURL>

# インフラ運用ルール（AIエージェント向け）

## 環境
- AWS: 123456789012（本番）/ 210987654321（staging）。リージョンは ap-northeast-1
- 使ってよい AWS プロファイルは readonly のみ（settings.json で AWS_PROFILE=readonly を設定済み）
- Cloudflare: Pages プロジェクト my-site（本番ブランチ main）、Worker order-worker
- Terraform: terraform/staging, terraform/production

## やってよいこと
- ログ・メトリクス・設定・コストの読み取り（scripts/ 配下のスクリプトを優先して使う）
- .tf ファイルの変更案の作成と scripts/tf_plan.sh の実行
- Cloudflare Pages への --branch staging でのデプロイ

## やってはいけないこと（必要なら「人が実行するコマンド」として提案だけする）
- リソースの削除・停止・再起動・設定変更（aws の delete / terminate / stop / put / update 系）
- terraform apply / destroy、state の操作
- 本番へのデプロイ（Pages の main、vercel --prod）
- readonly 以外のプロファイルの使用、認証情報ファイルの読み取り

## 障害調査の進め方
1. まず「いつから・どこで・何が」起きているかをログで確認し、事実と推測を分けて書く
2. 原因の仮説は3つ以内、根拠となるログ行を引用する
3. 対応案はリスクの低い順に並べ、実行コマンドは人向けに提示する
4. 結果は reports/incident_YYYYMMDD.md にまとめる

{
  "env": {
    "AWS_PROFILE": "readonly"
  },
  "permissions": {
    "allow": [
      "Bash(aws sts get-caller-identity:*)",
      "Bash(aws logs tail:*)",
      "Bash(aws logs start-query:*)",
      "Bash(aws logs get-query-results:*)",
      "Bash(aws logs describe-log-groups:*)",
      "Bash(scripts/cost_by_service.sh:*)",
      "Bash(scripts/aws_unused_report.sh:*)",
      "Bash(scripts/tf_plan.sh:*)",
      "Bash(terraform fmt:*)",
      "Bash(terraform validate:*)",
      "Bash(timeout 120 npx wrangler tail:*)",
      "Bash(npx wrangler whoami)",
      "Bash(vercel ls:*)",
      "Bash(vercel logs:*)",
      "Read(./reports/**)",
      "Read(./tmp/**)"
    ],
    "ask": [
      "Bash(npx wrangler pages deploy:*)",
      "Bash(vercel deploy:*)",
      "Bash(aws s3 cp:*)"
    ],
    "deny": [
      "Bash(aws * delete*:*)",
      "Bash(aws * terminate*:*)",
      "Bash(aws * remove*:*)",
      "Bash(aws s3 rm:*)",
      "Bash(aws s3 rb:*)",
      "Bash(aws iam:*)",
      "Bash(terraform apply:*)",
      "Bash(terraform destroy:*)",
      "Bash(terraform state:*)",
      "Bash(npx wrangler delete:*)",
      "Bash(npx wrangler secret:*)",
      "Bash(vercel --prod:*)",
      "Bash(vercel deploy --prod:*)",
      "Bash(vercel remove:*)",
      "Bash(vercel env:*)",
      "Read(./.env)",
      "Read(./.env.*)",
      "Read(~/.aws/credentials)",
      "Read(**/*.tfstate)",
      "Read(**/*.tfvars)"
    ]
  },
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          { "type": "command", "command": "\"$CLAUDE_PROJECT_DIR\"/.claude/hooks/block-destructive.sh" }
        ]
      }
    ]
  }
}

#!/usr/bin/env bash
# 標準入力の JSON から、実行しようとしているコマンドを取り出す
CMD=$(jq -r '.tool_input.command // ""')

block() { echo "$1" >&2; exit 2; }

# 1) AWS の変更系オペレーション（削除・作成・変更などの動詞で始まるサブコマンド）
if echo "$CMD" | grep -Eq 'aws[[:space:]]+([^[:space:]]+[[:space:]]+)*(delete|terminate|remove|put|create|update|modify|attach|detach|stop|reboot|run|invoke|rm|rb|mv|sync)[-a-z]*([[:space:]]|$)'; then
  block "AWS の変更系操作は実行できません。人が実行するコマンドとして、影響範囲と一緒に提案してください。"
fi

