クラウドとドメイン

Cloudflare・AWS・Google Cloud のアカウントを、読むだけの鍵でつなぎます。資源・ドメイン・DNS・動画の配信・CLI を 1 か所で見て、お金と権限の操作は案を作り、人が確認のカードで押します。費用は枠の財布とランニングコストの台帳で数えます。

この画面と細かい既定は、決めているところです。設計中

Cloudflare などのクラウドの契約は、利用者が自分のアカウントで行います。BeesBuild が代わりに買ったり、契約を仲介したりはしません。

画面

画面	すること
クラウドの概要	つないだアカウントと、資源・ドメインの数
Cloudflare	概要・資源・ドメインと DNS・配信・守り・鍵・CLI と接続・記録のタブ
資源	3 つのクラウドの資源を 1 つの表に並べる
ドメイン	全部のドメインを 1 枚に並べる
ドメインを取る・移す	取得の票と、移管の手順の札
動画の配信	短い動画の配る道
CLI	cf・wrangler・aws・gcloud の版と資格の置き場
AWS・Google Cloud	つないだ時だけ出る

つなぎ方

クラウド	つなぎ方	読む役
Cloudflare	目的ごとの API トークン。読む 1 本は期限と IP の制限つき	読むだけのトークン
AWS	IAM Identity Center か aws login（短い資格）。長く生きるアクセスキーを作らない	中身を読まない役を作る
Google Cloud	利用者のログインと、読むだけのサービスアカウントの借用。鍵のファイルを作らない	資源の情報だけを読む役

• 書くトークンは、確認のカードで押した時だけ 1Password から取り出し、その命令の間だけ渡します。
• AWS の ReadOnlyAccess も Google Cloud の roles/viewer も、データの中身まで読めます。だから使わず、中身を読まない役を作ります。
• CLI は、コアの側で動かします。AI のサンドボックスからは、資格のフォルダー（~/.aws・gcloud の設定・.wrangler）が見えないようにします。
• BeesBuild に、管理の権限を常に持たせません。直すのは、持ち主のログインです。

権限の全体の地図と、持ち出しを防ぐ守りは鍵を持たないにあります。

資源の一覧

クラウド	読む物
Cloudflare	ゾーン・DNS・Workers・R2・D1・KV・Queues・Tunnel・Access・AI Gateway・Stream・Images・Secrets Store（一覧だけ）
AWS	Resource Explorer・Organizations
Google Cloud	Cloud Asset Inventory

• 3 つのクラウドの資源を、同じ表に並べます。ハイブの札は、Cloudflare と AWS のタグ、Google Cloud のラベルで付けます。
• 作った人と最後の変更は、各クラウドの監査の記録から出します。
• R2 は、中身を読まない読み方をします。名前と量だけを分析の口で読み、読めなければ、中身を取りに行く命令をコアで止めます。
• 変わった時の知らせは、Cloudflare の知らせ（webhook）をクラウドの連絡箱の Worker で受け、コアが取りに行きます。PC に入る口は開けません。
• 共有のボードの門（会社ごとの Worker）も、資源の一覧に出ます（共有のボード）。

片付けの候補

動いていない Workers・空のバケット・消したサービスを指したままの DNS の記録・期限の無いトークンを、片付けの候補に出します。消したサービスを指したままの DNS の記録は、サブドメインを乗っ取られる元になります。消すのは、確認のカードで人が押した時だけです。

Cloudflare のページ

タブ	中身
概要	アカウント・プラン・資源とドメインの数
資源	上の資源の一覧の Cloudflare の分
ドメインと DNS	ドメインの一覧・DNS の記録・変更の案
配信	動画の配る道と、配った動画
守り	WAF の決まりの束・設定の点検・弱点の知らせに当たった物
鍵	トークンの一覧（値は出さない）・Secrets Store の使った件数
CLI と接続	CLI の版と資格の置き場
記録	監査の記録

BeesBuild の中での、Cloudflare の主な使い道です。

機能	使い道
Workers	ハイブのウェブと API・クラウドの連絡箱・動画の署名の確認・費用の見張り役
R2	バックアップ・動画・配る物
CDN・Stream・Images	短い動画とサムネイル
Registrar・DNS・SSL	ドメインの集め方と取得
Email Routing	ドメインのメールの転送
WAF・DDoS・Turnstile	本番の守り
Access・Tunnel	社内だけの公開・手元を外に出す道
AI Gateway・Secrets Store	ほかの AI の鍵の中継と、その鍵の写し（鍵と接続）

