3つの構成要素が経路をつくります

1. 1

   ログイン

   ユーザーが会社のアカウントでデスクトップエージェントにログインします。Management は、接続可能なサービスの一覧と署名付きの本人証明を渡します。

2. 2

   接続の開始

   ユーザーが DB ツールに実際の DB アドレスと DB アカウントを入力して接続します。エージェントは、登録されたサービスへの接続のみをインターセプトします。

3. 3

   トンネル

   エージェントが担当ゲートウェイへの相互 TLS（mTLS）トンネルを開き、先頭に本人証明と本来の接続先を付けて送ります。

4. 4

   接続の判定

   この人がこのサービスにこの DB アカウントで接続してよいかを、接続元と時間帯まで含めてゲートウェイが判定します。許可されない場合は、DB に到達する前に切断します。

5. 5

   ログインの中継

   ゲートウェイが DB に接続し、ログインの手順をそのまま中継します。パスワードが正しいかどうかは DB が判断します。

6. 6

   SQL 制御

   SQL 文を実行するたびに、禁止された種類の文でないかを確認します。

7. 7

   結果のマスキング

   DB が返した結果から機密性の高い値をマスキングしたうえで、ユーザーに渡します。

8. 8

   監査記録

   セッション、SQL 文、判定結果、行数を、ユーザー名とともに監査ストアに記録します。

接続が続いている間も、ゲートウェイは定期的に判定し直します。許可された時間を過ぎたり、ポリシーが変更されたりすると、開いているセッションを切断します。

ゲートウェイクラスターgateway cluster

同じサービスを共同で担当するゲートウェイノードのまとまりです。ネットワークごとにクラスターを構成し、サービスごとに担当クラスターを決めます。

インターセプトinterception

デスクトップエージェントが、登録されたサービスへの接続を PC 内で捕捉し、ゲートウェイに送ることです。ユーザーは接続アドレスを変更しません。

エージェントレスagentless

エージェントを使わず、発行された接続アドレスでゲートウェイに直接接続する経路です。協力会社の PC、BI ツール、バッチサーバーが使用します。

本人証明assertion

Management がログインしたユーザーに署名して発行する、有効期間の短い証明です。ゲートウェイは署名を確認して人物を特定します。

認証の中継authentication relay

ゲートウェイが DB へのログインを代行せず、クライアントと DB の間でそのまま中継することです。パスワードは DB が確認します。

代理ログインcredential injection

ゲートウェイが、保管したパスワードや SSH 鍵、または接続ごとに作成した証明書で、対象サーバーに代わりにログインすることです。ユーザーはサーバーのパスワードを知る必要がありません。

TLS 終端TLS termination

暗号化された接続をゲートウェイが復号して内容を確認し、再び暗号化して DB に送ることです。

リネージ（列の由来）lineage

クエリ結果の各列が、どの元のカラムに由来するのかを算出したものです。エイリアスや関数の背後に隠れた機密フィールドを見つける根拠になります。

値パターンvalue pattern

国民識別番号やカード番号のように、形式が決まっている値を検出するルールです。DB の結果と AI へのリクエストの両方に使用します。

仮想キーvirtual key

BeeHind がユーザーやアプリケーションに発行するキーです。ゲートウェイがリクエストを送信する際に、企業の実際のキー（組織キー）に置き換えます。

fail-closed

判断できないときに、許可せず拒否する方式です。「分からなければブロックする」という原則の別名です。