Google Cloud Professional Cloud Security Engineer のナレッジマップ
Google Cloud Professional Cloud Security Engineer の主要概念 126 件と、そのつながり。上のマップでノードをクリックすると関連用語や前提をたどれます。下は全概念の索引で、定義と「前提・関連する概念」への内部リンクを掲載しています。
概念一覧（126）
Cloud Storage
画像・動画・バックアップなど非構造化データを保存するオブジェクトストレージ。
Cloud Run
コンテナをサーバーレスで実行するサービス。トラフィックがなければゼロまで縮小し、使った分だけ課金される。
BigQuery
ペタバイト級のデータを SQL で高速に分析できる、Google Cloud のサーバーレスなデータウェアハウス。
Google SecOps（SIEM/SOAR）
旧 Chronicle。大量のセキュリティログを取り込み、検出ルールで脅威を見つけて調査する SIEM と、対応をプレイブックで自動化/オーケストレーションする SOAR を備えたセキュリティ運用プラットフォーム。Security Command Center と統合して使う。
暗号鍵（GMEK / CMEK / CSEK）
GMEK＝Google が管理する既定の鍵、CMEK＝顧客が Cloud KMS で管理する鍵（ローテーション/無効化を制御）、CSEK＝顧客が鍵そのものを供給。保存時・転送時とも既定で暗号化される。
前提: 保管時の暗号化（at rest）、転送時の暗号化（in transit）
関連: Cloud KMS
Security Command Center
クラウド環境全体の設定ミス・脆弱性・脅威を一元的に可視化するセキュリティ態勢管理の中心。
ファイアウォールルール（VPC firewall rules）
VPC 内外のトラフィックを許可/拒否するステートフルな規則。方向・優先度・ターゲット（タグ/サービスアカウント）・送信元で評価する。組織レベルの階層型ファイアウォールポリシーもある。
サービスアカウント（Service account）
人ではなくワークロード（VM/アプリ）が使う特別な ID。鍵の代わりにメタデータ経由の短命トークンや Workload Identity Federation で認証するのが安全。
VPC Service Controls
BigQuery や Cloud Storage などのマネージドサービスへのデータ持ち出しを、サービス境界（perimeter）で防ぐ仕組み。IAM の許可とは別レイヤーの統制。
Compute Engine
Google Cloud の IaaS。CPU/メモリを選べる仮想マシン（VM）を提供し、OS まで自分で管理できる。既存システムのリフト＆シフト先に適する。
Pub/Sub
イベントをリアルタイムに取り込み、複数のサービスへ配信するメッセージングサービス。ストリーミング取り込みに使う。
Vertex AI
機械学習モデルの構築・学習・デプロイ・運用を一気通貫で行える統合 AI プラットフォーム。基盤モデルの利用も可能。
転送時の暗号化（in transit）
ネットワーク経路を通過中のデータを暗号化すること。多くの場合TLSで通信を保護する。保管時の暗号化と組み合わせて初めて、データのライフサイクル全体（保存中・移動中）を防御できるため、両方を満たすのがセキュリティの基本要件となる。
前提: 保管時の暗号化（at rest）
Cloud Interconnect
オンプレミスと Google Cloud を専用回線で接続するサービス（Dedicated/Partner）。高帯域・低遅延・SLA を提供し、手軽な暗号化トンネルの Cloud VPN と使い分ける。
前提: Cloud VPN
集約シンク（aggregated sink）
組織やフォルダ配下のログを一括で収集し、BigQuery/Cloud Storage/Pub/Sub へエクスポートするログシンク。外部 SIEM への転送や長期保管に使う。単一プロジェクトのログシンクの上位概念。
Cloud DNS
内部/外部の名前解決（ドメイン名から IP へ）を管理する Google Cloud のサービス。
Cloud NAT
