この教本の使い方

本書の対象読者

この本は、AIサービスやWebサービスを実際に世の中に公開し、攻撃や障害から守り、組織の内外から人が安全に接続できるようインフラを設計・構築・運用する人のための教材です。コーディングエージェントやフレームワークを用いてアプリケーションコードを書いた経験があるフルスタックエンジニアやバックエンドエンジニア、社内のAIツールや開発ネットワーク（ZTNA・VPN）を導入・展開しなければならないインフラ担当者やセキュリティ担当者、そして複数の環境をInfrastructure as Code（IaC、コードとしてのインフラ）で一貫して管理したいDevOpsエンジニアやプラットフォームエンジニアを主な読者としています。青帯（AIアプリビルダー）や赤帯（LLM API開発者）レベルのアプリケーションに関する理解と、Linux・ネットワーク・クラウドデプロイの基礎的な感覚があることを前提としています。その程度の背景があれば、この本1冊だけでAI・クラウドインフラ特技課程（AIN）の全範囲を最初から最後まで身につけられるように書きました。

AI時代のインフラは、従来のWebインフラと似ているようでいて、決定的な部分で異なります。第1に、コーディングエージェントのおかげでアプリケーションの機能は1日に何度も作られますが、環境変数が1つクライアントバンドルに混ざったり、データベースの行レベルセキュリティ（RLS）ポリシーが1つ抜けたりするだけで、数秒のうちに全顧客のデータが露出してしまいます。第2に、LLMのストリーミング応答や長時間のツール呼び出しがあるため、サーバーレス関数の実行時間・リージョン配置・コネクションプーリングの方式がサービスの生死を分けます。第3に、クラウドコンソールでマウスをクリックして作った設定は、時間が経つと誰にも再現できないシャドーインフラになってしまうため、Terraformのような宣言的コードと長期秘密鍵を持たないOIDCパイプラインが必須の基礎体力になりました。第4に、社内Wiki・モデルゲートウェイ・開発データベースを守る方式も、従来型の境界型VPNから脱却し、アウトバウンドトンネル、メッシュVPN、ゼロトラストネットワークアクセス（ZTNA）へと急速に移行しています。

この本では、オンプレミスの物理サーバーのハードウェア修理やデータセンターの光ケーブル敷設といった物理層の工事は扱いません。その代わりに、今日のAI・Webサービスチームが毎日直面する5つの重要なレイヤー——マネージドアプリ・データプラットフォーム（Vercel・Supabase）、コードとしてのインフラ（Terraform・CI/CD）、グローバルDNS・エッジネットワーク（Route 53・Cloudflare）、社内ネットワークセキュリティとリモートアクセス（ZTNA・VPNの導入と展開）、そしてインフラの信頼性・シークレット管理・障害対応——について、なぜそのように設計しなければならないのかという原理から実務での意思決定までを緻密に掘り下げます。

