Warpgate + Claude Code SSH：AIエージェントのサーバーアクセスを安全に管理する

はじめに：AIがサーバーを操作する時代

Claude CodeをはじめとするAIエージェントは、もはやコードを生成するだけの存在ではない。SSH経由でリモートサーバーに接続し、デプロイやログ調査、設定変更といった運用タスクを直接実行できるようになった。

これは生産性の面では大きな進歩だが、同時に深刻なセキュリティリスクも伴う。AIエージェントに秘密鍵を渡してサーバーに直接アクセスさせる構成は、以下のような問題をはらんでいる。

「何をしたか」が追跡できない：通常のSSHログではコマンドレベルの監査が難しい
「どこまでできるか」が曖昧：rootアクセスを渡してしまうケースがある
「誰がやったか」が不明瞭：共有鍵を使うと操作者の特定が困難
セッションの再現・レビューができない

こうした課題を解決するのが、オープンソースのアクセス管理ツール Warpgate だ。

Warpgateとは

Warpgate は、セルフホスト型のアクセス管理ゲートウェイだ。SSH・HTTPS・MySQL・PostgreSQLのプロトコルに対応し、以下の機能を提供する。

user:target@warpgate-host 形式によるシンプルなSSH接続
2FA（TOTP）およびOIDC SSOによる認証
セッション録画とコマンドレベルの監査ログ
RBAC（ロールベースアクセス制御）
Docker または単一バイナリでのデプロイ
専用クライアント不要（標準のSSHクライアントで接続可能）

特筆すべきは、専用クライアントが不要という点だ。Claude CodeのようなAIエージェントからも、通常のSSHコマンドでそのまま接続できる。

構成図

AIエージェントがWarpgate経由でサーバーにアクセスする全体像を示す。

graph LR
    A["Claude Code<br/>(AIエージェント)"] -->|SSH| B["Warpgate<br/>(ゲートウェイ)"]
    B -->|認証・認可| C["RBAC<br/>ポリシー"]
    B -->|セッション録画<br/>監査ログ| D["監査DB<br/>(SQLite/PostgreSQL)"]
    B -->|制限付きSSH| E["本番サーバー"]
    B -->|制限付きSSH| F["ステージング<br/>サーバー"]
    H["管理者"] -->|Web UI| B
    H -->|ログレビュー| D

Docker Composeでの構築

Warpgateは単一バイナリでも動作するが、Docker Composeを使えばより手軽に構築できる。

version: "3.8"
services:
  warpgate:
    image: ghcr.io/warp-tech/warpgate:latest
    container_name: warpgate
    ports:
      - "2222:2222"   # SSH
      - "8888:8888"   # Web管理UI
    volumes:
      - ./warpgate-data:/data
    restart: unless-stopped

初回起動時に docker exec -it warpgate warpgate setup を実行すると、対話形式で初期設定が行われる。管理者アカウントの作成、SSHポートの設定などが完了する。

AIエージェント専用ユーザーの作成

Warpgateの管理Web UI（https://warpgate-host:8888）から、AIエージェント専用のユーザーとターゲットを作成する。

ステップ1：ターゲットの登録

ターゲットとは、Warpgate経由で接続する先のサーバーのことだ。

# ターゲット設定例
name: staging-server
host: 192.168.1.100
port: 22
username: deploy
auth: key   # サーバー側の認証方式

ステップ2：AI用ロールの作成

RBACでAIエージェント専用のロールを作成し、権限を最小限にする。

# ロール設定例
name: ai-agent-role
targets:
  - staging-server      # ステージングのみ許可
  # - production-server  # 本番は明示的に除外

ここがポイントだ。AIエージェントには本番サーバーへのアクセスを与えず、ステージング環境のみに制限する。本番への操作が必要な場合は、人間が承認するワークフローを別途設ける。

