# バッチ設計書 42-db:encryption:init

## 概要

本ドキュメントは、Active Record暗号化機能を構成するためのキーセットを生成するRakeタスク `db:encryption:init` の設計仕様を定義する。

### 本バッチの処理概要

`db:encryption:init` タスクは、Active Record暗号化（Active Record Encryption）を使用するために必要な暗号化キーを生成し、credentialsファイルへの追加手順を表示するユーティリティタスクである。

**業務上の目的・背景**：Active Record暗号化は、Rails 7.0で導入されたデータベースの属性レベル暗号化機能である。個人情報や機密データをデータベースに保存する際に、アプリケーションレベルで透過的に暗号化することで、データ漏洩時のリスクを軽減する。本タスクは、この暗号化機能を有効にするための初期設定として、3種類の暗号化キー（primary_key、deterministic_key、key_derivation_salt）を生成する。これらのキーは32文字の英数字からなるランダム文字列として生成される。

**バッチの実行タイミング**：手動実行が主体であり、以下のような場面で使用される。
- Active Record暗号化を初めて導入する際
- 新しい環境（staging、production等）のセットアップ時
- キーのローテーションが必要な場合

**主要な処理内容**：
1. SecureRandom.alphanumericを使用して32文字のprimary_keyを生成
2. SecureRandom.alphanumericを使用して32文字のdeterministic_keyを生成
3. SecureRandom.alphanumericを使用して32文字のkey_derivation_saltを生成
4. 生成したキーをcredentialsに追加するための設定例を標準出力に表示

**前後の処理との関連**：本タスクは他のタスクに依存せず、単独で実行可能。出力された設定は、`rails credentials:edit` コマンドを使用してcredentialsファイルに手動で追加する必要がある。

**影響範囲**：本タスクはキーを生成して表示するのみであり、ファイルの変更やデータベースへの操作は一切行わない。ただし、生成されたキーをcredentialsに追加した後は、暗号化されたデータの読み書きに影響する。

## バッチ種別

セキュリティ設定 / 暗号化キー生成

## 実行スケジュール

| 項目 | 内容 |
|-----|------|
| 実行頻度 | 随時（初回セットアップ時） |
| 実行時刻 | 任意 |
| 実行曜日 | 任意 |
| 実行日 | 任意 |
| トリガー | 手動（bin/rails db:encryption:init） |

## 実行条件

### 前提条件

| 条件 | 説明 |
|-----|------|
| Rails環境 | Railsアプリケーションとして初期化されていること |

### 実行可否判定

Railsアプリケーションであれば常に実行可能。特別な前提条件はない。

## 入力仕様

### 入力パラメータ

| パラメータ名 | 型 | 必須 | デフォルト値 | 説明 |
|-------------|-----|-----|-------------|------|
| なし | - | - | - | 入力パラメータは不要 |

### 入力データソース

| データソース | 形式 | 説明 |
|-------------|------|------|
| なし | - | 外部データソースは使用しない |

## 出力仕様

### 出力データ

| 出力先 | 形式 | 説明 |
|-------|------|------|
| 標準出力 | テキスト | credentials追加用の設定例 |

### 出力ファイル仕様

ファイル出力なし。標準出力へのテキスト表示のみ。

出力例：
```
Add this entry to the credentials of the target environment:

active_record_encryption:
  primary_key: AbCdEfGhIjKlMnOpQrStUvWxYz123456
  deterministic_key: 123456AbCdEfGhIjKlMnOpQrStUvWxYz
  key_derivation_salt: QrStUvWxYz123456AbCdEfGhIjKlMnOp
```

## 処理フロー

### 処理シーケンス

```
1. primary_key の生成
   └─ SecureRandom.alphanumeric(32) で32文字のランダム文字列を生成
2. deterministic_key の生成
   └─ SecureRandom.alphanumeric(32) で32文字のランダム文字列を生成
3. key_derivation_salt の生成
   └─ SecureRandom.alphanumeric(32) で32文字のランダム文字列を生成
4. 設定例の出力
   └─ YAML形式でcredentials追加用の設定を puts で表示
```

### フローチャート

```mermaid
flowchart TD
    A[バッチ開始] --> B[primary_key 生成]
    B --> C[deterministic_key 生成]
    C --> D[key_derivation_salt 生成]
    D --> E[設定例を標準出力に表示]
    E --> F[バッチ終了]
```

## データベース操作仕様

### 操作別データベース影響一覧

| 処理 | 対象テーブル | 操作種別 | 概要 |
|-----|-------------|---------|------|
| なし | - | - | データベース操作なし |

### テーブル別操作詳細

データベース操作は行わない。

## エラー処理

### エラーケース一覧

| エラーコード | エラー種別 | 発生条件 | 対処方法 |
|------------|----------|---------|---------|
| - | - | - | エラーケースなし（単純なキー生成のみ） |

### リトライ仕様

| 項目 | 内容 |
|-----|------|
| リトライ回数 | なし |
| リトライ間隔 | なし |
| リトライ対象エラー | なし |

### 障害時対応

エラーが発生する可能性は極めて低い。万が一失敗した場合は再実行する。

## トランザクション仕様

| 項目 | 内容 |
|-----|------|
| トランザクション範囲 | なし |
| コミットタイミング | なし |
| ロールバック条件 | なし |

## パフォーマンス要件

| 項目 | 内容 |
|-----|------|
| 想定処理件数 | 1件（キーセット1組） |
| 目標処理時間 | 即時（ミリ秒単位） |
| メモリ使用量上限 | 最小限 |

## 排他制御

同時実行可能。状態を変更しないため排他制御不要。

## ログ出力

| ログ種別 | 出力タイミング | 出力内容 |
|---------|--------------|---------|
| 標準出力 | 処理完了時 | credentials設定例 |

## 監視・アラート

| 監視項目 | 閾値 | アラート先 |
|---------|-----|----------|
| - | - | - |

本タスクは一度限りの実行が主であり、監視は不要。

## 備考

- 生成されたキーは機密情報として扱い、安全に管理すること
- credentialsへの追加後は、キーを紛失しないよう注意が必要
- キーを変更すると、既存の暗号化データが復号できなくなる
- Active Record暗号化の詳細はRails公式ガイドを参照: https://guides.rubyonrails.org/active_record_encryption.html
