クライアント保護ポリシー (Client Policy)

AegisMesh の クライアント保護ポリシー（Client Policy） は、企業支給の Windows / macOS / Linux 端末において、従業員が勝手に VPN を切断したり、セキュリティ設定を解除して社内ネットワークから離脱する「セキュリティ回避・裏抜け行為」を防止するためのエンタープライズ端末統制機能です。

管理コンソール（https://app.aegismesh.kusa-cloud.com）の 「設定 > クライアント保護」タブ からポリシーを有効化するだけで、組織内の全クライアント端末へリアルタイムに保護設定が一括配信（gRPC 同期）されます。

クライアント保護の全体アーキテクチャ

AegisMesh は、クラウドからの「動的ポリシー配信」と、OS管理者権限（SYSTEM / root / GPO）による「静的耐改ざん保護」を組み合わせた多層防御アーキテクチャを採用しています。

sequenceDiagram
    autonumber
    participant Admin as システム管理者 (情シス)
    participant Cloud as AegisMesh 管理サーバー
    participant Daemon as クライアントデーモン (SYSTEM/root)
    participant UI as デスクトップGUI / CLI (一般社員)

    Admin->>Cloud: 「設定 > クライアント保護」でガードレール有効化 & パスワード保存
    Cloud->>Daemon: gRPC 双方向ストリーム経由で ClientPolicy をリアルタイム配信
    Daemon->>Daemon: 設定スタックをロック & bcrypt ハッシュをメモリ保持
    Daemon->>UI: GUI に保護バッジ（🛡️ 盾マーク）を点灯表示
    Note over UI: 切断トグルスイッチや設定項目が即時グレーアウト (操作不可)

    alt 一般社員による切断試行
        UI->>Daemon: 切断または設定変更 RPC 呼び出し
        Daemon-->>UI: ❌ 操作拒絶 (PermissionDenied: Enterprise Policy Locked)
    else 管理者による一時アンロック
        Admin->>UI: ヘッダーの「鍵マーク」をクリックして管理者パスワード入力
        UI->>Daemon: UnlockClientPolicy RPC (期限付きトークン発行)
        Daemon-->>UI: ✅ 一時ロック解除 (15分 / 1時間 / 次回起動まで)
    end

12大エンタープライズ保護ガードレール

管理コンソールの 「設定 > クライアント保護」タブ から、以下の12項目の個別トグルスイッチを柔軟に組み合わせて運用できます。

設定項目	ガードレール内容	セキュリティ・統制目的
切断操作の禁止 (`lock_disconnect`)	トレイGUIの切断トグルスイッチを無効化	社員によるVPNオフや社内監視回避を根本遮断
Exit Node 変更禁止 (`lock_exit_node`)	イグジットノードの選択・解除をロック	社内UTM経由の強制インターネット集約を維持
内蔵SSH設定の禁止 (`lock_ssh_server`)	クライアント側SSHサーバーの有効化を禁止	未承認のリモートログイン待受ポート開放を防止
アカウント切替の禁止 (`lock_account_switch`)	ログアウトおよび別組織への切替を禁止	端末のキッティング状態維持・私用アカウント混入防止
DNS設定変更の禁止 (`lock_dns`)	スプリットDNS・ネームサーバー設定の改変をロック	社内DNSによる不正サイト検閲の回避を阻止
クライアントルート変更禁止 (`lock_client_routes`)	端末からのサブルート共有の停止を禁止	拠点間ルーター・ゲートウェイ端末のルート維持
サーバールート受取拒否の禁止 (`lock_server_routes`)	管理サーバーから配布されたルートの無効化を禁止	社内イントラネット通信網からの離脱を防止
IPv6通信設定の禁止 (`lock_ipv6`)	IPv6有効/無効の切り替えをロック	IPv6抜けによるセキュリティホールの発生を防止
インバウンド遮断の禁止 (`lock_block_inbound`)	着信通信の許可/拒否設定をロック	ファイアウォールポリシーの統一
ローカルLANアクセスの禁止 (`lock_block_lan`)	LAN内通信の許可/遮断設定をロック	ゼロトラスト端末のローカルネットワーク隔離を維持
耐量子暗号設定の禁止 (`lock_rosenpass`)	Rosenpass（耐量子鍵交換）の無効化を禁止	暗号強度の均一化
詳細設定画面のロック (`lock_advanced_view`)	デバッグ・詳細設定タブの改変をロック	一般社員による不用意なネットワークスタック変更を抑止

管理者一時ロック解除 (Admin Password Unlock)

