アカウント、トークン、権限
この章では、誰が keelOS にログインでき、何ができるかを説明します。管理者パスワード、API トークン、Web ログイン、監査ログ、そしてオフィスのアカウント（keelAuth）での keelOS へのログインです。オフィス共通アカウントのデプロイもここで扱います（アカウント メニュー）。
1. 誰が入れるか
keelOS の Web 画面と API には、3 つの入り方があります。
| 方法 | 使う場面 | 管理する場所 |
|---|---|---|
| 管理者パスワード | Web ログイン画面のパスワードログイン | システム → トークン。§2を参照 |
| API トークン | スクリプト、監視、kRDPclient、マネージャー | システム → トークン。§3を参照 |
| keelAuth アカウント | オフィスの人が自分のアカウントで Web 画面にログイン | システム → keelAuth ログイン。§6を参照 |
どの方法で入っても、一組の権限が付き、ページにはその権限で許されたものだけが表示されます。閲覧権限がないタブは表示されません。読み取り専用アカウントは見るだけで、変更はできません。
注意：以下の システム のタブは権限に応じて表示されます。トークン、Web ログイン、keelAuth ログイン には
token:adminが、監査ログ にはlog:readが必要です。そのほかは各章を参照してください。タブが 1 つも見えない場合、ページには「このページには管理者トークンが必要です」と表示されます。
2. 管理者パスワード
管理者パスワードは、このホストの root のパスワードです。Web のパスワードログイン、ホストコンソール、ssh で使います。すでにあるログインやトークンには影響しません。
- システム → トークン を開きます。
- 管理者パスワードの設定 をクリックします（すでにパスワードがある場合は 管理者パスワードを変更。先に 現在のパスワード の入力が必要です）。
- 新しいパスワード と 新しいパスワード（確認） を入力して、保存 をクリックします。パスワードは 8 文字以上です。
注意：keelAuth の状況にかかわらず、管理者パスワードは常に使えます。keelAuth に問題があるときや、トークンを忘れたときも、これで入れます。
3. トークン
トークンはプログラム用の鍵です。スクリプト、監視、kRDPclient、keel マネージャーはトークンでホストに接続します。システム → トークン には、すべてのトークンが一覧表示されます。ID、名前、権限、作成（時刻と作成者）、最終使用（時刻と接続元アドレス）、有効期限 です。
トークンを作成する
- 新しいトークン をクリックします。
- 名前：空欄なら
token-日付-時刻になります。 - 用途：1 つ選びます。下の説明と権限がそれに応じて変わります。
| 用途 | できること |
|---|---|
| リモートデスクトップクライアント（kRDPclient、mstsc） | 仮想マシンの一覧表示、画面を開く、電源ボタン、USB デバイスの共有。 |
| マネージャー（keel manager） | トークンとホストシェル以外のすべて。マネージャー タブでホストをマネージャーに渡すときに、このトークンが自動で作成されます。 |
| 監視・スクリプト（読み取り専用） | 閲覧のみ：仮想マシン、イメージ、ホストとそのログ。 |
| 管理者（すべての権限） | すべての権限。管理者ログインと同じです。 |
| その他（権限を選ぶ） | このトークンでできることを自分でチェックします。 |
- その他 を選んだ場合は、権限 にチェックを入れます（1 つ以上）。
| 権限 | 許可される内容 |
|---|---|
vm:read |
仮想マシンの一覧表示と閲覧 |
vm:power |
電源オン、シャットダウン、リセット |
vm:console |
画面とコンソール |
vm:input |
API 経由で仮想マシン内に入力・クリック（自動化） |
vm:snapshot |
スナップショットとクローン |
vm:usb |
仮想マシンへの USB デバイスの接続 |
vm:write |
仮想マシンの作成と変更 |
vm:delete |
仮想マシンの削除 |
image:read |
イメージの閲覧 |
image:write |
イメージのアップロードと削除 |
host:read |
ホストの閲覧 |
log:read |
ホストのログと診断パッケージ |
host:write |
ホスト設定、アップグレード、再起動 |
token:admin |
トークンと Web ログイン |
- 許可するアドレス（任意、CIDR）：
192.168.1.0/24のようなネットワークを入力します（複数可）。トークンはそのアドレスからだけ有効になります。空欄なら制限しません。 - 有効期限：無期限、または
1d、7d、30d、365d。 - トークンを作成 をクリックします。
新しいトークン は、この一度しか表示されません。今すぐ コピー をクリックしてください。keel はそのハッシュしか保存しないので、紛失したら失効させて作り直すしかありません。用途に kRDPclient を選んだ場合は、kRDPclient 用の接続文字列（アドレス、証明書、トークンをまとめたもの）も表示されます。kRDPclient のホスト追加ダイアログに貼り付けるか、kRDPclient で開く をクリックしてください。これも一度しか表示されません。
