[kmryst]

目的（推奨）

kmryst/idp-golden-path の reusable workflow を @v1.7.1 に固定している caller workflow を v1.7.2（dca5d23e5017c03f3d4078adabc63ae6068c4a3e）へ上げる。
v1.7.2 は Dependency Unblock Check の評価器が UNBLOCKED 時の GitHub API の GET で fetch failed（EPIPE、nodejs/undici#5769）になる不具合を GET の 1 回再試行で修正しており（idp-golden-path #322 / PR #323、#326 / PR #328）、呼び出し側は UNBLOCKED になるとこの経路を通る。

変更内容（推奨）

• @v1.7.1 の参照 9 箇所（7 ファイル）を @v1.7.2 に更新（タグ固定の形式は維持）
  • codeql.yml / dependency-audit.yml（root・frontend）/ dependency-unblock-check.yml / gitleaks-secret-scan.yml（security-scan.yml）/ pr-policy-check.yml / security-scan.yml（trivy-image.yml backend・frontend）/ trivy-config-scan.yml（trivy-config.yml）
• @v1 参照の 5 本（issue-template-check / markdown-lint / pr-commitlint / sync-labels / toolchain-version-check）は変更しない。移動タグ v1 は v1.7.2 と同じコミットを指している

影響範囲（推奨）

• 対象: 上記 7 本の caller workflow が呼ぶ reusable workflow の版
• 非対象: caller 側のトリガー・permissions・concurrency・inputs、@v1 参照、アプリケーションコード、AWS リソース

PR ラベル（必須）

• type: type:chore
• area: area:ci-cd
• risk: risk:low
• cost: cost:none

影響メモ（必要時のみ）

コスト根拠: GitHub Actions の実行のみ。AWS リソースの変更なし
リスク根拠: callee の契約（inputs / secrets / outputs / permissions / 既存 job 名）に変更なし。v1.7.2 で増えた job はすべて github.repository == 'kmryst/idp-golden-path' 条件付きで、本リポジトリでは skipped
データ影響: なし
ロールバック観点: 参照を @v1.7.1 に戻すだけで元に戻る

可観測性 / 検証 条件付き

1. 契約比較: idp-golden-path の v1.7.1 / v1.7.2 タグの各 reusable workflow を YAML として読み、on.workflow_call の inputs / secrets / outputs、workflow の permissions / concurrency、既存 job の name / permissions / if を比較 → 差分なし。追加 job は dependency-audit.yml に 7 本、dependency-unblock-check.yml に 1 本（いずれも github.repository == 'kmryst/idp-golden-path' 条件付き、要求 permissions は contents: read 以下）
2. caller が渡す inputs（package-manager / working-directory / npm-audit-exceptions / strict-paths-regex / image-name / docker-context / dockerfile / scan-ref）はすべて v1.7.2 で宣言済み。required の未指定なし。callee job が要求する permissions は caller の付与範囲内
3. PR で起動しない caller を作業ブランチで workflow_dispatch（結果はコメントで追記）
4. 各 run のログの Uses: kmryst/idp-golden-path/...@refs/tags/v1.7.2 (dca5d23e...) を確認
5. ローカル: npx commitlint --from origin/main --to HEAD / PR タイトル → 0 problems、npm run lint:md → exit 0、actionlint（変更 7 ファイル）→ 既存の指摘のみで本変更による新規指摘なし

ロールバック 条件付き

この PR を revert する（参照を @v1.7.1 に戻す）。caller 側の inputs・permissions は変えていないため、revert だけで元の挙動に戻る。
ただし v1.7.1 に戻すと、Dependency Unblock Check で UNBLOCKED になった週に評価器が fetch failed で落ちる不具合も戻る。

リリース連携（推奨）

• リリースノート: 不要

テスト結果 / 検証手順

dispatch した run の結果と呼ばれた ref は PR コメントに記録する。

メモ（レビューポイント）

• 2026-10-13 時点で同じ更新の Dependabot PR（package-ecosystem: github-actions）は無い。次回の週次更新（月曜 09:15 JST）より先に上げる
• 版数や固定理由を記した docs は無いため docs 更新なし（security-scan.yml の「v1.7.1 以降の default: true」と ADR-0036 の v1.7.1 は当時の事実の記録なので変更しない）

Closes #566

🤖 Generated with Claude Code

https://claude.ai/code/session_01PPszW4Rvm6ppEAvUWbRP6j

[amazon-q-developer]

Review Summary

This PR correctly updates the idp-golden-path reusable workflow references from @v1.7.1 to @v1.7.2 across 7 workflow files. The changes are consistent, syntactically correct, and properly implement the intended version bump to address the fetch failed (EPIPE) issue in the Dependency Unblock Check evaluator.

Changes Reviewed:

• .github/workflows/codeql.yml (1 reference)
• .github/workflows/dependency-audit.yml (2 references)
• .github/workflows/dependency-unblock-check.yml (1 reference)
• .github/workflows/gitleaks-secret-scan.yml (1 reference)
• .github/workflows/pr-policy-check.yml (1 reference)
• .github/workflows/security-scan.yml (2 references)
• .github/workflows/trivy-config-scan.yml (1 reference)

No blocking issues identified. All version references are correctly updated and maintain the tag pinning format.

---

You can now have the agent implement changes and create commits directly on your pull request's source branch. Simply comment with /q followed by your request in natural language to ask the agent to make changes.

[kmryst]

検証結果（v1.7.2）

すべての run で Uses: kmryst/idp-golden-path/.github/workflows/<file>@refs/tags/v1.7.2 (dca5d23e5017c03f3d4078adabc63ae6068c4a3e) を確認した（@v1 参照の caller も同じコミット）。

run	トリガー	結果	呼ばれた ref
Dependency Unblock Check 38355591874	workflow_dispatch	failure（exit 10）	v1.7.2
Security Scan 38355596051	workflow_dispatch	success	v1.7.2 ×2
Dependency Audit 38355600192	workflow_dispatch	success	v1.7.2 ×2
Trivy Config Scan 38355604335	workflow_dispatch	success	v1.7.2
PR の自動実行	pull_request	全件 pass	v1.7.2 / v1

• Dependency Unblock Check の赤は仕様どおりの「朗報」（exit 10 = UNBLOCKED）で、機構の故障（exit 1）ではない。/frontend の eslint@10（10.12.0）が npm run lint まで通り、chore: frontend の eslint 10 と eslint-plugin-react / import / jsx-a11y の peer 不一致を追跡する #427 の ignore が外せる状態になった（2026-10-12 の定期実行では still blocked）。
• この run で、追跡 Issue へのコメント取得時に ::warning::GitHub API GET .../issues/427/comments ... の接続が切れていたため 1 回だけ再試行する（cause: UND_ERR_SOCKET） が出て、再試行で成功し chore: frontend の eslint 10 と eslint-plugin-react / import / jsx-a11y の peer 不一致を追跡する #427 に記録コメントが投稿された。v1.7.1 ならこの経路で fetch failed になり exit 1 で落ちていたケースで、v1.7.2 の修正が実ランナーで効いたことを確認できた。
• 撤去 PR の job（Dependabot Ignore Removal PR）は呼び出し側では skipped。
• eslint の ignore の撤去は本 PR のスコープ外とし、chore: frontend の eslint 10 と eslint-plugin-react / import / jsx-a11y の peer 不一致を追跡する #427 で扱う。