外部 IP を持たない VM から、インターネットへの外向き通信を可能にするサービス。
Eventarc
Pub/Sub や Cloud Storage の変更など多様なイベント源からのイベントを Cloud Run / Cloud Functions へ統一的に配送する仕組み。
Cloud KMS
暗号鍵を作成・管理し、ローテーションや無効化を制御するマネージドな鍵管理サービス。CMEK の基盤。
Cloud Logging
ログの収集・検索・保管を担う Google Cloud Observability の機能。原因調査や監査に使う。
保管時の暗号化（at rest）
ディスクやオブジェクトストレージ上に保存されているデータを暗号化すること。クラウドの多くのマネージドストレージ（ブロック/ファイル/オブジェクト/DB）はサービス側の鍵管理（KMSなど）と統合した暗号化オプションを持つ。盗難・不正アクセスからデータ本体を守る基本対策。
前提: Cloud Storage
Access Transparency
Google のサポート/エンジニアリング担当者が、サポート対応等の理由で顧客データにアクセスした際の記録（誰が・いつ・なぜ・どのリソースに）をログとして提供する機能。監査要件や透明性の説明責任を果たすために有効化し、Cloud Logging から確認できる。
前提: Cloud Logging
Cloud Deploy
GKE・Cloud Run・Anthos 向けのマネージドな継続的デリバリー（CD）サービス。開発→ステージング→本番のようなデリバリーパイプラインをテンプレート化し、カナリアやブルー・グリーンなどのデプロイ戦略、承認ゲート、ロールバックを標準機能として提供する。
前提: Cloud Run、GKE Enterprise（Anthos）、デプロイ戦略（カナリア/ブルー・グリーン/ロールバック）
関連: Cloud Build
Cloud External Key Manager（Cloud EKM）
外部（自社/サードパーティ）の鍵管理基盤に保持した鍵で Google Cloud のデータを暗号化する仕組み。CMEK（Cloud KMS で顧客管理）よりさらに鍵主権を高める。
Cloud Audit Logs
誰がいつ何をしたか（管理操作・データアクセス）を記録する監査ログ。デプロイの追跡や統制・規制対応に使う。データアクセス監査は明示的に有効化する。
Cloud NGFW と階層型ファイアウォール
VPC 内通信を制御する次世代ファイアウォール。組織/フォルダに継承する階層型ポリシー、優先度で評価される実効ポリシー、Enterprise ティアの L7 検査（IPS）を持つ。タグ/サービスアカウントでマイクロセグメンテーションを実装する。
Cloud IDS
ネットワーク層の侵入や既知の脅威シグネチャを検出するマネージドな侵入検知サービス（IDS）。Packet Mirroring を用いてトラフィックを検査する。横断的な Security Command Center とは守備範囲が別。
Event Threat Detection
Security Command Center の組み込み検出で、Cloud Audit Logs（管理操作/データアクセス）等から既知の脅威（不審ログイン/権限昇格など）を検出する。クラウド固有 IOC はカスタム検出（カスタムディテクター）で補う。
リトロハント（retrohunt）
新しい検出ロジックや新たに判明した IOC を、過去に取り込んだイベントデータに遡って適用し、見逃していた侵害を発見する手法。Google SecOps ルールエンジンや BigQuery/Cloud Logging で行う。
前提: BigQuery、Cloud Logging、イベントデータとエンティティデータ、Google SecOps（SIEM/SOAR）
Vertex AI AutoML
コードをほぼ書かずに、表形式・テキスト・画像・動画データから高品質なカスタム ML モデルを自動構築する Vertex AI の機能。ニューラルアーキテクチャ探索とハイパーパラメータ調整を裏側で行い、精度と学習コストのバランスを取ったモデルを出力する。素早い SQL 分析だけなら BigQuery ML の方が手軽な場合もある。
Ops Agent