一部の仮想マシンやタグだけを管理するトークンは、Web 画面ではまだ作れません。ホスト上で keel token create --vm … または --tag … コマンドを使います。コマンドライン keelを参照してください。
トークンを失効させる
トークンの行の 失効 をクリックして確認します。トークンはすぐに無効になり、そのトークンでログインした Web ログインも一緒に終了します。
4. Web ログイン
システム → Web ログイン には、現在有効な Web ログインが一覧表示されます。トークン（どのトークンまたはアカウントでログインしたか）、接続元（アドレス）、ブラウザ、ログイン、最終使用 です。今使っているものには このブラウザ と表示されます。ほかの行の 終了 をクリックすると、そのブラウザはすぐに再ログインが必要になります。
パスワードやトークンの漏えいが疑われるときは、まずトークンを失効させるかパスワードを変更し、そのあとここで不審なログインを終了してください。
5. 監査ログ
システム → 監査ログ には、誰がいつ何をしたかが記録されます。設定変更、電源操作、仮想マシンの作成・削除、トークンの作成と失効、keelAuth の回復キーの表示など、です。各行に 時刻、トークン（誰が）、接続元（アドレス）、操作、対象、結果 があり、失敗した結果は目立つ色で表示されます。log:read 権限が必要です。
- 新しいものが一番上に表示され、1 ページ 100 件です。新しい / 古い でページを移動します。
- 検索ボックス（検索（トークン、アドレス、操作、対象、結果））で文字から探せます。
- から / まで で期間を指定します。今日、過去 7 日 はワンクリックで入力されます。失敗のみ は失敗したものだけを残します。クリア はすべての条件を解除します。
- 時刻はホストに設定したタイムゾーンで表示されます。システム：メンテナンス、時刻、ホストターミナルを参照してください。
6. keelAuth アカウントで keelOS にログインする
オフィスに keelAuth がある場合（§7を参照）、オフィスの人は自分のアカウントで keelOS にログインでき、パスワードやトークンを別に配る必要はありません。
- まず アカウント メニューで keelAuth をデプロイします。keel が自動で keelAuth に登録し、ログイン画面に … でログイン が追加されます。
- システム → keelAuth ログイン を開きます。状態 に 有効：ログイン画面に … を表示 と表示されます。一時的に keelAuth でのログインを止めたい場合は オフ をクリックします（もう一度 オン で戻ります）。
- 誰が何をできるか で、keelAuth のグループが keelOS のどの権限レベルに対応するかを設定します。変更 をクリックし、グループと権限 ダイアログで グループを追加 し、グループ名を入力して権限を選び、保存 します。
| レベル | できること |
|---|---|
| 管理者（すべて） | すべて。 |
| 管理（トークン・ログイン・ホストコンソール以外すべて） | トークン、Web ログイン、ホストコンソール以外のすべて。 |
| 操作（電源・コンソール・スナップショット） | 電源操作、コンソール、スナップショット。 |
| 監視（閲覧・ログ） | 閲覧のみ。ログも含みます。 |
| 閲覧のみ | 閲覧のみ。 |
- グループがまだ keelAuth に作られていない場合、表の keelAuth 側 の列に なし と表示されます。足りないグループを作る をクリックします。
- keelAuth で、人をこれらのグループに入れます。その人たちは keelOS のログイン画面で … でログイン をクリックし、keelAuth のログイン画面で自分のアカウントを入力します。
ポイント：
- 複数のグループに入っている人は、最も高い権限になります。どのグループにも入っていない人はログインできません。
- 権限は 15 分以内に keelAuth に追従します。グループから外す、アカウントを無効にする、削除すると、ログインが終了します。
- keelAuth のログイン画面は keelOS 自身のアドレスで開くので、そのための DNS レコードや証明書の追加は不要です。
- keelAuth が応答しない場合、ログイン画面に管理者パスワードでログインするよう表示されます。
- keelAuth が複数ある場合は どの keelAuth で 1 台選びます。keelAuth 内の keel のクライアント の行に登録状態が表示されます。未登録 と表示されているときは 再登録 をクリックします。
注意：keelAuth でログインした人がログアウトするとき、keelOS はログアウトを keelOS だけにする（keel からログアウト）か、keelAuth からもログアウトする（keelAuth からもログアウト）かを尋ねます。共用のコンピューターでは後者を選んでください。
7. アカウントメニュー：keelAuth
