リモートアクセス管理

「リモートアクセス管理」では、SSH ログイン認証情報とリモート接続を一元管理します。フリートの従来の「リモート接続管理」から名称が変更され、デバイス階層にも操作箇所が設けられています。

操作箇所と権限

ページ	内容
フリート → リモートアクセス管理 → 接続管理	アクティブな接続の確認と、権限に応じた切断
フリート → リモートアクセス管理 → 鍵管理	フリートで共有する SSH 認証情報の保存
デバイス → リモートアクセス管理	デバイス専用 SSH 認証情報の保存、継承項目の確認、ホスト ID の確認。鍵管理のみ
デバイス概要 → リモートデスクトップ	保存済み認証情報の選択、またはパスワードによる接続開始。アップロード機能はありません

Master / Admin は認証情報とホスト ID を管理します。認証情報はデフォルトで「管理者のみ」が利用でき、管理者が明示的に「リモート接続権限を持つメンバー」（Developer を含む）へ利用を許可できます。Observer はメタデータの閲覧のみが可能で、接続や変更はできません。

認証情報の利用権限と管理権限は別です。使用できても、秘密鍵を閲覧・ダウンロードできるわけではありません。いずれのロールにも、秘密鍵の閲覧やエクスポート機能はありません。接続操作には、実際の利用者が記録されます。

初回設定

1. デバイス管理者が、対象システムアカウントのユーザー公開鍵、または発行 CA の公開鍵と許可するプリンシパルを設定します。
2. フリートまたはデバイスの鍵管理で「SSH 認証情報を追加」をクリックし、名前、デバイスのシステムアカウント、認証方式を入力します。
3. ユーザー秘密鍵をアップロードします。証明書方式では外部で発行されたユーザー証明書もアップロードし、暗号化された秘密鍵の場合はパスフレーズも指定します。CA 秘密鍵はアップロードしないでください。
4. 利用を許可するメンバーを選択し、必要に応じてデフォルトに設定して保存します。
5. デバイスページでホスト公開鍵を登録し、信頼できる方法でフィンガープリントを照合して確認します。
6. 接続するユーザーが「リモートデスクトップ」でアカウント、認証方式、保存済み認証情報を選び、接続を検証します。

保存時にはアルゴリズムを自動認識し、証明書の署名と有効期間、およびユーザー秘密鍵との一致を検証します。認証情報と利用権限の保存がプラットフォームの接続許可となるため、独立した公開鍵や CA の認可設定を別途作成する必要はありません。デバイス側の公開鍵、CA／プリンシパル、認証制限は、引き続きユーザーが管理します。

デバイスはクラウドから鍵を取得したり、バージョンや適用状態を報告したりする必要はありません。プラットフォームはデバイスのファイルを編集しません。保存の成功はクラウド側の設定が保存されたことを示すもので、実際のログインはデバイスの SSH サービスが検証します。

Windows PowerShell / Linux での鍵生成、CA による発行、デバイスへの認可設定、クラウドへのアップロード、接続検証の全手順は、SSH 鍵と証明書による認証を参照してください。通常の鍵ログインには CA は不要です。OpenSSH ユーザー証明書ログインには、ユーザー証明書と対応する秘密鍵が必要です。CA 秘密鍵は常に発行元が保管します。

デバイス優先、フリート継承、デフォルト項目

継承は、対象システムアカウントと認証方式ごとに判断されます。

• デバイス設定がある場合は、対応するデバイス認証情報のみを使用します。フリートの項目は上書き済みとして表示されます。
• 対応するデバイス設定がない場合は、フリートの項目を使用します。継承スイッチの設定は不要です。
• デバイスの項目が期限切れ、無効、失効、または現在のユーザーに利用権限がない場合でも、フリートへの自動フォールバックやパスワードへの切り替えは行いません。
• 同じ階層に複数の項目を保存し、デフォルトを設定できます。デフォルト指定であっても、利用可能性と権限の確認は省略されません。

継承項目は読み取り専用で、編集はフリート階層で行います。無効化や失効後もデバイスの上書き設定は維持されます。対応する最後のデバイス設定を削除するとフリートの継承が再開する可能性があります。確認ダイアログに影響が表示されるので、事前に確認してください。

認証情報の適用範囲は JelinaCloud 経由のアクセスのみを制限します。デバイス側でもフリートやアカウントごとに分離する場合は、異なる公開鍵、CA、証明書プリンシパル規則を設定してください。

