[5ym]

bootstrap/ の SOPS ファイルを *.sops.yaml に揃えて ArgoCD の exclude を名前で外す形に、talos-boot の paths の重複を YAML アンカーに、docs/talos.md の古い記述を修正。

• 4 つとも改名後に sops -d が通ることを確認。bootstrap/ で .sops.yaml 以外の名前を sops -e すると規則が無く落ちる
• render.sh の出力は本番の machine config とバイト単位で同じ(当て直し不要)

🤖 Generated with Claude Code

https://claude.ai/code/session_01JbmWyUB9jcBcYCnNyiGBSV

[claude]

Claude finished @5ym's task in 18s —— View job

---

レビュー結果

問題なし。 指摘はありません。

確認したこと:

• 改名漏れ: 旧名 (secret-values.yaml、infisical/secrets.yaml、cloudflare-secret.yaml) をリポジトリ全体で grep しました。残りは bootstrap/auth/secrets.yaml のような別物と、CI 内の /tmp の一時ファイル名だけです。参照は render.sh、talos-boot.yml、各 README・docs・tools/t.ps1 まで新名に揃っています。
• ArgoCD の exclude: *.sops.yaml は旧 exclude にあった SOPS 2 ファイルを含めて 4 つとも覆います。* が / をまたぐので argocd/secret-values.sops.yaml のようなサブディレクトリのファイルにも効きます。*values.yaml は .sops.yaml で終わる名前には一致しないので、新しい glob とは重なりません。
• .sops.yaml の規則順: secret-values.sops.yaml が先の規則で「丸ごと暗号化」になります。後ろの encrypted_regex 規則には落ちません。この順序は変わっていません。
• talos-boot.yml のアンカー: paths: &paths と paths: *paths は構文として正しく、<<: も使っていません。GitHub Actions がアンカーを読めるのは 2025-09 以降で、コメントにもそう書いてあります。
• docs/talos.md: 2026-10-17 以降の bootstrap Application の実態 (残りの平文は ArgoCD が当てる) と合っています。

要確認 (小さな点):

• README.md と tools/README.md の sops -d … # 中を見る は改名で行末コメントの揃いが少しずれました。見た目だけで、動作には影響しません。
• アンカーの記法は、将来 Actions のパーサ側の挙動が変わる (または GHES で使う) と壊れる余地があります。このリポジトリは github.com 前提のようなので、今は問題ありません。

テストについては、PR 本文に sops -d と render.sh 出力のバイト一致の確認が書かれており、この種の改名では十分です。私は render.sh の再実行まではしていません (SOPS 鍵がないため)。