# 2) readonly 以外のプロファイル指定
if echo "$CMD" | grep -Eq '(--profile[[:space:]=]+|AWS_PROFILE=)' && \
   ! echo "$CMD" | grep -Eq '(--profile[[:space:]=]+|AWS_PROFILE=)readonly([[:space:]]|$)'; then
  block "readonly 以外の AWS プロファイルは使えません。"
fi

# 3) Terraform の適用・破棄
if echo "$CMD" | grep -Eq 'terraform[[:space:]]+(apply|destroy)|-auto-approve'; then
  block "terraform apply / destroy は人が実行します。plan の要約までにしてください。"
fi

# 4) 本番デプロイ（Pages は staging ブランチのみ許可、Vercel は --prod 禁止）
if echo "$CMD" | grep -Eq 'wrangler[[:space:]]+pages[[:space:]]+deploy' && \
   ! echo "$CMD" | grep -Eq -- '--branch[[:space:]=]+staging([[:space:]]|$)'; then
  block "Pages へのデプロイは --branch staging（プレビュー）のみ許可されています。"
fi
if echo "$CMD" | grep -Eq 'vercel.*--prod'; then
  block "Vercel の本番デプロイは人が行います。プレビューで確認してください。"
fi

exit 0

> 14時ごろから注文APIで 502 が増えているとアラートが来た。order-api（Lambda）と
  order-worker（Cloudflare Workers）のログを調べて、原因の仮説を3つ以内で。
  事実と推測は分けて、根拠のログ行を引用して。何も変更はしないこと。

> 8月と7月のAWSコストをサービス別に比べて、増えた上位5つと考えられる理由をまとめて。
  未使用リソースのレポートも作って、削除候補は「確認が必要な人・理由」付きで一覧に。
  削除や変更のコマンドは実行しないで、reports/cost_review_202608.md に書いて。

> staging の RDS のインスタンスクラスを1段上げる変更案を作って、plan を取って。
  置き換え（再作成）やダウンタイムが発生するかを最初に教えて。apply はしないで。

# リモート（HTTP）のMCPサーバー。URLは各社の公式手順のものを使う
claude mcp add --transport http cloudflare-docs <公式のMCPサーバーURL>

# ローカル（stdio）で動くMCPサーバー。AWS_PROFILE は readonly を渡す
claude mcp add aws-cost --env AWS_PROFILE=readonly -- <公式手順の起動コマンド>

# 接続状況の確認
/mcp

---
name: cost-review
description: AWSの月次コストをサービス別に前月比較し、増加要因と未使用リソースの削除候補をレポートにまとめる。コスト点検・請求額の確認を頼まれたときに使う。
---

# 月次コスト点検の手順
1. scripts/cost_by_service.sh を「前月」「前々月」の2回実行する（End は月初日＝その日を含まない）
2. 増加額の上位5サービスを表にする（金額は小数点2桁、USD）
3. 上位サービスは USAGE_TYPE 別の内訳も確認し、要因の仮説を書く
4. scripts/aws_unused_report.sh を実行し、削除候補を「削除可／要確認／残す」に分類
5. reports/cost_review_YYYYMM.md に保存。削除・変更コマンドは「人が実行する案」として末尾に列挙するだけにする

5 9 2 * * cd /home/ops/infra-ops && AWS_PROFILE=readonly claude -p \
  "cost-review の手順で先月分のコスト点検をして、レポートを保存して。" \
  --allowedTools "Bash(scripts/cost_by_service.sh:*),Bash(scripts/aws_unused_report.sh:*),Read,Write" \
  --output-format json >> logs/cost-review.log 2>&1