| 加重ルーティング (Weighted Routing) |
Route 53などで複数のエンドポイントに比率（重み）を指定してトラフィックを振り分けるDNSルーティングポリシー。カナリアデプロイや段階的移行に使う |
| 可観測性 (Observability) |
メトリクス、構造化ログ、分散トレースの3本柱を通じて、システムの内部状態とボトルネックの原因を外部出力のみから把握する能力 |
| 権威ネームサーバー (Authoritative Nameserver) |
特定のドメインゾーン（Zone）の原本DNSレコードの正解を保管して応答する最終ネームサーバー（例：Route 53、Cloudflare DNS） |
| デフォルト拒否 (Default Deny) |
明示的に許可ルール（RLSポリシー、ファイアウォール、ACL）を記述していないすべてのアクセスを基本的に遮断するセキュリティ原則 |
| デバイスポスチャ (Device Posture) |
ZTNA接続を許可する前に、端末のOSバージョン・パッチ、ディスク暗号化、MDM登録、EDR実行有無などのセキュリティ健康状態を検査する統制 |
| デッドレターキュー (Dead Letter Queue, DLQ) |
メッセージキュー（Cloudflare Queuesなど）において、所定の最大リトライ回数をすべて失敗したメッセージを消失させることなく別途隔離して保管するキュー |
| ドリフト (Configuration Drift) |
コンソールでの手動変更などにより、Terraformコード（.tf）が定義した状態と実際のクラウドインフラの現在状態が食い違った現象 |
| レート制限 (Rate Limiting) |
一定の時間窓の中で特定のIP、ユーザー、APIキーが送信できるリクエスト回数を制限し、総当たり攻撃やコスト暴走を防ぐ統制 |
| ルートドメイン (Zone Apex) |
wwwのようなサブドメインが付かない最上位ドメイン自体（例：example.com）。DNS標準上SOA・NSと共存しなければならないため、通常のCNAMEは使えない |
| ログスクラビング (Log Scrubbing / Redaction) |
ログやトレースを保存・転送する前に、パスワード、APIキー、セッショントークン、個人情報を自動的に消去するか[REDACTED]で伏せる処理 |
| リージョン (Region) |
クラウドデータセンター群が位置する地理的圏域（例：ソウルap-northeast-2 / Vercel icn1）。サーバーレス関数はプライマリデータベースと同じリージョンに置くことで往復遅延が減る |
| メッシュVPN (Mesh VPN) |
すべてのトラフィックを中央ゲートウェイ1か所に集めるのではなく、コントロールプレーンの仲介のもとで許可されたノード同士がWireGuardベースの暗号化トンネルで直接（P2P）つながる仮想プライベートネットワーク |
| モジュール (Terraform Module) |
関連するTerraformリソース群を入力変数（variable）と出力値（output）を持つ再利用可能な単位としてまとめたディレクトリ構造 |
バイパスシークレット (x-vercel-protection-bypass) |
Vercel Deployment Protectionが有効なPreview環境へ、CIのE2Eテストや自動化Webhookが認証画面なしで通過できるよう許可する専用ヘッダーのシークレット値 |
| バックホーリング (Backhauling) |
リモートワーカーのクラウド・インターネットトラフィックを不必要に本社の物理VPN装置へ集めてから再び外へ出し、ボトルネックと遅延を生む非効率なルーティング |
| 目標復旧時間 (RTO, Recovery Time Objective) |
障害発生時点からサービスを正常状態へ復旧させて再開するまでに許容される最大所要時間 |
| 目標復旧時点 (RPO, Recovery Point Objective) |
障害発生時にデータ損失を許容できる最大の過去時間幅（例：RPO 1分なら事故直前の1分以内のデータまで復元） |
| スプリットホライズンDNS (Split-Horizon / Split-Brain DNS) |
外部インターネットからのクエリと社内ZTNA/VPN内部からのクエリに対して異なるDNS応答を返すか、社内専用ドメインを内部リゾルバでのみ名前解決できるよう分離する構成 |
| スプリットトンネリング (Split Tunneling) |
端末のすべてのトラフィックをVPNへ送るのではなく、社内リソース帯域（Includeモード）だけをトンネルに乗せ、一般インターネットトラフィックはローカル回線へ流すルーティング方式 |
| 非難のない事後振り返り (Blameless Postmortem) |
障害後に個人を処罰する代わりに、ミスが障害へとつながったシステム・手順の抜け穴を探して再発防止アクションアイテムを導き出す文化と文書 |
| サブネットルーター (Subnet Router) |