ステップ3：AIエージェント用ユーザーの作成

# ユーザー設定例
username: claude-agent
auth: publickey        # 公開鍵認証
roles:
  - ai-agent-role      # AI用ロールのみ付与

接続方法

Claude Codeからの接続は以下の形式になる。

ssh claude-agent:staging-server@warpgate-host -p 2222

user:target@host という直感的な書式で、どのユーザーがどのターゲットに接続するかが明確になる。

RBACによる権限制御の具体例

AIエージェントのロールには、以下のような制限を設けることを推奨する。

設定項目	推奨値	理由
アクセス可能ターゲット	ステージングのみ	本番への直接アクセスを防止
接続ユーザー	一般ユーザー	root接続の禁止
セッション録画	有効	全操作の事後レビュー
同時セッション数	1	並列操作による混乱を防止

さらに、ターゲットサーバー側でも多層防御を行う。

# サーバー側：deploy ユーザーの sudo 権限を制限
# /etc/sudoers.d/deploy
deploy ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart myapp
deploy ALL=(ALL) NOPASSWD: /usr/bin/journalctl -u myapp
# 上記以外のsudoは禁止

Warpgate側のRBACとサーバー側のsudoers制限を組み合わせることで、AIエージェントが実行できる操作を厳密にコントロールできる。

監査ログの活用

Warpgateの最大の強みの一つが、充実した監査機能だ。

セッション録画

SSHセッションは全て録画され、Web UIからターミナル再生として確認できる。AIエージェントがどんなコマンドを実行し、どんな出力を受け取ったかを完全に再現可能だ。

コマンドレベルログ

各セッションで実行されたコマンドが個別にログとして記録される。これにより以下のような運用が可能になる。

異常なコマンド実行のアラート設定
定期的な操作レビュー
インシデント発生時の原因調査
AIエージェントの行動パターン分析

ログの外部連携

Warpgateの監査ログをSIEM（Security Information and Event Management）ツールに転送すれば、既存のセキュリティ監視基盤に統合できる。

# 監査ログの確認例（Web UI API経由）
curl -s https://warpgate-host:8888/api/sessions \
  -H "Authorization: Bearer $TOKEN" | jq '.[] | {id, username, target, started}'

AIに本番環境を触らせる際のベストプラクティス

AIエージェントにサーバーアクセスを許可する際の推奨プラクティスをまとめる。

1. 最小権限の原則を徹底する

AIエージェントには、タスクに必要な最小限の権限のみを付与する。「とりあえずroot」は絶対に避ける。Warpgateのロール機能で、アクセスできるサーバーと実行できる操作を制限する。

2. ステージングファーストの運用

AIエージェントが直接操作するのはステージング環境のみとし、本番への反映は人間が確認した上で行う。

AIエージェント → ステージングで検証 → 人間がレビュー → 本番に反映

3. 全セッションを録画・レビューする

Warpgateのセッション録画機能を有効にし、定期的にレビューする。特に初期導入時は全セッションを確認し、AIエージェントの行動が期待通りかを検証する。

4. 操作のホワイトリスト化

AIエージェントが実行してよいコマンドを明示的にリスト化する。sudoersの設定やシェルスクリプトのラッパーを活用して、許可されたコマンド以外を実行できないようにする。

5. 緊急遮断の仕組みを用意する

問題が発生した場合に即座にAIエージェントのアクセスを遮断できるよう、Warpgateのユーザー無効化機能をすぐに使える状態にしておく。

6. 定期的な権限棚卸し

AIエージェントに付与した権限を定期的に見直す。不要になったターゲットへのアクセス権は速やかに削除する。

まとめ

AIエージェントがSSH経由でサーバーを操作するのは、もはや実験的な試みではなく現実の運用シナリオだ。しかし、従来のSSH鍵管理だけでは、AIエージェントの操作を適切に管理・監視することは難しい。

Warpgateを導入することで、以下が実現できる。

RBACによるアクセス先とユーザーの厳密な制御
セッション録画による全操作の可視化
監査ログによる事後追跡とインシデント対応
専用クライアント不要でAIエージェントとの統合が容易

AIの力を活用しながらも、人間がコントロールを手放さない。Warpgateは、そのバランスを実現するための有力なツールだ。