[5ym]

getClientConfigOutput() は PR の preview(読み取り用の資格情報)では別のオブジェクト ID を返すので、PR のたびに smtp-relay の Application / ServicePrincipal に ~owners の差分が出ていた(main の up は変更なし)。apply のサービスプリンシパルのオブジェクト ID を直に書く。preview が 0 to update になれば ID が合っている。

ついでに talos/README.md に、cert-manager-startupapicheck の Job が field is immutable で止まったら消して流し直す、を足す(2026-10-24 に踏んだ)。

🤖 Generated with Claude Code

https://claude.ai/code/session_01NN4TmSXHrMP8dkTbtkjfz1

[claude]

Claude finished @5ym's task in 11s —— View job

---

レビュー結果

重大な問題は見つかりませんでした。

pulumi/entra-smtp.ts

• getClientConfigOutput() を apply の SP のオブジェクト ID の直書きに替える方針は妥当です。PR の preview で出ていた ~owners の差分が消える見込みです。
• 要確認: 7d33dc7d-… が本当に apply 用 SP の オブジェクト ID であることは、私の側では確かめられません。clientId(アプリ ID)ではないことを、PR 本文の通り preview が 0 to update になるかで見てください。
• 注意: ID を直書きしているので、apply の SP を作り直すと owners が古い ID のままになります。コメントにその旨が一言あると後で助かります。これは任意です。
• ID は秘密情報ではないので、セキュリティ上の問題はありません。

talos/README.md

• cert-manager-startupapicheck の追記は、直前の argocd の記述と同じ内容で、手順も正しいです。
• 軽微: 追記が箇条書きの途中に入っています。続く「この Job は終わると 60 秒で消える…」の文は argocd-redis-secret-init の説明なので、cert-manager の行がその間に挟まって読みづらくなっています。ただ、内容に間違いはありません。

テストについては、インフラのコードなので preview の結果で確かめる運用で十分です。

[github-actions]

🍹 preview on doany-cloudflare/prod

Pulumi report

Previewing update (prod):

@ previewing update....
pulumi:pulumi:Stack doany-cloudflare-prod  
Resources:
59 unchanged