Compute Engine や オンプレミス VM にインストールし、詳細なシステムメトリクス（CPU/メモリ/ディスク等）とログを Cloud Monitoring / Cloud Logging へ収集するエージェント。旧来の Monitoring エージェントと Logging エージェントを統合したもので、新規はこちらを使う。
Workflows
サービス間の軽量なステップ連携（シンプルなワークフロー）を行うサーバーレスのオーケストレーション。重い依存は Cloud Composer。
Cloud Monitoring
メトリクスの監視・ダッシュボード・アラートを担う Google Cloud Observability の機能。
Cloud SQL
MySQL / PostgreSQL / SQL Server 互換のマネージド リレーショナルデータベース。一般的な業務アプリ向け。
データレジデンシーとデータ主権
データレジデンシー＝データを保存する地理的な場所（リージョン）。データ主権＝データがその国の法律の管理下に置かれること。
Sensitive Data Protection（Cloud DLP）
保存データから個人情報などの機微データを自動で発見・分類し、マスキングできるサービス。
Access Approval
Google 担当者がサポート等でデータへアクセスする前に、顧客側の明示的な承認を必須にする機能。Access Transparency が事後のログであるのに対し、Access Approval は事前の承認ゲートを追加する点が異なり、両者を組み合わせて主権性の高い統制を実現する。
HA VPN
冗長化された 2 本のトンネル（それぞれ別の外部 IP）を使い 99.99% の可用性 SLA を提供する、Google 推奨の IPSec VPN。オンプレミスや他クラウド・他 VPC との接続に使い、BGP による動的ルーティングを前提とする。新規構築では基本的にこちらを選ぶ。
CIDR 表記
IP アドレス範囲を「/24」のようなプレフィックス長で表す記法。/24 は 256 個、/16 は 65,536 個のアドレスを含み、数字が小さいほど範囲が広い。VPC/VNet やサブネットの設計、ルーティングの最長一致判定、ファイアウォールルールの許可範囲指定など、あらゆるクラウドのネットワーク設計の基礎になる。
エフェメラルポート
クライアントが接続の戻り通信用に一時的に使う高位のポート番号（一般に 1024–65535）。ステートレスなファイアウォールルール（例：ネットワーク ACL）では、戻り通信を許可するためにこの範囲を明示的に開ける必要があり、見落としやすい設定ミスの原因になる。
Private Google Access
外部 IP を持たない VM から Google API（Cloud Storage など）へプライベートに到達できるようにする設定。外向き一般通信の Cloud NAT とは目的が異なる。
Cloud CLI エミュレータ
Google Cloud CLI が提供する Firestore・Pub/Sub・Spanner などのローカル模擬環境。クラウドに接続せず開発・ユニットテストを高速化する（本番の代替ではない）。
可観測性の三本柱（メトリクス・ログ・トレース）
メトリクス（Cloud Monitoring・数値の傾向）、ログ（Cloud Logging・出来事）、トレース（Cloud Trace・リクエストの経路）。トレース ID でログとトレースを相関させて原因を特定する。
Artifact Analysis
コンテナイメージやパッケージの既知の脆弱性を検出するスキャン。Binary Authorization（署名済みのみデプロイ可）とは役割が別で、検出と強制を組み合わせて使う。
Cloud Router
オンプレ/他ネットワークと BGP で動的に経路交換するルーター。ASN・ルート優先度/MED・認証を構成し、カスタムアドバタイズ/ラーン ルートで広告・学習する範囲を制御する。
前提: ルート優先度
パケットミラーリング
トラフィックを完全に複製し、自己管理の IDS/IPS コレクタなどへアウトオブバンドで送る仕組み。サンプリングの VPC フローログより精密な解析ができる。経路に挟んで遮断するインライン検査（マルチ NIC NVA）とは別。
Cloud HSM
