resource "aws_iam_policy" "cicd-bg-policy" {
  name = "cicd-bg_policy"
  path = "/"

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Action = [
          "iam:PassRole"
        ]
        Effect   = "Allow"
        Resource = "arn:aws:iam::{ACCOUNT}:role/{ROLE名}"
      },
      {
        Action = [
          "ecs:DescribeServices"
        ]
        Effect   = "Allow"
        Resource = "arn:aws:ecs:{REGION}:{ACCOUNT}:service/{ECS_CLUSTER_NAME}/{ECS_SERVICE_NAME}"
      },
      {
        Action = [
          "ecs:CreateTaskSet",
          "ecs:DeleteTaskSet"
        ]
        Effect   = "Allow"
        Resource = "*"
        conditions = [
          {
            test : "StringLike"
            variable = "ecs:service"
            values = [
              "arn:aws:ecs:{REGION}:{ACCOUNT}:service/{ECS_CLUSTER_NAME}/{ECS_SERVICE_NAME}"
            ]
          }
        ]
      },
      {
        Action = [
          "ecs:RegisterTaskDefinition",
          "ecs:DescribeTaskDefinition"
        ]
        Effect    = "Allow"
        resources = ["*"]
      },
      {
        Action = [
          "elasticloadbalancing:ModifyRule"
        ]
        Effect   = "Allow"
        Resource = "arn:aws:elasticloadbalancing:{REGION}:{ACCOUNT}:listener-rule/app/{ALB_NAME}/*"
      },
      {
        Action = [
          "elasticloadbalancing:DescribeLoadBalancers",
          "elasticloadbalancing:DescribeListeners",
          "elasticloadbalancing:DescribeRules",
          "elasticloadbalancing:DescribeTargetGroups"
        ]
        Effect   = "Allow"
        Resource = "*"
      },
      {
        Action = [
          "ec2:DescribeSubnets",
          "ec2:DescribeSecurityGroups"
        ]
        Effect    = "Allow"
        resources = ["*"]
      },
    ]
  })
}

jobs:

  ...

  ## 利用するターゲットグループの確認
  check-available-targetGroup:
    ...

  ## ECRのイメージからタスク定義の作成
  deploy-task-definition:
    ...

  ## タスクセットの作成
  create-taskset:
    runs-on: ubuntu-latest
    needs: deploy-task-definition
    steps:
      # AWS Credentialsの取得
      - Set AWS Credentials
      　...

      - targetGroupの取得
        ...

      # タスクセットの作成
      - name: Create TaskSet
        run: |
          # タスク定義のARNを取得
          taskDefinition=`aws ecs describe-task-definition\
            --task-definition ${{ env.TASK_DEFINITION }}\
            | jq -r '.taskDefinition.taskDefinitionArn'`

          echo $taskDefinition

          # サブネットの取得
          subnetList=(`aws ec2 describe-subnets | jq -r '.Subnets[] | select(.Tags[]?.Value | startswith("${{ env.SUBNET_PREFIX }}")) | .SubnetId'`)

          if [ "$subnetList" == "" ]; then
            echo ※サブネットが取得できないため、処理を中断します。
            exit 1
          fi

          # セキュリティグループの取得
          securityGroupArn1=`aws ec2 describe-security-groups | jq -r '.SecurityGroups[] | select(.Tags[]?.Value == "${{ env.SECURITY_GROUP_1 }}") | .GroupId'`
          if [ "$securityGroupArn1" == "" ]; then
            echo ※セキュリティグループが取得できないため、処理を中止します。
            exit 1
          fi
          securityGroupArn2=`aws ec2 describe-security-groups | jq -r '.SecurityGroups[] | select(.Tags[]?.Value == "${{ env.SECURITY_GROUP_2 }}") | .GroupId'`
          if [ "$securityGroupArn2" == "" ]; then
            echo ※セキュリティグループが取得できないため、処理を中止します。
            exit 1
          fi

          echo ---------------------------------------------
          echo タスクセットの作成
          aws ecs create-task-set\
            --cluster ${{ env.CLUSTER_NAME }}\
            --service ${{ env.SERVICE_NAME }}\
            --task-definition ${taskDefinition}\
            --launch-type FARGATE\
            --network-configuration "awsvpcConfiguration={subnets=["${subnetList[0]}","${subnetList[1]}"],securityGroups=["${securityGroupArn1}","${securityGroupArn2}"]}"\
            --scale value=100,unit=PERCENT\
            --load-balancers targetGroupArn="${createTaskTarget}",containerName=application,containerPort=${ env.PORT }

env:
  RULE_PATTERN: host-header ## http-header / host-header / path-pattern / source-ipなど
  PROD_PARAM: domain.com
  TEST_PARAM: test.domain.com
  ...

jobs:
  ## 起動しているタスクセットが1つ以下の場合はホストヘッダーを変更できないようする
  check-taskSet-counts:
    runs-on: ubuntu-latest
    steps:
      ## AWS Credentialsの取得
      - name: Set AWS Credentials
        ...

