コンセプト

接続の封じ込め

操作者はブラウザから接続しますが、平文の資格情報はブラウザを通りません。 資格情報はサーバー側に暗号化保存され、接続時にバックエンドのメモリ内で復号されて プロトコルのハンドシェイクに注入されます。操作者にとっては管理すべき秘密がひとつ減り、 監査側にとっては、Custodexa 経由のすべての接続が必ず同じゲートを通り、 製品内に監査を迂回する第二の経路はありません。ゲートウェイを対象ホストへの 唯一の経路にするには、デプロイ側のネットワーク分離（対象ポートへのアクセスを ゲートウェイ元に限定する）が引き続き必要です。

このレッドラインは全プロトコル共通です——SSH、RDP、VNC、データベース CLI、 Kubernetes exec のいずれも同じ。データベース接続はバックエンドが管理するローカル CLI サブプロセスで行われ、本物の資格情報はサブプロセスに渡りません。グラフィック プロトコルはバックエンドがハンドシェイクを終えてから純転送に切り替わります。

監査証跡チェーン

接続が進む間、システムは複数の層で証跡を残します。しかもその証跡は、 改ざんされていないことを自ら示せます：

• セッション録画：グラフィックもテキストも全セッションを録画。倍速再生と タイムスタンプへのディープリンクに対応。録画失敗は決して沈黙しません——検知・ 表示・警告が揃い、「録画できなければ接続させない」設定も可能です。
• コマンド監査：ターミナル出力を仮想スクリーンで再構成し、実際に実行された コマンドを復元して完全に保存します。
• 完全性保護：監査レコードは行単位で HMAC 封緘。定期チェックポイントは Ed25519 署名で連鎖し、syslog でオフホストに固定されるため、「途中の区間の抜き取り」 「まとめて削除してなかったことにする」が検出可能なイベントになります。
• 監査自身の失効警告：監査機構そのものが壊れたときも声を上げます——DB 書き込み 失敗、syslog 切断、録画失敗、チェーン検証異常はそれぞれ機械コードつきで警告されます。

チェックポイント検証ページ——区間ごとのチェーン完全性を提示し、オフホストバックアップ未設定時の防護ギャップも正直に表示します。

評価時に考慮すべき二つの誠実な境界：コマンドテキストは索引であり、録画こそが 事実の源——出力ストリームから再構成したテキストは一部のプログラム形態で誤り得るため、 争いは録画で裁定します。エコーのないキー入力は監査されません——エージェントレスの 監査が記録するのは「ターミナルに現れたもの」であり、カーネルレベルの事実には ホスト側エージェントが必要です。それは 1.0 の形態ではありません。

ポリシーガバナンス

身元が証明されたら、ポリシーが接続の可否とできることを決めます：

• 三段階のアクセスポリシー：資産ごとに、直接接続・理由の記入・承認必須を設定。 申請には重複排除と期限切れがあり、自己承認は固く遮断されます。
• セッション中の制御：ルールに一致した危険コマンドはその場で遮断。クリップボードと ファイル転送には全域ポリシーキーがあり、拒否された操作自体も監査されます。
• 資格情報ローテーション：アカウント単位のスケジュール実行（SSH 域、パスワードと SSH 鍵）。新しい秘密はコマンドライン引数ではなく SSH セッション経由で投入され、 失敗時は自動バックオフと警告。
• 事後レビュー：定期的なアクセスレビュー、警告トリアージ、日次サインオフ。 サインオフは不変です。

許可も拒否も、その理由と承認者とともに、すべて監査記録の一部になります。