FIPS 140-2 Level 3 準拠の耐タンパなハードウェア（HSM）で暗号鍵を保護するサービス。ソフトウェア鍵より高い保証が要るときに選ぶ。CMEK のバックエンドとして使える。
Confidential Computing
処理中（使用中・メモリ上）のデータを暗号化された VM/ノードで扱い、ホストや他テナントから保護する仕組み。保存時/転送時の暗号化とは別の保護面（data in use）。
Security Health Analytics とカスタムモジュール
Security Command Center の機能で、公開バケットや過剰なファイアウォール等の設定ミスを自動検出するクラウドセキュリティポスチャ管理（CSPM）。独自の検査はカスタムモジュールで追加する。予防はカスタム組織ポリシー。
Tabular Workflows
表形式データ向けの AutoML パイプラインを、Vertex AI Pipelines 上のコンポーネントとして分解し、特徴量エンジニアリングやアーキテクチャ探索などの各段階を個別にカスタマイズ・再利用できるようにした機能。AutoML のブラックボックス的な自動化に対し、大規模データや特定段階への細かい制御が必要な上級ユースケース向け。
関連: Vertex AI AutoML
Cloud VPN
オンプレミスや他ネットワークと Google Cloud を暗号化トンネルで接続するサービス。
マネージドインスタンスグループ（MIG）とインスタンステンプレート
インスタンステンプレート（VM の設計図）に基づき同一構成の VM を作成し、オートスケールや自己修復を行う Compute Engine のグループ。
前提: Compute Engine
BigQuery ML
BigQuery 上のデータに対し、データを移さず SQL だけで機械学習モデルを作成・予測できる機能。
前提: BigQuery
Gemini
Google Cloud の中核となる生成 AI モデル。文章生成・要約・コード支援・画像理解などを担い、各サービスや Workspace に組み込まれる。
リソース階層
組織→フォルダ→プロジェクト→リソースという Google Cloud の階層。プロジェクトが課金/権限の基本単位で、ポリシーは階層に沿って継承される。
API Gateway（Google Cloud）
サーバーレスのバックエンド（Cloud Run/Functions/App Engine）の前段に置くフルマネージドな API ゲートウェイ。OpenAPI で定義し認証・鍵・モニタリングを担う。
前提: App Engine、Cloud Run
Cloud Billing（課金）
請求先アカウントをプロジェクトに紐づけ、費用の確認・予算アラート・課金データの BigQuery エクスポートを行う仕組み。
前提: 課金アカウントと予算、BigQuery
Cloud Build
ソースコードの取得・ビルド・テスト・コンテナイメージ化を自動実行するサーバーレス CI サービス。cloudbuild.yaml でビルドステップを定義し、GitHub/Cloud Source Repositories への push をトリガーに実行できる。生成物は Artifact Registry へ保存するのが一般的。
Gemini Cloud Assist
Google Cloud コンソール内で、ログ・メトリクス・トレースやリソース構成を分析し、トラブルシューティングやアーキテクチャ設計の提案を自然言語で行う AI アシスタント。運用担当者がコンソールを横断して原因調査する時間を短縮する目的で使う。
前提: Gemini
Gemini Code Assist
IDE 上でコード補完・生成・説明・レビューを支援する AI ペアプログラミング機能。個人向け無償枠と、社内コードベースを踏まえた補完やエンタープライズ管理が可能な Enterprise 版がある。VS Code や JetBrains 系 IDE の拡張として使う。
前提: Gemini
IP マスカレード（GKE）
GKE の Pod がクラスタ外へ送信する通信の送信元 IP を、ノードの IP に変換（SNAT）する仕組み。既定の非マスカレード対象（変換しない宛先）は RFC 1918 等のプライベートアドレス範囲とリンクローカルアドレスで、ip-masq-agent の設定で対象 CIDR を追加・変更できる。この agent が DaemonSet として自動デプロイされるか、その既定設定がどうなるかは GKE のバージョンやクラスタ構成（Autopilot か Standard か、Dataplane V2 の有無等）によって異なる。