「障害調査やPCキッティングのため、現場端末で一時的にVPNを切断したい」「特定の設定を変更して疎通確認を行いたい」という情シス担当者の実務ニーズに応えるため、端末上でポリシーを一時解除できる 「管理者アンロック機能」 を搭載しています。

1. 管理者パスワードの設定（管理コンソール）

管理コンソールの 「設定 > クライアント保護」タブ で、6文字以上の管理者パスワード（Admin Password）を設定します。

パスワードは bcrypt により安全にハッシュ化され、クライアントデーモン側へ安全に配信されます（管理サーバー側にも平文は一切保存されません）。

2. 現場端末での一時ロック解除フロー

現場端末のクライアント UI（デスクトップアプリ）のヘッダーにある 「管理者ロック解除（鍵マーク）」 をクリックします：

sequenceDiagram
    autonumber
    participant Admin as 保守担当者 / 情シス
    participant UI as AegisMesh GUI
    participant Daemon as クライアントデーモン (SYSTEM/root)

    Admin->>UI: ヘッダーの「鍵マーク」をクリック
    UI-->>Admin: アンロックモーダル表示 (解除時間選択 + パスワード入力)
    Admin->>UI: パスワード入力 ＆ 有効時間選択 (15分 / 1時間 / 次回再起動まで)
    UI->>Daemon: UnlockClientPolicy RPC 呼び出し
    Note over Daemon: bcrypt ハッシュ検証 & ブルートフォース判定
    alt パスワード一致
        Daemon-->>UI: アンロック成功 (期限付きトークン発行)
        UI-->>Admin: 制限一時解除 (切断トグルや設定変更が利用可能に)
        Note over Daemon: 指定時間経過後、自動的に再ロック (Fail-Safe)
    else 誤ったパスワード
        Daemon-->>UI: 認証エラー (残り試行回数を表示)
        Note over Daemon: 5回連続失敗で 5分間ロックアウト発動
    end

3. 解除時間プリセット（自動再ロック設計）

作業完了後の再ロック忘れを防ぐため、解除時間は以下の3種類から選択できます：

15分間: 一時的な疎通確認やネットワーク切り替え作業に最適
1時間: アプリケーション導入や詳細なトラブルシューティングに最適
次回端末再起動まで: 大規模なキッティングやOSアップデート作業に最適

4. ブルートフォース（総当たり）攻撃防止

悪意あるユーザーや一般社員によるパスワード推測を防ぐため、クライアントデーモン層にレート制限が組み込まれています：

5回連続 で誤ったパスワードを入力した場合、5分間の一時ロックアウト が発動し、一切のアンロック試行を受け付けなくなります。

OSネイティブ管理者保護との二重防護 (MDM / GPO / インストーラー連携)

クラウドからの動的ポリシー配信に加え、端末キッティング時やOSグループポリシーによって、さらに強固な保護境界を確立できます。

1. Windows インストーラーによる事前ポリシー適用

Windows 版インストーラー（aegismesh_windows_amd64_installer.exe）では、個別インストールウィザード画面およびサイレント配布引数に対応しています。

:: 企業ポリシー（SSO許可ドメイン制限）を強制適用してサイレントインストール
aegismesh_windows_amd64_installer.exe /S /ALLOWED_DOMAINS="company.com,sales.company.com"

レジストリ保護: 設定値は Windows の管理者保護領域（HKLM\Software\Policies\AegisMesh）に保存されるため、一般ユーザーが勝手に書き換えることはできません。
個人利用との共存: 引数を指定しない場合、またはウィザードで空欄のまま進めた場合は、ドメイン制限は完全にOFF（任意のアカウントでログイン可能）となり、アンインストール時にはレジストリも自動消去されます。

2. MDM / GPO によるポリシー配信キー一覧

ポリシー項目	Windows レジストリキー (`HKLM\SOFTWARE\Policies\AegisMesh`)	macOS 構成プロファイル (`io.aegismesh.client`)	型 / 設定値	説明
CLI ロック	`LockAdminControls`	`LockAdminControls`	DWORD (1) / Boolean (`true`)	切断やログアウトなど社員による勝手な設定解除を遮断
SSO 許可ドメイン制限	`allowedSSODomains`	`allowedSSODomains`	文字列 (REG_SZ) / Array	指定ドメイン以外（私用アカウント等）のログインを遮断

# Windows PowerShell / Intune スクリプトでの設定例
New-Item -Path "HKLM:\SOFTWARE\Policies\AegisMesh" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\AegisMesh" -Name "LockAdminControls" -Value 1 -Type DWord
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\AegisMesh" -Name "allowedSSODomains" -Value "company.com,sales.company.com" -Type String