本書の構成

本文では、試験設計図の5つのドメインを順番に1章ずつ扱います。

**第1章マネージドアプリ・データプラットフォーム（基礎：Vercel・Supabase）**では、最も素早くプロダクトを立ち上げられるマネージドプラットフォームの内部動作原理とセキュリティ境界を扱います。Preview環境とProduction環境の分離、NEXT_PUBLIC_変数とサーバー専用シークレット値の境界、デプロイ保護とWebhook自動化バイパス、関数リージョン（icn1）とデータベースの物理的距離、Fluid Computeとストリーミング、Supavisorのトランザクションモード（6543）とセッションモード（5432）、Row Level Security（RLS）のUSINGとWITH CHECK、anonキーとservice_roleキーの分離、Authリダイレクト許可リストと非公開Storageの署名付きURLを学びます。
**第2章コードとしてのインフラとデプロイ自動化（中級：Terraform・IaC）**では、手動クリックによる構成を超えて宣言的コードでインフラを統制する方法を身につけます。ステートファイル（terraform.tfstate）の役割、S3リモートバックエンドとステートロック（State Locking）、モジュール化と環境別ステート隔離、terraform planの記号（~インプレース更新と-/+置換）の読み解き、prevent_destroyとmoved／importブロック、ステートファイル内の平文シークレット露出防止、ドリフト（Drift）の検知と復旧、そしてGitHub Actions OIDC（AssumeRoleWithWebIdentity）を用いたキーレスデプロイパイプラインを扱います。
**第3章グローバルDNS・エッジネットワーク（上級：Route 53・Cloudflare）**では、ユーザーのリクエストがサーバーに届く前のすべての関門を設計します。Route 53のA・AAAA・CNAME・Aliasレコード（ルートドメイン制約の解決）、ルーティングポリシー（シンプル・加重・レイテンシ・フェイルオーバー）とヘルスチェック、無停止移行のための事前TTL短縮、DNSSECとCAA、Cloudflareのプロキシ（オレンジ色の雲）とDNSのみ（灰色の雲）、SSL/TLSモード（Flexibleの危険性とFull (Strict) + Origin CA・mTLS）、WAFとレート制限、パーソナライズAPI・SSEストリーミングのキャッシュ汚染防止、Workers・Queues・AI Gatewayを通じたモデルトラフィックの観測とフォールバックを学びます。
**第4章社内ネットワークセキュリティとリモートアクセス（実践：ZTNA・VPNの導入と展開）**では、組織の内部資産とリモートワーク環境を安全につなぐ実践的な設計を扱います。従来型の境界型VPNにおけるラテラルムーブメント（Lateral Movement、横展開）のリスクとゼロトラスト（NIST SP 800-207）、インバウンドポートをすべて閉じるアウトバウンドコネクタ（cloudflared Cloudflare Tunnel）、WireGuardベースのメッシュVPN（Tailscale）のサブネットルーター・DERPリレー・ACL、家庭用ルーター帯域（192.168.x.x）との衝突を解消するスプリットトンネリング（Split Tunneling）と社内ドメインの露出を防ぐスプリットホライズンDNS（Split-Horizon DNS）、IdP（SSO・MFA・SCIMによる退職者アカウントの自動回収）とデバイスポスチャ、そして社内TLS検査ルートCA証明書を開発者端末やCLIツール（NODE_EXTRA_CA_CERTS、SSL_CERT_FILE）に障害なく配布する手順を身につけます。
第5章インフラの信頼性・シークレット管理・障害対応では、稼働中のサービスを止めずに運用する技術を扱います。デュアルキー（Dual-Key）による無停止シークレットローテーションと緊急失効、スナップショットバックアップとポイントインタイムリカバリ（PITR）におけるRPO・RTO設計および復旧リハーサル、アプリケーションとデータベースが共存するExpand-Contract（並行変更）無停止スキーママイグレーション、OpenTelemetry分散トレーシングと機密情報のログマスキング、コスト・使用量の異常兆候アラートと上限設定、そして障害隔離・ロールバックのランブックと事後振り返り（Postmortem）を学びます。

すべての章は、まったく同じ10の節で構成されています。学習目標とはじめにで問題意識を定め、重要な概念とさらに深くで原理と応用的なトレードオフを掘り下げたあと、2つの実務の場面で架空の組織が経験する具体的な意思決定をたどります。続いて、試験と実務で最も引っかかりやすい間違えやすいポイント、試験前日に見直すひと目でわかるまとめ、原文を照らし合わせる公式ドキュメントで確認する、自分の理解度を点検するセルフチェック（解答と解説は付録B）、そして自分の手で直接設計してみる2つの実習課題が続きます。

試験の概要

AI・クラウドインフラ特技審査（AIN）では、35問を60分以内に解きます。基本原理や単一設定の正誤を問う問題は2点、複数の制約条件（可用性、セキュリティ、レイテンシ、コスト、デプロイ順序）を同時に考慮して最適な構成を選ぶ分析型の問題は3点です。100点満点換算の素点で75点以上であれば合格となり、成績表には素点とともに1〜9等級が表示されます。無料の練習セットは10問、25分です。