前提: Dataplane V2、CIDR 表記
デプロイ戦略（カナリア/ブルー・グリーン/ロールバック）
カナリア＝一部の利用者に先行公開、ブルー/グリーン＝新旧環境を瞬時に切替、ロールバック＝問題時に即座に戻す。リスクを抑えてリリースする手法。
Cloud Run のリビジョンとトラフィック分割
デプロイごとに作られる不変の単位がリビジョン。トラフィック分割で各リビジョンへ送る割合を制御し、カナリア公開やロールバックを行う。
Cloud CDN
外部 Application LB のバックエンドで有効化し、Google のエッジでコンテンツをキャッシュする CDN。オリジンは MIG/Cloud Storage/Cloud Run/インターネット NEG。更新時はキャッシュ無効化で古い内容を破棄する。
Cross-Cloud Interconnect
他のパブリッククラウドと Google Cloud を、インターネットを経由せず専用の物理接続で低遅延に結ぶサービス。マルチクラウド接続で Cloud VPN より高帯域・低遅延が必要なときに使う。
ネットワークエンドポイントグループ（NEG）
ロードバランサのバックエンド単位。コンテナネイティブ（GKE）・サーバーレス（Cloud Run など）・インターネットのエンドポイントをまとめて登録できる。マネージドインスタンスグループ（MIG）と使い分ける。
VLAN アタッチメント
Cloud Interconnect と VPC（Cloud Router）を結ぶ論理接続。物理接続（Interconnect）を作った後、VLAN アタッチメントで実際の VPC へトラフィックを通す。
Access Context Manager
デバイス・送信元 IP・地域などのコンテキスト（アクセスレベル）で、アクセスできる境界を定義する仕組み。VPC Service Controls や IAP と連携してゼロトラスト的な制御を実現する。
restricted Google access
到達できる Google API を許可したサービスのみに限定する仕組み（restricted.googleapis.com 経由）。VPC Service Controls と整合し、データ持ち出し経路を塞ぐ。Private Google Access と併用する。
機密データ保護（PII / マスキング）
PII（個人を特定できる情報）や PHI などの機密データを守る運用。Macie で検出・分類し、暗号化・アクセス制御・最小化で保護。マスキング/トークン化で値を秘匿し、データ分類に応じて扱いを変える。ログへの機密混入も防ぐ。
ポート番号
同じ IP アドレス上で動く複数のサービスを識別する 16 ビットの番号（例：HTTP は 80、HTTPS は 443、SSH は 22）。TCP・UDP のヘッダーに含まれ、ファイアウォールやセキュリティグループのルールは送信元/宛先ポートで通信を許可・拒否する。
前提: HTTPS
イベントデータとエンティティデータ
イベントデータは「いつ何が起きたか」の行動記録（Cloud Audit Logs 等）、エンティティデータは「誰/どの資産か」の文脈（Active Directory 組織コンテキスト等）。エイリアシングフィールドで複数識別子を名寄せしてからエンリッチする。
前提: Cloud Audit Logs
SOAR プレイブックとケース管理
Google SecOps SOAR のプレイブックで安全・定型の対応（エンリッチ/隔離/チケット/通知）を自動化/オーケストレーションする。ケース管理ライフサイクルでは対応ステージの割り当て・エスカレーションのワークフロー・ハンドオフの有効性評価を行う。
スレットハンティング
アラートを待たず、インシデント/脅威インテリジェンス/ポスチャ/行動に基づく検証可能な仮説を立て、ログを横断（Logs Explorer/BigQuery/Google SecOps）して能動的に脅威を探す活動。
トキシックコンビネーション
Security Command Center の概念。単体では低リスクでも組み合わさると致命的になる設定/権限の連鎖（例：公開バケット＋過剰権限サービスアカウント）。攻撃経路を先回りで塞ぐために評価する。