メッシュVPNエージェントを直接インストールできないマネージドDB（RDS）やレガシーサブネットの手前でトラフィックを中継してくれるブリッジノード |
| サーバーレス関数 (Serverless Function) |
常駐仮想マシンを持たず、リクエストが入ってきたときに実行されるイベント駆動のコンピューティング単位。DB接続枯渇を防ぐためトランザクションプーラーと併用する |
| 署名付きURL (Signed URL) |
非公開（Private）ストレージバケットの特定ファイルを、所定の短い有効期限の間だけアップロードまたはダウンロードできるよう暗号化署名を付与した一時アドレス |
サービスロールキー (service_role key) |
SupabaseですべてのRLSポリシーをバイパス（BYPASSRLS）する最高権限のバックエンド専用秘密鍵。クライアントへ露出するとDB全体が突破される |
| サーキットブレーカー (Circuit Breaker) |
下位サービスの連続失敗が閾値を超えたら呼び出しを即座に遮断（Open）してフォールバックを返し、連鎖障害とリトライストームを防ぐパターン |
| 宣言的コード (Declarative IaC) |
達成するための手順（How）ではなく、望ましい最終インフラ状態（What）をコードで定義すると、ツールが現在状態との差分（Diff）を計算して合わせる方式 |
| セッションモード (Session Mode, 5432) |
Supavisorでクライアントが接続を切るまでバックエンドPostgres接続を1対1で占有するプーリングモード。マイグレーションやセッションロックに使う |
| ステートロック (State Locking) |
2人以上の作業者やCIが同時にterraform applyを実行してステートファイルが破損するのを防ぐため、S3の.tflockやDynamoDBでかけておくロック |
ステートファイル (terraform.tfstate) |
Terraformコードのリソースアドレスと実際のクラウドリソースID・属性をマッピングする中核JSONファイル。平文シークレットが含まれうるため暗号化されたリモートバックエンドに保管する |
| ポイントインタイムリカバリ (PITR, Point-in-Time Recovery) |
ベースバックアップと継続的なWAL（Write-Ahead Log）アーカイブを組み合わせ、事故直前の特定の秒単位時刻へとデータベースを巻き戻す復旧技法 |
| アウトバウンドトンネル (Outbound-only Tunnel) |
社内サーバーのインバウンドファイアウォールポートを1つも開けず、内部デーモン（cloudflaredなど）が外部エッジへ先に接続を結んでリクエストを受け取るセキュアな接続構造 |
匿名キー (anon key) |
Supabaseでブラウザ・アプリに公開されるクライアントキー。それ自体には権限がなく、データベースのRLSポリシーが実際のアクセス統制を担う |
| オリジンロックダウン (Origin Lockdown) |
攻撃者がCloudflareなどのエッジプロキシとWAFを飛び越えてオリジンサーバーIPへ直接接続できないよう、ファイアウォール、mTLS（Authenticated Origin Pulls）、トンネルでオリジンをロックする措置 |
| デュアルキーローテーション (Dual-Key Rotation) |
秘密鍵の交換時に、新キーと直前の旧バージョンキーを一定の猶予期間中ともに検証許可し、セッション切断やWebhook消失なしにキーを変える技法 |
| 再帰リゾルバ (Recursive Resolver) |
ユーザー端末のリクエストを受け、ルート・TLD・権威ネームサーバーを順番にクエリしてIPを探し出し、TTLの間キャッシュするDNSサーバー（例：1.1.1.1、通信事業者DNS） |
| ゼロトラスト (Zero Trust Architecture, NIST SP 800-207) |
ネットワークの位置（社内網であるか否か）だけで信頼せず、すべてのリソースアクセスごとに身元・端末状態・コンテキストを検証して最小権限のみを付与するセキュリティアーキテクチャ |
| 指数バックオフとジッター (Exponential Backoff with Jitter) |
リトライ間隔を指数関数的に延ばし（1s、2s、4s...）、ランダムな時間偏差（Jitter）を加えることで、全クライアントが同時にリトライの集中砲火を浴びせる現象を防ぐ技法 |
| キャッシュ汚染 (Cache Poisoning / Deception) |
パーソナライズされたAPI応答やセッションCookieが共有CDNキャッシュに誤って保存され、他のユーザーに他人の機密情報がそのまま露出する事故 |
| テールレイテンシ (Tail Latency, p95 / p99) |
全リクエストを応答時間順に並べたとき、下位5%（95パーセンタイル）や1%（99パーセンタイル）が経験する遅い区間の遅延時間 |
| トランザクションモード (Transaction Mode, 6543) |