章	ドメイン	配分	重要キーワード
第1章	マネージドアプリ・データプラットフォーム（基礎：Vercel・Supabase）	20%	Preview/Production分離、`NEXT_PUBLIC_`、`icn1`、Supavisor 6543 vs 5432、RLS `USING`/`WITH CHECK`、`service_role`、Storage署名付きURL
第2章	コードとしてのインフラとデプロイ自動化（中級：Terraform・IaC）	20%	リモートStateとロック、モジュール・環境分離、`plan`（`~` vs `-/+`）、`prevent_destroy`、`moved`/`import`、ステート保護、ドリフト、GitHub OIDC
第3章	グローバルDNS・エッジネットワーク（上級：Route 53・Cloudflare）	25%	Alias vs CNAME、ルーティングポリシー・ヘルスチェック、TTL短縮、`Full (Strict)`、WAF・キャッシュ汚染防止、Workers・Queues・AI Gateway
第4章	社内ネットワークセキュリティとリモートアクセス（実践：ZTNA・VPNの導入と展開）	20%	NIST SP 800-207、Cloudflare Tunnel、WireGuard・Tailscaleサブネットルーター・DERP、Split Tunnel・RFC1918衝突、Split-Horizon DNS、SCIM・ポスチャ・CA証明書
第5章	インフラの信頼性・シークレット管理・障害対応	15%	Dual-Keyローテーション、PITR・RPO・RTO、Expand-Contractマイグレーション、OpenTelemetry・ログスクラビング、コストアラート、障害ロールバックランブック

ドメイン別の配分は第3章が25%で最も高く、第1・2・4章が各20%、第5章が15%ですが、実際の試験問題は複数のレイヤーを横断して出題されます。たとえばCloudflareのキャッシュルールに関する問題（第3章）がVercelのCache-ControlヘッダーおよびSupabaseの認証Cookie（第1章）と結びついたり、社内の開発用データベースを外部から隠す問題（第4章）がTerraformのセキュリティグループ変更（第2章）および無停止接続切り替え（第5章）とつながったりするといった具合です。各章を独立した部品としてではなく、「ユーザーのリクエストがDNSとエッジを経てアプリとデータベースに届き、コードで管理され、社内ネットワークと運用体制によって守られる1つの生きたシステム」として結びつけて読んでください。

問題はこのような形です

問題用紙は5つの客観式（選択式）形式で構成されており、すべての問題は5つの選択肢（①〜⑤）の中から最も適切なものを1つ選びます。

形式	問題用紙での形	攻略のポイント
単一選択	短い障害・設計シナリオと5つの選択肢	シナリオの太字の制約条件（例：無停止、インバウンドポート開放不可、サーバーレス環境）をすべて満たす唯一の選択肢を選ぶ
複数選択	`<選択肢>`の枠内のア、イ、ウ、エから所定の個数をまとめた組み合わせ	各措置の副作用（例：キャッシュ汚染、ロック解除、平文露出）を吟味して誤答の記述を先に消去する
正誤判定	`<選択肢>`の枠内の技術的な記述のうち正しいものだけをすべて選んだ組み合わせ	記述の前半（現象・設定）と後半（動作原理・結果）の両方が正確であって初めて正しい記述となる
並べ替え	（ア）〜（オ）の作業手順の実行順序を示す5つの候補	無停止切り替え（TTL短縮が先、キー追加が先、スキーマ拡張が先）において、前の段階が完了してこそ次の段階が安全になる順序を探す
組み合わせ	左側の要件・症状と右側のインフラ機能・設定を結んだ5つの候補	最も境界がはっきりしているペア（例：ルートドメインのエイリアス ↔ Route 53 Alias）から確定して消去する

インフラの試験で最もよくある誤答の落とし穴は、**「機能としては動くものの、セキュリティや無停止の条件を破ってしまう選択肢」**です。たとえば「RLSポリシーのエラーが出るのでクライアントからservice_roleキーで呼び出して解決する」「ドメイン移行の当日にTTLを下げて即座にレコードを書き換える」「データベースのカラム名を変えるためにデプロイ前にまずALTER TABLE RENAME COLUMNを実行する」「CloudflareのSSLモードをFlexibleにしてオリジンサーバーの証明書設定を省略する」といった選択肢は、目の前のエラーをすぐ解消してくれるように見えますが、深刻なセキュリティ事故やサービス停止を招きます。常に「この選択肢は本番環境のセキュリティ境界と可用性を守っているか？」を真っ先に問いかけてください。