YARA-L 検出ルール
Google SecOps で不審な振る舞いを検出するルール記述言語。リファレンスリスト（既知値の一覧）やエンティティ/コンテキストデータと組み合わせて精度を高める。
課金アカウントと予算
費用を支払う単位。プロジェクトをリンクして使う（1 アカウントに複数プロジェクト可）。予算とアラートはしきい値で通知するのみで自動停止はしない。
組織ポリシー（Organization Policy）
リソース階層に沿って制約を継承・強制し、組織全体に一貫したルール（例: 特定リージョン以外の作成禁止）を適用する仕組み。IAM の許可とは別。
前提: リソース階層
Cloud Storage のストレージクラス
アクセス頻度で選ぶクラス：Standard（頻繁）/Nearline（月1）/Coldline（四半期）/Archive（長期低頻度）。低頻度ほど保存は安いが取り出しは高い。
前提: Cloud Storage
Storage Transfer Service
大量・継続的なデータを Cloud Storage へ転送するマネージドサービス。少量は gcloud/bq CLI が手軽。
前提: Cloud Storage
VPC ネットワークピアリング
2 つの VPC ネットワークを直接接続して相互に通信できるようにする仕組み。
Looker Studio
手軽にレポートやダッシュボードを作成・共有できる可視化（BI）ツール。
前提: Looker
Transfer Appliance
大量データを物理デバイスに格納して輸送し、Cloud Storage へ取り込むオフライン転送サービス。ネットワーク転送が現実的でない規模に向く。
前提: Cloud Storage
App Engine
フルマネージドな Web アプリ基盤（PaaS）。サーバー管理なしにアプリを公開でき、開発に集中できる。
Cloud Functions
「ファイルがアップされたら実行」のようなイベント駆動の小さな処理を動かすサーバーレスの関数サービス。
Firestore
モバイル/Web アプリのデータ向けのスケーラブルなドキュメント型 NoSQL データベース。
GKE Enterprise（Anthos）
オンプレミスや複数のクラウドにまたがって一貫した方法でコンテナを運用・管理できるプラットフォーム。ハイブリッド/マルチクラウドを実現する。
Looker
分析結果をダッシュボードで可視化し、ビジネスでの活用を支えるビジネスインテリジェンス（BI）。
Spanner
世界規模で強い整合性と高可用性を両立する分散リレーショナルデータベース。グローバルな基幹系に適する。
Spot VM
中断され得る代わりに大幅な割引が受けられる Compute Engine の VM。中断に強いバッチ処理などのコスト最適化に用いる。
前提: Compute Engine
コネクション追跡
ステートフルなファイアウォール（例：セキュリティグループ）が確立済みの接続を状態テーブルで記憶し、その戻り通信を自動的に許可する仕組み。ステートレスなルールと違い、戻り方向のエフェメラルポートを個別に開ける必要がない。
前提: エフェメラルポート
Model Garden
Google 製・オープン・サードパーティの多様な基盤モデルを一覧から選んで使える Vertex AI のカタログ。
前提: Vertex AI
Classic VPN
単一トンネルのゲートウェイで SLA 保証のない旧世代の IPSec VPN。ルートベース（動的）とポリシーベース（静的トラフィックセレクタ指定）の 2 方式があり、後者は特定の相手先ネットワーク機器との互換性のためだけに残っている。Google は非推奨とし、新規構築では HA VPN を案内する。
前提: HA VPN
Cloud Code
VS Code や IntelliJ 等の IDE に組み込む拡張機能。Kubernetes マニフェストや Dockerfile の作成支援、ローカルからの GKE/Cloud Run へのデプロイ、リモートクラスター上でのライブデバッグをエディタ内から行える。
前提: Cloud Run
Cloud Endpoints