更新、無効化、失効、削除

操作	動作
編集	名前、利用可能なメンバー、デフォルト指定を変更。秘密鍵とパスフレーズは再表示しません
鍵／証明書の更新	新しいユーザー秘密鍵、任意のユーザー証明書、必要なパスフレーズをアップロード。元のアカウント、範囲、認証方式は維持します
無効化／有効化	無効化は解除可能。無効化後は新しい接続を作成できず、既存接続も再検証して終了します
認証情報の失効	この保存項目は再有効化できず、暗号化済み秘密鍵を削除します。別に保存した項目やデバイスの信頼設定には影響しません
削除	暗号文を削除し、監査用メタデータは保持します。デバイスの項目を削除するとフリート継承が再開する場合があります

JelinaCloud は、ユーザー証明書の自動発行や更新を行いません。期限前に自組織の CA 管理者へ新しい証明書を申請し、管理ページで更新して検証してください。画面の有効期限を変更して証明書の期限を延長することはできません。

プラットフォームの操作は JelinaCloud 経由の接続のみを制限し、デバイスの authorized_keys、CA、ローカル KRL を自動で削除・変更しません。直接の SSH 接続も停止する場合は、デバイス管理者が失効処理と旧認可設定の削除を行ってください。

デバイスのホスト ID の確認

鍵と証明書のどちらで接続する場合も、デバイスのホスト ID を確認する必要があります。これはユーザー証明書や発行 CA とは別の対象です。

1. デバイス本体または信頼できる経路から cat /etc/ssh/ssh_host_*_key.pub を実行し、現在のホスト公開鍵を取得します。
2. デバイスの「リモートアクセス管理」で「デバイスのホスト ID」を展開し、「ホスト公開鍵を登録」をクリックして、1 回につき 1 行を貼り付けます。
3. デバイスで ssh-keygen -lf <対応するホスト公開鍵ファイル> -E sha256 を実行し、画面の完全なフィンガープリントと照合します。
4. 一致を確認して「照合して確認」をクリックします。複数のアルゴリズムがある場合は、それぞれ登録して確認します。

受け付けるのはホスト公開鍵のみです。ユーザー公開鍵、ユーザー証明書、CA 公開鍵、秘密鍵は使用できません。Ed25519、ECDSA nistp256／384／521、RSA 2048～8192 ビットに対応します。アルゴリズムは自動認識され、バックエンドがデバイスとの実際のネゴシエーションに応じて確認済み公開鍵を選択します。guacd の変更や、接続ユーザーによるアルゴリズム選択は不要です。

デバイスを再インストールしたりホスト ID が変わったりした場合は、信頼できる方法で再確認が必要です。Online 状態になっただけで新しい公開鍵が自動的に信頼されることはありません。

接続設定と利用枠

管理ページでは、ログイン認証情報とデバイスのホスト ID のみを管理します。独立した公開鍵・CA の認可、個人証明書、フリート／デバイスポリシーの編集は提供しません。どのアカウントがどの公開鍵や CA プリンシパルでログインできるかは、デバイス管理者が設定します。

デフォルトの接続ポートと全体で許可する認証方式は、プラットフォーム管理者が一元管理します。接続ページには現在許可されている方式が表示されます。デバイスへの直接の SSH パスワード認証などを制限する場合は、デバイスの SSH 設定を変更してください。

接続数、個人・デバイスごとの上限、アイドル時間、最大接続時間は、引き続きプラットフォームの組織利用枠とサーバー容量の両方に制約されます。テナントには有効な値が読み取り専用で表示され、独自に拡大することはできません。

リアルタイム接続と操作記録

接続管理には現在アクティブな接続が表示され、権限に応じて切断できます。リアルタイムセッションはサービスのメモリーに保存され、永続的なセッション履歴は提供しません。操作記録は既存の操作ログを使用します。サービス再起動やセッション状態の回収後は、以前の接続を復元できないため、再接続してください。

秘密鍵の保護とデバイスの移管

ユーザー秘密鍵と必要なパスフレーズは暗号化して保存します。メタデータ一覧に表示されるのは、名前、システムアカウント、範囲、アルゴリズム、有効期間、権限、状態のみです。CA 秘密鍵はユーザー自身の発行元が保管し、プラットフォームへアップロードしません。プラットフォームは、秘密鍵をブラウザーのローカルキャッシュに保存して再ログインを実現する方式を使用しません。

デバイスが新しいフリートや組織へ移動すると、以前のデバイス専用認証情報と認可は使用できなくなり、古い認証情報の暗号文は削除されます。元に戻しても自動復元されません。現在の範囲に合わせて認証情報を再設定し、ホスト ID を確認してください。デバイス上の古い信頼設定は、引き続きデバイス管理者が管理します。