要点

並べ替え問題では、**「元に戻せない（不可逆な）手順は必ず一番最後に来る」**という原則を覚えておいてください。旧バージョンのキーの失効、旧サーバーの終了、旧カラムの削除（Contract）、DNS TTLの元の値への復元は、すべてのトラフィックとアプリケーションが新しい構造へ安全に移行したことを確認したあとに実行します。

6週間の学習計画

1日1時間、週5日を基準とした推奨スケジュールです。すでにクラウド運用の経験がある場合は、第1〜2週をまとめて素早く通読し、第3〜5週により多くの時間を割いてください。

週	学習範囲	週ごとの主な成果物
第1週	第1章マネージドアプリ・データプラットフォーム（Vercel・Supabase）	環境変数分類表（`NEXT_PUBLIC_` vs サーバーシークレット）、RLS `USING`/`WITH CHECK`ポリシー草案、Supavisor接続文字列点検表
第2週	第2章コードとしてのインフラとデプロイ自動化（Terraform・IaC）	S3リモートバックエンド・ロック構成案、`terraform plan`破壊的変更（`-/+`）レビューチェックリスト、GitHub Actions OIDC信頼ポリシーJSON
第3週	第3章グローバルDNS・エッジネットワーク（Route 53・Cloudflare）	ドメイン無停止移行タイムライン（TTL短縮を含む）、Cloudflare `Full (Strict)`および動的APIキャッシュバイパスルール表、AI Gatewayルーティング設計案
第4週	第4章社内ネットワークセキュリティとリモートアクセス（ZTNA・VPN）	社内リソースZTNA移行設計図（Cloudflare Tunnel + Tailscale）、RFC1918帯域衝突解決表、社内ルートCA開発環境配布ガイド
第5週	第5章インフラの信頼性・シークレット管理・障害対応	Dual-Keyローテーション手順書、Expand-Contract 3段階マイグレーション計画書、障害隔離・ロールバックランブックとOTelログスクラビング規則
第6週	付録A〜Dの総整理、セルフチェック復習、練習セット演習	30問のセルフチェックを何も見ずに記述、間違えやすいポイントの誤答ノート完成

要点

各章の最後にある実習課題は、実際のクラウドアカウントで費用をかけなくても、構成ファイル（HCL、SQL、JSON、DNSレコード表、ランブック）を自分の手で直接書いてみるように設計されています。目で読んでいるだけのときは当然に思えたWITH CHECK条件やAssumeRoleWithWebIdentityのsubクレーム条件も、実際に手で書いてみるとどこでミスが起きるのかがすぐに浮かび上がります。

表記と出典の方針

本書が説明するクラウド・プラットフォームの機能と標準は、2026年10月21日に各公式ドキュメントで確認した内容を基準としています。

製品名、CLIコマンド、環境変数、HTTPヘッダー、設定キー、SQL・HCL構文キーワードは公式表記のまま記載します（NEXT_PUBLIC_、x-vercel-protection-bypass、Supavisor、terraform.tfstate、prevent_destroy、Full (Strict)、cloudflared、NODE_EXTRA_CA_CERTS）。
技術用語が初めて登場するときは日本語の説明と英語の原語を併記し、その後は一貫した用語を使います（例：行レベルセキュリティ（Row Level Security, RLS）、ゼロトラストネットワークアクセス（Zero Trust Network Access, ZTNA）、ポイントインタイムリカバリ（Point-in-Time Recovery, PITR）、並行変更（Expand-Contract））。
料金プランの上限や細かいコンソールメニューの位置のようにベンダーが随時変更する値よりも、アーキテクチャの原理やプロトコル・セキュリティ境界のように長く通用する原則を中心に説明します。
本文と実務の場面に登場する会社・機関・サービス・ドメイン・出来事は、すべて学習のために作られた架空のものです。
コードブロック内の例は理解を助けるためのコア構造であり、実際の本番環境に適用する際は、各章の公式ドキュメントで確認するおよび付録Dに収録されたベンダーの最新ドキュメントを必ずあわせて照合してください。