Claude API のマルチテナント SaaS で「請求が合わない」を消す — テナント分離とコスト帰属の実装メモ

// lib/usage-tracker.ts
import { redis } from '@/lib/redis';
 
// USD per 1M tokens（2026 年 6 月時点・必ず公式の最新値で更新する）
const MODEL_PRICING: Record<string, { input: number; output: number; cacheRead: number }> = {
  'claude-opus-4-8':           { input: 15.0, output: 75.0, cacheRead: 1.5 },
  'claude-sonnet-4-6':         { input: 3.0,  output: 15.0, cacheRead: 0.3 },
  'claude-haiku-4-5-20251001': { input: 0.8,  output: 4.0,  cacheRead: 0.08 },
};
 
interface UsageRecord {
  inputTokens: number; outputTokens: number;
  cacheReadTokens: number; cacheWriteTokens: number;
  model: string; requestId: string;
}
 
export async function recordUsage(tenantId: string, r: UsageRecord): Promise<void> {
  const p = MODEL_PRICING[r.model] ?? { input: 3.0, output: 15.0, cacheRead: 0.3 };
  // キャッシュ書き込みは入力の 1.25 倍で概算（モデル別に正確化する余地あり）
  const costUsd =
    (r.inputTokens     / 1e6) * p.input +
    (r.outputTokens    / 1e6) * p.output +
    (r.cacheReadTokens / 1e6) * p.cacheRead +
    (r.cacheWriteTokens/ 1e6) * p.input * 1.25;
 
  const ym = new Date().toISOString().slice(0, 7); // YYYY-MM
  const key = `saas:v1:usage:monthly:${tenantId}:${ym}`;
 
  const pipe = redis.pipeline();
  pipe.hincrbyfloat(key, 'costUsd', costUsd);
  pipe.hincrby(key, 'inputTokens', r.inputTokens);
  pipe.hincrby(key, 'outputTokens', r.outputTokens);
  pipe.hincrby(key, 'requestCount', 1);
  pipe.expire(key, 60 * 60 * 24 * 120); // 突合が終わる頃に消える 120 日
  await pipe.exec();
}

// lib/rate-limiter.ts
import { redis } from '@/lib/redis';
 
const SLIDING_WINDOW = `
  local key = KEYS[1]
  local now, win_start, limit = tonumber(ARGV[1]), tonumber(ARGV[2]), tonumber(ARGV[3])
  redis.call('ZREMRANGEBYSCORE', key, '-inf', win_start)
  if redis.call('ZCARD', key) >= limit then return 0 end
  redis.call('ZADD', key, now, now .. ':' .. math.random(1, 1e9))
  redis.call('EXPIRE', key, 120)
  return 1
`;
 
export async function checkRateLimit(tenantId: string, rpm: number): Promise<boolean> {
  const now = Date.now();
  const res = await redis.eval(
    SLIDING_WINDOW, [`saas:v1:ratelimit:${tenantId}`],
    [String(now), String(now - 60_000), String(rpm)],
  );
  return res === 1;
}
 
export const PLAN_LIMITS = {
  starter:    { requestsPerMinute: 10,  monthlyBudgetUsd: 5 },
  pro:        { requestsPerMinute: 60,  monthlyBudgetUsd: 50 },
  enterprise: { requestsPerMinute: 300, monthlyBudgetUsd: 500 },
} as const;

// ❌ チェックと実行の間に隙間がある
const { allowed } = await checkMonthlyBudget(tenantId, budget);
if (!allowed) throw new Error('BUDGET_EXCEEDED');
const msg = await anthropic.messages.create({ /* ... */ }); // ここで超過しうる

// ✅ ソフトリミット: 競合で多少漏れても緩衝内に収まる
const { allowed, remainingUsd } = await checkMonthlyBudget(tenantId, budget * 0.9);

ALTER TABLE messages ENABLE ROW LEVEL SECURITY;
CREATE POLICY tenant_isolation ON messages
  USING (tenant_id = current_setting('app.current_tenant_id', true));

// lib/tenant-db.ts — クエリ前にテナントをセッション変数へ。第3引数 true でトランザクションスコープ
export async function withTenant<T>(tenantId: string, fn: (c: PoolClient) => Promise<T>): Promise<T> {
  const client = await pool.connect();
  try {
    await client.query(`SELECT set_config('app.current_tenant_id', $1, true)`, [tenantId]);
    return await fn(client);
  } finally {
    await client.query(`SELECT set_config('app.current_tenant_id', '', true)`);
    client.release();
  }
}

// __tests__/tenant-isolation.test.ts
it('テナント B の会話を、テナント A の文脈からは絶対に読めない', async () => {
  const convB = await withTenant('tenant-B', (c) =>
    c.query(`INSERT INTO messages (tenant_id, content) VALUES ('tenant-B', 'secret') RETURNING id`),
  );
  const rows = await withTenant('tenant-A', (c) =>
    c.query(`SELECT content FROM messages WHERE id = $1`, [convB.rows[0].id]),
  );
  expect(rows.rowCount).toBe(0); // RLS が効いていれば、ID を直接指定しても 0 件
});
 
it('RLS を一時的に外すと漏れることを確認し、テスト自身の有効性を担保する', async () => {
  // RLS 依存を意図的に検証。漏れなければ、上のテストは何も守っていない可能性がある
});

export async function checkRateLimit(tenantId: string, rpm: number): Promise<boolean> {
  try {
    return (await redis.eval(/* ... */)) === 1;
  } catch {
    reportDegraded('ratelimit_failopen', { tenantId });
    return true; // fail-open: 可用性優先
  }
}