AIの自動実行に承認とロールバックが必要な理由と、その設計方法

# 対象: 自組織の運用自動化ワークフロー定義
# 権限: ワークフロー定義の編集権限
# 変更作業: なし（定義の記述例）
# Production 実行: 該当なし（設計サンプル）

workflow: sample-log-maintenance
  # 実行対象を明示的に限定する。ここに書かれていないホスト・DBには一切触れない
  scope:
    allowlist_hosts: [LEGACY-SQL01]
    allowlist_databases: [SampleDB]
    deny_if_role: [primary-replica-source]

  # 実行前に必ず状態を保存する。保存に失敗したら以降のステップへ進まない
  pre_snapshot:
    - id: capture-config
      command: dump-configuration
      required: true          # 失敗時は abort（スキップ不可）
      retention: 30d

  steps:
    - id: check-log-usage
      kind: read
      dry_run: false          # 参照のみなので dry-run の概念が無い
      requires_approval: false
      idempotent: true
      rollback: not-required   # 状態を変えないため

    - id: apply-parameter-change
      kind: write
      dry_run: true            # まず差分だけを出力して人が読む
      requires_approval: true  # dry-run の出力を見た人が承認して初めて本実行
      approvers: [ops-oncall, dba-lead]
      approval_expires_in: 2h  # 古い承認で実行されないように失効させる
      idempotent: true         # 同じ入力で2回流しても結果が変わらない
      rollback:
        exists: true           # 存在しない場合、この step は定義エラーとして拒否する
        command: restore-configuration --from capture-config
        verified_at: 2026-08-13

    - id: never-auto
      kind: write
      requires_approval: true
      auto_execute: forbidden  # 承認があっても自動実行経路からは呼ばない

  # 段階的展開: 1台 → 一部 → 全体。各段で停止条件を評価する
  rollout:
    stages: [canary(1), partial(25%), full]
    halt_on: [error_rate_increase, unexpected_diff, snapshot_missing]

  # 停止スイッチ: これを立てると進行中の実行も次のステップに進まない
  kill_switch:
    flag: /etc/ai-ops/HALT
    honored_between_steps: true

  # 状態記録: 各ステップの結果を永続化し、再開時に完了済みを再適用しない
  state_store:
    key: run_id + step_id
    values: [pending, running, succeeded, failed, rolled_back, skipped]
    resume_policy: skip-succeeded

-- 対象: SQL Server 2012 以降 / Amazon RDS for SQL Server
-- 権限: 対象インスタンスへの接続権限（sys.configurations は既定で参照可能）
-- 変更作業: なし（参照のみ）
-- Production 実行: 可能
SELECT
    SERVERPROPERTY('MachineName')  AS machine_name,
    SYSDATETIMEOFFSET()            AS captured_at,
    c.configuration_id,
    c.name,
    c.value,                       -- 設定された値
    c.value_in_use,                -- 実際に効いている値
    c.is_dynamic,                  -- 再起動なしで反映されるか
    c.is_advanced
FROM sys.configurations AS c
ORDER BY c.name;

# 対象: 自組織の運用ホスト（対象DBへ接続できる場所）
# 権限: 対象DBへの接続権限と、保存先ディレクトリへの書き込み権限
# 変更作業: なし（DBの状態は変更しない。ファイルのみ出力）
# Production 実行: 可能

SNAP_DIR=/var/lib/ai-ops/snapshots
RUN_ID=sample-run-0001
mkdir -p "$SNAP_DIR/$RUN_ID"

# 1) 変更前の構成を保存する（保存に失敗したら以降へ進まない）
sqlcmd -S LEGACY-SQL01 -U sample_user -d SampleDB -i capture_configuration.sql -o "$SNAP_DIR/$RUN_ID/before.txt" || exit 1

# 2) 変更を適用する（承認済みの場合のみ。ここでは実行しない）
echo "apply step は承認後に別経路で実行する"

# 3) 変更後に同じクエリを流し、差分を人が読める形で残す
sqlcmd -S LEGACY-SQL01 -U sample_user -d SampleDB -i capture_configuration.sql -o "$SNAP_DIR/$RUN_ID/after.txt"
diff -u "$SNAP_DIR/$RUN_ID/before.txt" "$SNAP_DIR/$RUN_ID/after.txt" > "$SNAP_DIR/$RUN_ID/diff.txt"

# 4) 差分が空でないこと（=意図した変更が入ったこと）と、想定外の行が無いことを確認する
cat "$SNAP_DIR/$RUN_ID/diff.txt"