OpenAPI/gRPC の API を Extensible Service Proxy 経由で管理し、認証・モニタリング・割り当てを付与する API 管理サービス。
前提: gRPC
キュレート済み検出（Curated Detections）
Google SecOps が提供する、Google の脅威リサーチに基づくマネージドな検出ルールセット。クラウド脅威やアイデンティティ脅威などをすぐに検出開始できる。
Deployment Manager
Google Cloud のネイティブな Infrastructure as Code サービス（YAML/Jinja/Python テンプレート）。非推奨化され 2026-03-31 にサポート終了予定で、Terraform ベースの Infrastructure Manager などへの移行が推奨される。
Filestore
フルマネージドな NFS ファイルストレージ。Compute Engine VM や GKE から共有ファイルシステムとしてマウントし、低レイテンシの共有ストレージを提供する。
前提: Compute Engine
VPC（Virtual Private Cloud）
Google Cloud のソフトウェア定義ネットワーク。グローバルなリソースで、リージョンをまたぐサブネットを 1 つのネットワークに収容する。ルート・ファイアウォール・ピアリングで通信を制御する。
Workload Identity Federation（GCP）
AWS・Azure・オンプレミス・CI/CD（GitHub Actions 等）といった Google Cloud 外部の ID プロバイダを信頼し、その発行するトークンと引き換えに一時的な Google Cloud 認証情報を得られる仕組み。サービスアカウント鍵のダウンロード・配布を避けたい外部システム連携で使う。
Dataplane V2
eBPF ベースで実装された GKE のネットワーキングデータプレーン。Kubernetes NetworkPolicy（Pod 間の L3/L4 通信制御）をカーネルレベルで高効率に強制し、フローログによる可視化も提供する。GKE 1.20 以降の新規クラスタで既定化が進んでおり、従来の iptables ベース実装より少ないオーバーヘッドで動く。
HTTPS
HTTPをTLSの上に載せて運ぶプロトコル。通常のHTTPと違い通信内容が暗号化され、途中経路での盗聴・改ざんを防げる。ブラウザは証明書を検証してサーバーの正当性を確認し、Webサイトの標準的な通信方式になっている。
最小権限の原則
各アイデンティティ（人・アプリ・サービス）には、業務の遂行に必要な最小限の権限だけを与えるという設計原則。過剰な権限は誤操作や侵害時の被害範囲（ブラスト半径）を広げるため、IAM ロールやポリシー、権限境界を通じて継続的に絞り込む。
前提: ブラストラディウス（影響範囲）
Cloud Trace
分散システムのリクエストの経路（スパン）を追跡し、レイテンシのボトルネックを特定する分散トレースのサービス。メトリクス（Monitoring）やログ（Logging）とは別の観測軸。
Infrastructure Manager
Terraform をマネージドで実行する Google Cloud のサービス。インフラをコード化（IaC）して再現可能にし、CI/CD と PR でレビュー・監査する。
移行戦略（リフト&シフト/改善移行/リファクタ）
リフト&シフト＝そのまま移行（最速・変更最小）、改善して移行＝少し最適化、リファクタリング＝クラウドネイティブに作り替え（手間大・効果大）。要件で選ぶ。
アプリケーションデフォルト認証情報（ADC）
アプリが Google Cloud へ認証する際の標準的な資格情報の解決方法。サービスアカウントや Workload Identity Federation と組み合わせ、鍵の直書きを避ける。
Artifact Registry
コンテナイメージや言語パッケージを保存・管理するレジストリ。Cloud Build でビルドした成果物の保存先。
関連: Cloud Build
Cloud SQL Auth Proxy
公開 IP を露出させずに、IAM 認証と暗号化で Cloud SQL へ安全に接続するためのプロキシ。アプリからの DB 接続の推奨手段。
前提: Cloud SQL
gRPC