ドメイン

ドメインの一覧

全部のドメインを 1 枚に並べ、開発の時に「どこにどのドメインがあるか」が分かるようにします。

欄	中身
登録先・DNS の置き場	どこで登録し、どこで DNS を持つか
期限・自動更新・ロック・DNSSEC	守りと更新の状態
使い道	本番・ステージング・サンドボックス・守り・転送だけ
指す先・ハイブ	どの反映の先とハイブにつながるか（公開と反映）
メール・証明書	メールの有無と証明書の状態
年の費用	ランニングコストの台帳から読むだけ

集め方

• DNS は、全部 Cloudflare に集めます。
• 登録は、Cloudflare が扱える末尾のドメインを Cloudflare に移します。
• .jp と日本語のドメインは Cloudflare に移せないので、登録は今の窓口に残し、DNS だけ Cloudflare に置きます。一覧には「登録先：今の窓口・DNS：Cloudflare」と出し、期限の 60 日・30 日・7 日前に知らせます。
• ほかの登録先の画面の操作は、手順の札にして人が行います。BeesBuild は DNS・WHOIS・RDAP を読んで、進みを確かめます。画面は操作しません。

新しいドメインを取る

サンドボックスなどで新しい住所が要る時は、持っているドメインのサブドメインを作るのが既定です。無料で自動です。本番のドメインの下に作る時だけ、確認のカードを出します。

新しいドメインが要る時は、Cloudflare の Registrar の API（調べた時点では beta）で取ります。

1. 探す：候補を出します。値段は目安です。
2. 空きと値段を確かめる：登録の直前に、必ず確かめ直します。
3. 確認のカード：名前・1 年目と 2 年目からの値段・高い値段の名前か・返金できないこと・自動更新・登録の後に自動でする事・月の上限まであといくら・ブランドなら商標を確かめたか（法律の助言ではない）を出します。人は名前を打ち直し、Windows Hello で本人を確かめて押します。
4. 登録する：状態を間を置いて読みます。人の操作が要る時と失敗した時は、止めて人の番へ出します。
5. 自動で設定する：DNS の記録のひな形・証明書・独自ドメイン・自動更新・反映の先・費用の行・有料の契約の台帳・監査の記録まで、続けて入れます。

• 1 回と月の上限額を置きます。高い値段の名前は、既定で止めます。値は持ち主が決めます。
• 自動更新は、本番とブランドのドメインは入、試しのドメインは切にして、期限の 30 日前に知らせます。
• 登録には、持ち主の利用者のトークンを使います。
• AI がするのは、取得の票を作るまでです。承認の引数は受けません。
• API で扱えない末尾は、人が Cloudflare の画面で登録し、後から一覧で拾います。

ほかの登録先から移す

手順	だれ
0. 移せるかを確かめる（登録か前の移管から 60 日たった・登録者を 60 日変えていない・期限切れでない）	BeesBuild
1. 今の登録先で DNSSEC を切り、24 時間待つ	人
2. Cloudflare にゾーンを足し、今の DNS の記録（メールの MX と TXT を含む）を写して比べる	BeesBuild（確認のカード）
3. ネームサーバーを Cloudflare に変える。使えるようになるまで見る	人・BeesBuild
4. WHOIS の公開代行を使っていれば、本人の情報に変える（代行のままだと認証コードが届かないことがある）	人
5. 移管を止める鍵（レジストラロック）を外し、認証コードを頼む	人
6. 確認のカード（値段・期限が 1 年延びる・認証コードは人が貼り、画面に出さず、記録せず、AI に渡さない）を押して、移管を頼む	人が押す
7. 今の登録先からの確認のメールで、期限の中に承認する	人（人の番に期限つき）
8. 終わるまで見る（長いと 10 日ほど）。終わったら自動更新・ロック・DNSSEC を入れる	BeesBuild

登録先ごとの画面の名前は、移す時に確かめます。

短い動画の配信

形	向き
R2 ＋ 独自のドメイン ＋ CDN	60 秒以内の短い動画・LP・アプリの中。画質の自動の切り替えは無い
＋ Media Transformations	大きさ違い・切り出し・サムネイル。元の動画の大きさと長さに上限がある
Stream	長い動画・ライブ・画質の自動の切り替え