左メニューの アカウント は keelAuth です。オフィスのアカウントサーバーで、このホスト上の仮想マシンとして動きます。ユーザーとグループは 1 か所で管理します。機器やプログラムは LDAP、Web アプリはシングルサインオン（OIDC）、Wi-Fi と VPN は RADIUS 経由でこれらのアカウントを使います。keelNAS もそのユーザーを使います。
デプロイ
keelAuth がない場合、ページには「このホストには keelAuth がありません」と表示されます。
- keelAuth のソフトウェアパッケージが必要です。ホストにない場合、ボタンは マーケットで keelAuth を入手 になります。マーケットでインストールしてから戻ってきます。
- keelAuth をデプロイ をクリックし、次の内容を入力します。
- 名前。
- keelAuth のバージョン。
- ネットワークとネットワーク上のアドレス：固定アドレス（推奨：機器にこのアドレスを設定します）（続けて アドレスとプレフィックス（例：
192.168.1.30/24）、ゲートウェイ、DNS サーバー を入力）、または DHCP（ルーターでアドレスを予約してください）。機器には keelAuth のアドレスを設定するので、固定にしておくべきです。固定アドレスの場合、ブラウザやアプリは IP で直接アクセスするため DNS は不要ですが、passkey は使えません。DHCP の場合はドメイン名が解決できる必要があります。 - 名前（DNS）：keelAuth がこの名前で応答し、証明書にもこの名前が使われます。オフィスの DNS に登録してください。あとから変更するのは簡単ではありません。 - メモリ（空欄なら既定の 0.5 GiB）。 - デプロイして起動 をクリックします。keel が最初の管理者を作成し、keelAuth の最初の管理者 が表示されます。ユーザー名、パスワード、ページ が一覧表示されます。パスワードはこの一度しか表示されないので、控えてから 控えました をクリックしてください。
仮想マシンは通常 1 分以内に起動し、ページに keelAuth を起動しています と表示されます。準備ができると自動で表示が切り替わります。
日常の使い方
keelAuth が起動すると、アカウント ページには keelAuth 自身の管理ページが表示されます。ユーザーの追加・削除・無効化、グループの設定、LDAP 機器、シングルサインオンのアプリ、RADIUS クライアント（Wi-Fi のアクセスポイント、VPN）の登録、オフィス独自の証明書のアップロードができます。keelOS は入るときにすでにログイン済みなので、パスワードを再入力する必要はありません。オフィスから keelAuth 自身のページを直接開くときだけ、最初の管理者のアカウントが必要です。大きなウィンドウで使いたい場合は 新しいウィンドウで開く をクリックします。
keelAuth が複数ある場合は、まず一覧が表示されます。1 台をクリックして入り、すべての keelAuth で戻ります。
ページのヘッダーには次のものもあります（ホストの書き込み権限が必要）。
- 回復キー：keelAuth は、Wi-Fi や共有に使うパスワードのハッシュを、このホストだけが開ける鍵で暗号化しています。別のホストで（またはこのホストを再インストールした後に）keelAuth のバックアップを復元するには、この回復キーが必要です。回復キーを表示（監査ログに記録されます）をクリックし、コピー または ダウンロード して、バックアップとは別の場所で保管してください。両方を入手した人はパスワードのハッシュを読み取れます。
- 名前の変更、削除。削除 は仮想マシンとすべてのディスクごと削除され、すべてのアカウントもなくなり、元に戻せません。
- keelAuth が応答しないとき、ページは原因に応じて表示します。keelAuth は停止しています（keelAuth を起動）、keelAuth は一時停止中です（keelAuth を再開）、仮想マシンが削除された、または keelAuth が応答しません（再試行、または 仮想マシン で状態を確認）。この keelAuth を解除 は、このページが管理対象から外すだけで、仮想マシンとアカウントは残ります。
keelAuth のアップグレード
新しいバージョンがあると、カードに アップグレード可能 と表示され、ヘッダーに アップグレード… ボタンが出ます。keel は keelAuth をシャットダウンし、システムディスクを新しいバージョンのものに入れ替えて起動します。アカウント、グループ、パスワード、証明書、アドレスはデータディスクにあり、変わりません。ログイン（LDAP、RADIUS、シングルサインオン）は 1 分ほど使えません。新しいバージョンが正常に起動しない場合、keel が自動で元のバージョンに戻し、理由を表示します。
古いバージョンは 7 日間残ります。ロールバック で戻せます（アップグレード後に変更したユーザー、グループ、パスワードは失われます）。このバージョンを使い続ける をクリックすると古いバージョンを削除します。
8. 1.0 の制限
- トークンは権限と接続元ネットワークでしか制限できません。一部の仮想マシンだけを管理するトークンはコマンドラインを使います。
- keelOS 自身のユーザー一覧はありません。複数人で使う場合は、keelAuth のグループを使うか、1 人 1 トークンにします。