データベース

ToukaCloud のマネージドデータベースは、MariaDB Galera クラスタ上で動作する本格的なデータベースサービスです。 SaaS アプリからの直接接続、自動バックアップなど、開発に必要な機能を提供します。

• MariaDB 10.6 以上: MySQL 互換の高速 RDBMS
• Galera クラスタ: マルチマスター同期レプリケーション
• テナント分離: ユーザーごとに独立したデータベース / ユーザーを自動作成
• 自動バックアップ: 定期バックアップ機能（ライセンス依存）
• 暗号化: パスワードは AES-256-GCM で暗号化保存
• 環境変数注入: SaaS アプリへの自動環境変数割り当て対応

• 有効なライセンスが必要です（S 以上のいずれか）
• ライセンスプランによって作成可能なデータベース数が異なります
• SaaS アプリから接続する場合は、ToukaCloud のコンテナを利用していることが前提です

ライセンス別の最大 DB 数と容量は 「容量上限とライセンス」セクション を参照してください。

ToukaCloud の Web UI からのみデータベース作成が可能です。 API からの直接作成には認証が必要で、通常はユーザーが Web UI を利用します。

手順

1. サイドバーの データベース を開く
2. 「データベース作成」 ボタンをクリック
3. データベース名 を入力
   • 英字で始まり、英数字とアンダースコア (_) のみ使用可
   • 最大 32 文字
   • 例: myapp_db, users_db
4. ユーザー名（任意） を入力
   • 空欄にするとランダムに自動生成されます
   • 指定する場合も英数字とアンダースコアのみ
5. パスワード（任意） を入力
   • 空欄にするとランダムに生成されます（推奨）
   • 指定する場合は 8 文字以上
6. 「作成」 をクリック

作成済みのデータベースの接続情報は、いつでも Web UI から確認できます。

UI からの確認方法

1. データベース一覧から対象のデータベースを探す
2. 「接続情報」 ボタンをクリック
3. ホスト、ポート、ユーザー名、パスワード、接続文字列が表示されます

接続情報の内容

mariadb-galera.database.svc.k8s.home

3306

tenant_<tenantId>_<dbName>

t_<tenantId>_<dbName>

各データベースには Adminer（PHP ベースのWeb DB管理ツール）の Web コンソールが用意されています。 テーブルの作成・編集・SQL 実行・データのインポート/エクスポートをブラウザから直接行えます。

コンソールを開く

1. データベース管理ページを開く
2. 対象のデータベースカードの 「コンソール」 ボタン (ターミナルアイコン) をクリック
3. 新規タブで Adminer が ログイン済みの状態 で開く

パスワード入力は不要です。ボタンを押すと安全な短期トークンを使って自動ログインされます。

認証情報の取り扱い（4階層）

コンソールを開く際、内部では 4 つの認証レイヤーが連携しています。 パスワードはユーザーに直接見せず、サーバー側で復号化して Adminer に渡します。

セキュリティ特性

• URL 直接アクセスは 401: Adminer の URL を知っていても、有効な短期トークンか入場 Cookie が無いとログイン画面すら表示されません
• 短期トークンは 5 分で失効: URL を共有されてもすぐに無効化されます
• パスワードは通信を流れない: ブラウザの hidden form で 1 度だけ Adminer に POST され、以降は PHP セッションで管理
• 所有権チェック: 自分が作成した DB のコンソールしか開けません
• 暗号化保存: パスワードは AES-256-GCM で暗号化されてサーバー側に保管

1 つのデータベースに対して 3 種類のユーザー が自動で発行されます。 用途別に使い分けることで、アプリのバグや SQL インジェクションがあっても被害を限定できます。

なぜ分けるのか

• アプリには app を使う → 万一 SQL インジェクションがあっても DROP TABLE されません
• 分析ツール / BI には readonly を使う → 誤操作で書込みが発生しません
• スキーマ変更・コンソール操作だけ owner を使う → 全権ユーザーの利用面を最小化

使い方

1. データベース管理ページで 「接続情報」 ボタンをクリック
2. ダイアログ上部のタブで owner / app / readonly を切り替え
3. まだ発行されていないロール (app/readonly) は 「(ロール名) を発行」 ボタンで作成
4. 各ロールごとに以下の操作が可能:
   • このロールでコンソールを開く: そのロールで Adminer に自動ログイン (権限テストに便利)
   • パスワード再生成: 該当ロールのパスワードを新しい値に差し替え
   • このロールを削除: app/readonly のみ削除可能 (owner は削除不可)