      # バリデーション
      - name: Check TaskSet Counts
        run: |
          taskSetCounts=(`aws ecs describe-services --cluster ${{ env.CLUSTER_NAME }}\
            --service ${{ env.SERVICE_NAME }}\
            --region ${{ env.AWS_REGION }}\
            | jq -r '.services[].taskSets | length'`)

          if [ "$taskSetCounts" == "" ]; then
            echo※ 起動中のタスクセット数が取得できないため、処理を中断します。
            exit 1
          fi

          echo 起動中のタスクセット数: $taskSetCounts

          if [ $taskSetCounts -le 1 ]; then
            echo ※起動中のタスクセット数が1つ以下のため、処理を中断します。
            exit 1
          fi


  ## ALBリスナールール(本番用、テスト用)の切り替え
  change-listener-rule-1:
    runs-on: ubuntu-latest
    needs: check-taskSet-counts
    steps:
      ## AWS Credentialsの取得
      - name: Set AWS Credentials
        ...

      - name: Change Listener Rules
        run: |
          # alb名からALBのARNを取得
          albArn=`aws elbv2 describe-load-balancers --names ${{ env.ALB_NAME }} | jq -r .LoadBalancers[].LoadBalancerArn`

          # ALBのARNからリスナーのARNを取得
          listenerArn=`aws elbv2 describe-listeners --load-balancer-arn ${albArn} | jq -r .Listeners[].ListenerArn`

          # リスナーのARNからリスナールールのARNを取得
          listenerRuleArnList=(`aws elbv2 describe-rules --listener-arn ${listenerArn} | jq -r '.Rules[] | select(.Priority != "default") | .RuleArn'`)
          
          pattern=`aws elbv2 describe-rules --listener-arn ${listenerArn}\
            | jq -r --arg listener_rule ${listenerRuleArnList[0]} '.Rules[] | select(.RuleArn  == $listener_rule) | .Conditions[].Values[]'`


          if [ "$pattern" == "" ]; then
            echo ※リスナールールが取得できないため、処理を中止します。
            exit 1
          fi

          echo ---------------------------------------------
          echo 現在のルールパターン: $pattern

          echo ---------------------------------------------
          if [ $pattern == "${{ env.TEST_PARAM }}" ]; then
            aws elbv2 modify-rule --rule-arn ${listenerRuleArnList[0]} --conditions Field="${{ env.RULE_PATTERN }}",Values="${{ env.PROD_PARAM }}"
          else
            sleep 5s
            aws elbv2 modify-rule --rule-arn ${listenerRuleArnList[0]} --conditions Field="${{ env.RULE_PATTERN }}",Values="${{ env.TEST_PARAM }}"
          fi

          echo ---------------------------------------------
          echo 変更後のルールパターン
          aws elbv2 describe-rules --listener-arn ${listenerArn}\
            | jq -r --arg listener_rule ${listenerRuleArnList[0]} '.Rules[] | select(.RuleArn  == $listener_rule) | .Conditions[].Values[]'

  ## ALBリスナールール(本番用、テスト用)の切り替え
  change-listener-rule-2:
    ...
    change-listener-rule-1と同様の処理で、listenerRuleArnListの要素の指定のみ異なる
    ...

env:
  TEST_PARAM: test.domain.com # テスト用のホストヘッダー
  ...

jobs:
  ## タスクセットの削除
  delete-taskset:
    runs-on: ubuntu-latest
    steps:
      ## AWS Credentialsの取得
      - name: Set AWS Credentials
        ...

      # テスト用ホストヘッダーに紐づくターゲットグループを取得
      - name: Get TargetGroup
        run: |
          # ALB名からALBのARNを取得
          albArn=`aws elbv2 describe-load-balancers --names ${{ env.ALB_NAME }} | jq -r .LoadBalancers[].LoadBalancerArn`

          # ALBのARNからリスナーのARNを取得
          listenerArn=`aws elbv2 describe-listeners --load-balancer-arn ${albArn} | jq -r .Listeners[].ListenerArn`
          
          # リスナーのARNとテスト用のホストヘッダーから、テスト用ルールに紐づくターゲットグループを取得
          testTargetGroup=`aws elbv2 describe-rules --listener-arn ${listenerArn}\
            | jq -r '.Rules[] | select(.Conditions[].Values[] == "${{ env.TEST_PARAM }}") | .Actions[].TargetGroupArn'`

          echo "testTargetGroup=${testTargetGroup}" >> $GITHUB_ENV

      # リスナールールがテスト用ホストヘッダーのターゲットグループに紐づくタスクセットIDを取得
      - name: Get TaskSetId
        run: |
          taskId=`aws ecs describe-services\
            --cluster ${{ env.CLUSTER_NAME }}\
            --service ${{ env.SERVICE_NAME }}\
            --region ${{ env.AWS_REGION }}\
            | jq -r '.services[].taskSets[] | select(.loadBalancers[].targetGroupArn == "${{ env.testTargetGroup }}") | .id'`

          if [ "$taskId" == "" ]; then
            echo  ※テスト用ホストヘッダーのターゲットグループに紐づくタスクセットが見つからないため、処理を中断します。
            exit 1
          fi

          echo 削除予定のタスクセットID
          echo $taskId
          echo "taskId=${taskId}" >> $GITHUB_ENV
      
      # 取得したタスクセットIDからタスクセットを削除
      - name: Delete TaskSet
        run: |
          aws ecs delete-task-set --cluster ${{ env.CLUSTER_NAME }} --service ${{ env.SERVICE_NAME }} --task-set ${{ env.taskId }}