• ハイブごとにバケットを分け、独自のドメインで配ります。試しの住所（r2.dev）は回数の制限があって本番に向かないので、既定で切にします。
• 名前を中身の hash にして、長く残します。形は H.264 と AAC の MP4 で、頭に目次を置く形（faststart）です（ムービー）。
• 限られた人に見せる時は、Worker で署名を確かめます。配信の Worker の鍵は、そのバケットだけを読める権限にします。
• 限られた置き場へ上げるのは自動です。公開と取り下げ（オブジェクトとキャッシュを消す）は、確認のカードを通します。
• Enterprise でない契約で動画を CDN で配るには、決まった有料のサービスを使う決まりがあります。R2 がそれに入るかの読み方は、確かめています。確認中

CLI

道具	入れ方	資格
cf（Cloudflare の新しい CLI。調べた時点では beta）	立ち上げの時に既定で入れる。公式の npm から、版とロックの hash を固定して、BeesBuild の道具のフォルダーへ	CLOUDFLARE_API_TOKEN をその命令の間だけ渡す
wrangler	同じ	同じ
AWS CLI v2・Google Cloud CLI	つなぐ時に、公式のインストーラーで	aws login か SSO・利用者のログインと借用。資格はコアの側

• ログインの保存（wrangler login など）は、既定で使いません。CLOUDFLARE_API_TOKEN と CLOUDFLARE_ACCOUNT_ID を、その命令の間だけ環境の値で渡します。wrangler の OAuth を使う時は、鍵束に置く形にします。
• .env に Cloudflare の鍵を書きません（CLI が .env も読むため）。開発ルールに入れ、PR の点検で見ます。
• 新しい版は技術の見張りが知らせ、人が押して上げます（技術のニュースと見張り）。
• OS 全体の PATH は変えません。

Hive Bus の道具

種類	道具
読むだけ	cloud_accounts・cloud_resources・domain_list・domain_search・domain_check・domain_order_status・cli_status
票と案を作るまで	domain_order_prepare・dns_plan・media_prepare

票と案を作る道具は、承認の引数を受けません。承認は画面からだけです。AI のハーネスに Cloudflare の MCP をつなぐのは、持ち主が入れた時だけで、読む権限だけにします（つなぐ・MCP・プラグイン）。

確認のカード

次の 6 種類は、どれも確認のカードを通します。

種類	例
ドメインを買う・移す	新しいドメインの登録・移管
DNS を変える	DNS の置き場・本番の DNS
公開の範囲を広げる	バケットの公開・動画の公開・本番のドメインの下のサブドメイン
有料の機能を入れる	有料の分析・データの記録・Stream など
権限を変える	付ける・外す・一時の権限・抜ける時・組織の決まり
書く鍵を使う	書くトークンを取り出す

どのカードも、前と後・値段の単位・戻し方を出します。人は変える物の名前を打ち直し、Windows Hello で本人を確かめて押します（確認のカードと止める 3 段）。

確かめていること

次の事は、試しの週に本物のアカウントで確かめます。確認中

• 持ち主が作った読むだけのトークンで、資源・ドメインの一覧・監査の記録が読めるか
• データの中身を読む命令が、コアで止まるか
• AI のサンドボックスから、~/.aws・gcloud の設定・.wrangler が見えないか（WSL2 が C: を自動でつなぐ場合を含む）
• R2 の量だけを、分析の口で読めるか
• Registrar の API には試しの場所が無いので、登録は記録した答えで試す

データの型

型	中身
HbCloudAccount	つないだアカウント（提供元・つなぎ方・読む鍵と書く鍵の参照・状態）
HbCloudResource	資源（種類・場所・ハイブの札・公開か・作った人と最後の変更）
HbDomain	ドメイン（登録先・DNS の置き場・期限・自動更新・ロック・DNSSEC・使い道）
HbDomainOrder	取得と移管の票（候補・値段・確認のカード・状態・結果）
HbDnsPlan	DNS の変更の案と記録（前の値・戻し方・当てた人）
HbMediaRoute・HbMediaItem	動画の配る道と、配った動画
HbCliTool	CLI の版・入れた所・整合の hash・資格の置き場

次に読む

鍵と接続トークンの置き場と、写し先の一覧公開と反映反映の先とドメインのつなぎ枠の財布とランニングコストクラウドの費用と残り