ToukaCloud でホストされている SaaS アプリから、 マネージドデータベースに直接接続することができます。

方法 1: 接続文字列を環境変数に設定

アプリ管理画面の「環境変数」セクションで、以下のような文字列を設定します。

# MySQL 接続文字列（Prisma / Node.js / 等）
DATABASE_URL=mysql://t_abc123_myapp:password123@mariadb-galera.database.svc.k8s.home:3306/tenant_abc123_myapp

# または個別に設定
DATABASE_HOST=mariadb-galera.database.svc.k8s.home
DATABASE_PORT=3306
DATABASE_USER=t_abc123_myapp
DATABASE_PASSWORD=password123
DATABASE_NAME=tenant_abc123_myapp

方法 2: 各言語での接続例

Node.js / Prisma

.env
DATABASE_URL="mysql://t_abc123_myapp:password123@mariadb-galera.database.svc.k8s.home:3306/tenant_abc123_myapp"

// prisma/schema.prisma
datasource db {
  provider = "mysql"
  url      = env("DATABASE_URL")
}

Python / SQLAlchemy

import os
from sqlalchemy import create_engine

engine = create_engine(
    f"mysql+pymysql://{os.getenv('DATABASE_USER')}:"
    f"{os.getenv('DATABASE_PASSWORD')}@"
    f"{os.getenv('DATABASE_HOST')}:"
    f"{os.getenv('DATABASE_PORT')}/"
    f"{os.getenv('DATABASE_NAME')}"
)

PHP / PDO

$db = new PDO(
    'mysql:host=' . getenv('DATABASE_HOST') .
    ';dbname=' . getenv('DATABASE_NAME'),
    getenv('DATABASE_USER'),
    getenv('DATABASE_PASSWORD')
);

Go

dsn := fmt.Sprintf(
    "%s:%s@tcp(%s:%s)/%s",
    os.Getenv("DATABASE_USER"),
    os.Getenv("DATABASE_PASSWORD"),
    os.Getenv("DATABASE_HOST"),
    os.Getenv("DATABASE_PORT"),
    os.Getenv("DATABASE_NAME"),
)
db, err := sql.Open("mysql", dsn)

SQL ファイルをインポートする

既存の SQL ダンプをこのデータベースに復元できます。 ファイルはブラウザ側で AES-GCM で暗号化されて送信されるため安全です。

1. データベース一覧から対象のデータベースを選択
2. 「インポート」 ボタンをクリック
3. .sql または .sql.gz ファイルを選択（最大 50MB）
4. 「インポート」 をクリック
   • 公開鍵の取得 → AES 鍵生成 → 暗号化 → 送信 の流れが自動実行
   • サーバー側で RSA-OAEP で AES 鍵を復号化してからデータを復号化

エクスポート（バックアップ）

Web UI からのワンクリックバックアップはまだ実装されていません。 以下の方法でコマンドラインからエクスポートしてください。

# ローカルマシンからリモート接続してダンプ
mysqldump -h <HOST> -u <USER> -p -C --single-transaction \
  <DATABASE_NAME> > backup_$(date +%Y%m%d).sql.gz

# 例
mysqldump -h mariadb-galera.database.svc.k8s.home \
  -u t_abc123_myapp -p tenant_abc123_myapp > backup.sql

-C: gzip 圧縮,--single-transaction: トランザクション分離で一貫性確保

ライセンスプランごとに 作成可能な DB 数 と 全 DB 合計の容量上限 が決まります。 個別テーブルにサイズ上限はなく、合計容量だけが管理対象です。

ライセンス別の制限

(ライセンスガイド と共有の単一テーブルから抜粋しています)

DB 数 / 容量どちらも上限に達すると「データベース作成」ボタンが無効、または書き込みが停止されます。 より広い枠が必要な場合は上位プランへアップグレードしてください。

容量超過時の挙動 (書込停止と復帰)

全 DB の合計サイズが上限を超えると、10 分間隔の sweep ジョブがINSERT / UPDATE / CREATEを REVOKE します。SELECT /DELETE は引き続き使えるので、 自分で不要データを削除して復帰できます。

復帰手順

1. 不要データを DELETE で削除する
2. OPTIMIZE TABLE <table>;を実行する(重要)
3. DatabaseManager 画面の「容量を再チェック」ボタンを押す (or 次の自動 sweep を待つ)
4. 合計容量が上限を下回っていれば書込権限が GRANT で復帰

クイック解放例

-- mysql client で DB に接続後
DELETE FROM big_table WHERE created_at < '2025-01-01';
OPTIMIZE TABLE big_table;
-- → DatabaseManager で「容量を再チェック」 → 書込再開