コンテンツにスキップ
AegisMesh ドキュメント

セットアップキーの発行と管理（ゼロダウンタイム自動ローテーション）

セットアップキー（Setup Key） は、ユーザーの手動Webログイン（ブラウザSSO認証）を介さずに、新しい端末やサーバーを AegisMesh ネットワークへ安全かつ自動的に登録するための事前共有トークンです。

社給 PC の一括キッティングや、PC 起動時に Active Directory / DNS と通信する「第1階層: マシントンネル」の認証基盤として利用されます。

最新の AegisMesh では、「マシントンネル専用キーのゼロダウンタイム自動ローテーション（Zero-Downtime Auto-Rotation）」 を標準搭載しており、管理者が手動で再キッティングすることなく、数年間にわたり無停止で安全な運用を継続できます。

1. セットアップキーの種別と使い分け

キー種別有効期限と回数主な利用シーン・推奨用途運用のポイント
Reusable（再利用可能） ★推奨設定した有効期間内であれば、指定した台数（または無制限）で共有可能・社給PCの一括キッティングスクリプト
・マシントンネル（Tier 1）初期登録
・クラウドVM / サーバーの自動デプロイ		キッティング期間（例: 30日）を設けて発行。登録後は自動ローテーションで保護。
One-Off（1回限り有効）1台の端末が登録された瞬間に自動失効・新入社員や中途入社者への個別PC引き渡し
・業務委託・外部パートナー端末の一時的な接続		キーが漏洩した場合でも2台目以降の登録を物理的に遮断可能。

2. ★ マシントンネルのゼロダウンタイム自動ローテーション (Auto-Rotation)

従来の一括登録キーでは「キーの有効期限（Expires In）が切れると、端末証明書の失効や再登録時に通信が切断され、情シスが1台ずつ再キッティングしなければならない」という運用課題がありました。

AegisMesh は、クライアントデーモンと管理サーバー間のバックグラウンド暗号通信により、ゼロダウンタイム自動ローテーション を実現しています。

flowchart TD
    subgraph Setup["初回キッティング (情シス)"]
        K1["セットアップキー (有効期限30日)<br>例: AEGIS-7F89-4D2A..."] -->|展開スクリプト等で登録| PC["社給PC (AegisMesh デーモン)"]
    end

    subgraph Operation["日常運用 (バックグラウンド自動処理)"]
        PC <-->|暗号化相互TLS / WireGuard| Mgmt["AegisMesh 管理サーバー"]
        Mgmt -- "期限接近を検知 (80%経過)" --> Rot["シークレット自動ローテーション指令"]
        Rot -->|新しい事前認証トークンを安全発行| PC
        PC -->|新シークレットをOS暗号化ストアにセーブ| KeyStore["ローカル保護領域 (DPAPI / Keychain)"]
    end

    subgraph Benefit["運用メリット"]
        B1["✅ 手動再キッティング工数が完全ゼロ"]
        B2["✅ 社員が自宅にいても無停止で更新"]
        B3["✅ キー漏洩時も古いキーは期限切れで無効化"]
    end

自動ローテーションの動作仕様

  1. 暗号化ストレージへの保管: 初回キッティング時に登録されたシークレットは、Windows DPAPI または macOS Keychain の管理者保護領域に安全に暗号化保存されます。
  2. バックグラウンド更新: 有効期間の満了が近づくと、管理サーバーとクライアントデーモンが安全な既存トンネル内でハンドシェイクを行い、新しい事前認証トークンへ自動切り替えを行います。
  3. 無停止通信: WireGuard のデータパケット転送は一切途切れることなく、ゼロダウンタイムで鍵更新が完了します。

3. 【手順 1】セットアップキー一覧画面を開く

  1. 管理コンソール（https://app.aegismesh.kusa-cloud.com）に TenantAdmin または SuperAdmin でログインします。
  2. 左サイドバーメニューから 「Setup Keys」 を選択します。
  3. 現在発行されているキー一覧が表示されます。画面右上の 「+ Add Key」 ボタンをクリックします。

4. 【手順 2】新規キーの設定情報を入力する

モーダルが開いたら、以下の各項目を設定します。

入力項目一覧表（設定マトリクス）

項目名設定例 / 選択肢必須マシントンネル推奨設定と説明
Key Name（キー名称）全社PC-マシントンネル用-2026Q4必須発行目的や対象グループが後から判別しやすい具体的な名称を入力します。
Key Type（利用種別）One-Off / ● Reusable必須複数台の社給 PC に一括配布する場合は Reusable を選択します。
Expires In（有効期間）30 Days / 90 Days必須初回キッティングを受け付ける有効期限。登録完了後は自動ローテーションにより継続維持されます。
Usage Limit（最大台数）100任意キッティング予定の端末台数を入力します（空欄で無制限）。
Auto-assigned Groupscorporate-machines必須[最重要] マシントンネル時に許可する専用グループ（AD/DNS認証のみ許可）を指定します。※All はマシントンネル時に自動マスクされます。

5. 【手順 3】キー文字列のコピーとキッティング

キーの発行が完了すると、専用のトークン文字列が表示されます。

[!WARNING] キー文字列（例: AEGIS-7F89-4D2A-9C3E-8B1F54E2019A）は、セキュリティ保護（不可逆ハッシュ化）のため画面を閉じると二度と再表示されません。必ずこの場でコピーし、社内パスワードマネージャーや展開用スクリプトに設定してください。

キッティングコマンド例

Windows (Intune / バッチファイル一括導入)

Terminal window
# インストーラーをサイレント実行し、セットアップキーを渡して即時マシントンネル確立
Start-Process -FilePath "aegismesh_installer.exe" -ArgumentList "/S", "/SETUP_KEY=AEGIS-7F89-4D2A-9C3E-8B1F54E2019A", "/ALLOWED_DOMAINS=kusa-cloud.com" -Wait

macOS (Jamf / シェルスクリプト導入)

Terminal window
# macOS CLI によるマシントンネル自動起動
sudo aegismesh up \
  --management-url https://app.aegismesh.kusa-cloud.com \
  --setup-key AEGIS-7F89-4D2A-9C3E-8B1F54E2019A

6. トラブルシューティング（FAQ）

Q1. セットアップキーの期限が切れたら、既存の端末は切断されますか？

  • いいえ、切断されません: すでに登録が完了している端末は、管理サーバーとの間で固有の WireGuard 暗号鍵および自動ローテーションセッションを確立しているため、キーの有効期限が切れても継続して通信できます。期限切れの影響を受けるのは「新規端末の追加登録」のみです。

Q2. 紛失した端末の接続を即座に止めたい場合はどうすればよいですか？

  • 対応: 管理画面の 「Peers」 画面から該当端末を選択し、「Delete」 または 「Block」 をクリックしてください。数秒以内に全リレーノードおよびピアから該当端末の WireGuard 公開鍵が削除され、通信が物理的に遮断されます。