AI-DLC v2 で逆解析→設計→コード生成のワークフローを一通り試してみた

# aidlc-workflows リポジトリから .kiro/ を取得
git clone -b v2 https://github.com/awslabs/aidlc-workflows.git
cp -r aidlc-workflows/dist/kiro/.kiro /path/to/workspace/

workspace/
├── .kiro/
│   ├── skills/            ← AI-DLC v2 スキル定義（16スキル）
│   ├── aidlc-common/      ← 共通プロトコル・規約
│   ├── hooks/             ← プロセスチェックフック
│   └── agents/            ← builder / validator エージェント
└── before.yaml            ← 逆解析対象

kiro-cli chat --model claude-sonnet-4-6 -a

/skill aidlc-reverse-engineering --scope before

before.yaml を逆解析してください。公開 Lambda Function URL のエコーサービスです。

inception/reverse-engineering/before/
├── reverse-engineering-questions.md  ← clarification の記録
├── reverse-engineering-plan.md       ← 何を生成するかの計画
├── technology-stack.md               ← Python 3.13, CFn, Lambda Function URL
├── code-structure.md                 ← 単一テンプレートの構造
├── components.md                     ← 3コンポーネント
├── component-methods.md              ← 各コンポーネントの操作
├── component-dependencies.md         ← 依存関係
├── services.md                       ← HTTP エコーサービス
├── cross-cutting.md                  ← 認証なし（意図的）を事実記録
├── api-contracts.md                  ← Lambda Function URL HTTP API
├── external-dependencies.md          ← AWS サービス依存
└── code-quality-assessment.md        ← Anti-Pattern: 公開エンドポイント

/skill aidlc-orchestrator

逆解析結果を基に、before.yaml に以下の改善を行いたい。

1. 公開 Lambda Function URL を CloudFront OAC で保護する（AuthType: AWS_IAM + OAC）
2. キャッシュ TTL は1分程度を設定し、同一端末からの短時間の大量リクエストがオリジンに届かないようにする。キャッシュヒット率は重視しない
3. User-Agent 等のオリジナルリクエストヘッダーはオリジンに通過させる
4. Lambda コードで、レスポンスに含めるヘッダー一覧から機密情報（Authorization、Cookie 等）を除外する

# Inception phase
requirements-analysis → application-design

# Construction phase (single unit: cloudfront-oac-stack)
nfr-assessment → infrastructure-design → code-generation

Internet (untrusted)
    │ HTTPS
    ▼
Distribution ──OAC SigV4署名──► FunctionUrl (AWS_IAM)
  PriceClass_100                    │
  CachePolicy (TTL 60s)       FunctionUrlPermission
  AllViewerExceptHostHeader   (SourceArn で特定 Distribution に限定)
                                    │
                                    ▼
                               EchoFunction
                               (機密ヘッダー除外 + try-except)

  Code:
    ZipFile: |
      import json
-     def handler(event, context):
-         return {
-             "statusCode": 200,
-             "headers": {"Content-Type": "application/json"},
-             "body": json.dumps({
-                 "sourceIp": event["requestContext"]["http"]["sourceIp"],
-                 "headers": event["headers"]
-             }, indent=2)
-         }
+
+     SENSITIVE_HEADERS = {'authorization', 'cookie', 'set-cookie'}
+
+     def handler(event, context):
+         try:
+             headers = event.get('headers', {})
+             filtered = {k: v for k, v in headers.items() if k.lower() not in SENSITIVE_HEADERS}
+             return {
+                 'statusCode': 200,
+                 'headers': {'Content-Type': 'application/json'},
+                 'body': json.dumps({
+                     'sourceIp': event['requestContext']['http']['sourceIp'],
+                     'headers': filtered
+                 }, indent=2)
+             }
+         except Exception:
+             return {
+                 'statusCode': 500,
+                 'headers': {'Content-Type': 'application/json'},
+                 'body': json.dumps({'error': 'Internal Server Error'})
+             }

  OriginAccessControl:
    Type: AWS::CloudFront::OriginAccessControl
    Properties:
      OriginAccessControlConfig:
        Name: !Sub '${AWS::StackName}-oac'
        OriginAccessControlOriginType: lambda
        SigningBehavior: always
        SigningProtocol: sigv4

  CachePolicy:
    Type: AWS::CloudFront::CachePolicy
    Properties:
      CachePolicyConfig:
        Name: !Sub '${AWS::StackName}-cache-policy'
        MinTTL: 60
        DefaultTTL: 60
        MaxTTL: 60
        ParametersInCacheKeyAndForwardedToOrigin:
          HeadersConfig:
            HeaderBehavior: none
          QueryStringsConfig:
            QueryStringBehavior: all
          CookiesConfig:
            CookieBehavior: none
          EnableAcceptEncodingGzip: true
          EnableAcceptEncodingBrotli: true

  Distribution:
    Type: AWS::CloudFront::Distribution
    Properties:
      DistributionConfig:
        Enabled: true
        HttpVersion: http2
        PriceClass: PriceClass_100
        Origins:
          - Id: LambdaOrigin
            DomainName: !Select [2, !Split ['/', !GetAtt FunctionUrl.FunctionUrl]]
            CustomOriginConfig:
              OriginProtocolPolicy: https-only
              HTTPSPort: 443
            OriginAccessControlId: !GetAtt OriginAccessControl.Id
        DefaultCacheBehavior:
          TargetOriginId: LambdaOrigin
          ViewerProtocolPolicy: redirect-to-https
          CachePolicyId: !Ref CachePolicy
          OriginRequestPolicyId: b689b0a8-53d0-40ab-baf2-68738e2966ac
          AllowedMethods: [GET, HEAD, OPTIONS, PUT, PATCH, POST, DELETE]

  FunctionUrlPermission:
    Type: AWS::Lambda::Permission
    Properties:
      Action: lambda:InvokeFunctionUrl
      FunctionName: !GetAtt EchoFunction.Arn
      Principal: cloudfront.amazonaws.com
      SourceArn: !Sub 'arn:aws:cloudfront::${AWS::AccountId}:distribution/${Distribution}'
      FunctionUrlAuthType: AWS_IAM

  FunctionInvokePermission:
    Type: AWS::Lambda::Permission
    Properties:
      Action: lambda:InvokeFunction
      FunctionName: !GetAtt EchoFunction.Arn
      Principal: cloudfront.amazonaws.com
      SourceArn: !Sub 'arn:aws:cloudfront::${AWS::AccountId}:distribution/${Distribution}'
      InvokedViaFunctionUrl: true

before.yaml の Lambda Function URL を CloudFront OAC で保護してください。

- FunctionUrl の AuthType を AWS_IAM に変更
- OAC (type: lambda, signing: always) を作成
- CloudFront Distribution を作成し、Function URL をオリジンにする
- CachePolicy は TTL 60秒固定、クエリ文字列は全てキャッシュキーに含める
- OriginRequestPolicy は AllViewerExceptHostHeader
- Lambda Permission は cloudfront.amazonaws.com + SourceArn に限定
- Lambda ハンドラーで Authorization, Cookie, Set-Cookie をレスポンスから除外
- 最小限の try-except を追加
- 結果を after.yaml として出力

PriceClass_100、redirect-to-https で。