HTTP/2 上で動く低遅延・型付き（Protocol Buffers）の RPC フレームワーク。内部のサービス間通信に向く。公開 Web には REST も選ぶ。
署名付き URL
Cloud Storage のオブジェクトへ、期限付き・限定的なアクセスを公開せずに付与する URL。バケット全体を公開するのとは異なる。
前提: Cloud Storage
合成モニタ
エンドポイントやワークフローを能動的に定期チェックし、ユーザー視点で外形監視する仕組み。受動的な監視と併用して問題を先回りで検知する。
前提: Workflows
Cloud DNS ルーティングポリシーと分割ホライズン
Cloud DNS の高度な解決機能。ジオロケーション（送信元地域で応答変更）とフェイルオーバー（プライマリ障害でバックアップへ）のルーティングポリシー、公開/非公開ゾーンで同名を別解決する分割ホライズン DNS を含む。
前提: Cloud DNS
動的ルーティングモード（グローバル/リージョナル）
Cloud Router が学習した BGP 経路を伝播する範囲を決める VPC の設定。リージョナルは同一リージョンのみ、グローバルは全リージョンへ伝播する。複数リージョンへ広げるにはグローバルが必要。
前提: Cloud Router
ハイブリッド DNS（転送ゾーン/インバウンドポリシー/DNS ピアリング）
オンプレと Cloud DNS の双方向の名前解決を組む構成。転送ゾーンは Cloud からオンプレへ問い合わせ、インバウンドサーバーポリシーはオンプレから Cloud を解決、DNS ピアリングは別 VPC のゾーンを参照する。
前提: Cloud DNS
ルート優先度
同一宛先に複数のルートがあるときに、どれを採用するかを決める値。値が小さいほど優先される。ネットワークタグと組み合わせて適用先を絞れる。
Secure Web Proxy
外向き（egress）の通信を URL や SNI に基づいて許可リスト制御するプロキシ。一般インターネット外向きの Cloud NAT とは異なり、「どこへ出てよいか」をアプリケーション層で制御する。
前提: Cloud NAT
リージョナリゼーション（リソースロケーション制約）
データの保存と処理を特定の国/地域に限定するデータ所在地の要件を、組織ポリシーのリソースロケーション制約で強制する仕組み。データ主権のコンプライアンスに使う。
前提: データレジデンシーとデータ主権
エンティティグラフ
Google SecOps でユーザー/資産/関係性（エンティティとコンテキスト）を結びつけ、検出ルールに文脈を与えて精度を高める仕組み。イベントをエンティティでエンリッチして調査を速める。
リファレンスリストとリスク値
リファレンスリストは既知の悪性値や監視対象、リスク値などを保持する一覧で、検出ルールから参照する。検出ルールはこれを使ってリスクプロファイルに合う脅威を重み付け・優先する。
Google SecOps Risk Analytics
検出にリスクスコアを割り当て、資産/ユーザーの異常行動を発見してリスクプロファイルに合う脅威を優先する仕組み。エンティティリスクスコアの急上昇から異常を見つける。
サイレントソース検出と SOC メトリクス
サイレントソース検出は、想定どおりにログを送らなくなった（沈黙した）ログソースを検知し、検出の盲点を防ぐ。SOC の運用品質は MTTD（平均検知時間）等の KPI で測り、しきい値アラートと通知（Cloud Monitoring）で基盤のヘルスを監視する。
前提: Cloud Monitoring
UDM とパーサー
UDM（Unified Data Model）は Google SecOps が取り込んだログを正規化する統一スキーマで、ソースに依存しない検索/検出を可能にする。パーサーは生ログからフィールドを抽出し UDM へ正規化する（必要に応じて変更/拡張）。
ブラストラディウス（影響範囲）
障害や誤操作・侵害が及ぶ影響範囲。アカウント分離・複数リージョン/AZ・最小特権・セル分割で範囲を小さく保つ。範囲を限定する設計が回復力とセキュリティの基本。
サブネットマスク
IP アドレスのうちネットワーク部とホスト部の境界を示す値（例 255.255.255.0）。CIDR のプレフィックス長と表裏一体の表現で、オンプレのネットワーク機器や一部のクラウド設定ではこのドット区切り表記が使われる。
前提: CIDR 表記