Supavisorで単一トランザクションが実行されている間だけバックエンドDB接続を借りて使い、即座に返却するモード。サーバーレス関数ランタイムの標準である |
破棄後の再作成 (-/+, Replace) |
Terraformで不変属性が変わり、既存のクラウドリソースを完全に削除したあとに新しく作り直す動作。DB・ストレージではデータ消失を意味する |
| 行レベルセキュリティ (Row Level Security, RLS) |
PostgreSQLテーブルの各行に対して、誰が照会（USING）し、誰が挿入・更新（WITH CHECK）できるかをデータベースエンジンが直接強制するセキュリティ機能 |
| ラテラルムーブメント (Lateral Movement) |
攻撃者が端末やサーバーを1台突破したあと、ネットワーク内部で隣接する他のサーバーやデータベースへと横方向に移動しながら侵害範囲を広げる攻撃 |
| AI Gateway |
アプリケーションと外部LLMプロバイダーの間で、ロギング・コスト観測、プロンプトキャッシング、レート制限、マルチプロバイダー自動フォールバックを提供するエッジプロキシ |
| Aliasレコード |
Route 53でルートドメイン（Zone Apex）やサブドメインをALB・CloudFrontなどの動的IPリソースへ標準のA/AAAA応答のように結びつける拡張レコード |
| CAA (Certification Authority Authorization) |
自ドメインに対してどの認証局（CA）だけがTLS証明書を発行できるかをDNSに明記し、証明書の誤発行を防ぐレコード |
| DERP (Designated Encrypted Relay for Packets) |
ファイアウォール・NAT環境のためにWireGuardピア間の直接UDP接続が塞がれたとき、エンドツーエンド暗号化を維持したままTCP 443（HTTPS）でパケットを中継するリレーサーバー |
| Expand-Contract (並行変更) |
スキーマ変更を拡張（新カラム追加） → 二重書き込み・バックフィル → 読み取り切り替え → 収縮（旧カラム削除）に分け、ローリングデプロイ中の後方互換性とロールバックを保証する技法 |
| Fluid Compute |
Vercelサーバーレス関数が外部LLM・APIの遅いネットワークI/Oを待っている間、同一インスタンス上で他のリクエストを同時処理してコールドスタートとアイドルコストを減らす実行モデル |
Full (Strict) |
ブラウザ↔Cloudflare区間とCloudflare↔オリジンサーバー区間をともにHTTPSで暗号化し、オリジンサーバーの証明書の有効性まで厳格に検証する標準SSL/TLSモード |
movedブロック |
Terraformコードでリソース名やモジュールパスを変える際、実物リソースを削除・再作成することなくステートファイル内のアドレスだけを安全に移す宣言ブロック |
NEXT_PUBLIC_ |
Next.jsでビルド時点に変数の値をクライアントJavaScriptバンドルへ平文でインライン化するよう指示するプレフィックス。シークレット値には絶対使用禁止 |
NODE_EXTRA_CA_CERTS |
Node.jsランタイムやコーディングエージェントがデフォルトの公的CAリストを維持したまま、社内ZTNAルートCA証明書（.pem）を追加で信頼するよう指定する環境変数 |
OIDC (AssumeRoleWithWebIdentity) |
GitHub ActionsなどのCIパイプラインが長期静的クラウド秘密鍵を保存せず、署名された短期IDトークンを提示して一時的なIAMロール権限を得る標準方式 |
prevent_destroy |
Terraformのlifecycleブロックにおいて、該当リソースが削除（-）または置換（-/+）される計画が立てられたらplan段階で即座にエラーとして停止させる保護設定 |
| RFC 1918 |
プライベートネットワーク用に予約されたIPv4帯域（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）。社内VPN設計時は家庭用ルーターのデフォルト帯域との衝突を避けなければならない |
| SCIM (System for Cross-domain Identity Management) |
中央IdP（Okta、Entra IDなど）の入退社およびグループ変更をZTNA・SaaSツールへ自動的に即時同期し、退職者のアクセス権限を自動回収する標準プロトコル |
| TTL (Time To Live) |
DNSレコードやキャッシュ項目がリゾルバ・エッジで再検証なしに有効として使われる時間（秒）。無停止ドメイン移行時は既存TTL時間より前にあらかじめ引き下げなければならない |
USING / WITH CHECK |
PostgreSQLのRLSにおいて、既存行の照会・更新・削除対象を絞り込む条件式（USING）と、新しく挿入・更新される行の有効性を検査する条件式（WITH CHECK） |