JA
導入のご相談

Server Gateway

サーバーで誰が何をしたかを、人の名前で記録します

ゲートウェイが SSH をクライアント側とサーバー側でそれぞれ終端し、誰が、どのサーバーに、どのアカウントでログインするのかを判定します。実行したコマンドとやり取りしたファイルを制御し、セッションの画面を録画します。ユーザーは普段どおり ssh と sftp を使用します。

  • SSH
  • SFTP
  • TCP ポート準備中

Server Gateway とは

Server Gateway は、人がサーバーに SSH で接続する経路で動作する、サーバーアクセス制御のゲートウェイです。踏み台サーバー（ジャンプサーバー）が担っていた役割を引き受けながら、接続した人とその人が行った操作をあわせて記録します。

BeeHind は SSH を両側で終端します。ユーザーの SSH 接続をゲートウェイが受け、対象サーバーにはゲートウェイが別に接続します。そのため、暗号化された SSH の中のコマンド、ファイル転送、ポートフォワーディングを読み取って判定します。対象サーバーにはプログラムをインストールしません。

DAC、AI Gateway と同じユーザー一覧、同じポリシー画面、同じ監査ストアを使用します。

ログイン

サーバーアカウントごとにログイン方式を選択します

代理ログインを使用すれば、ユーザーはサーバーのパスワードや SSH 鍵を知る必要がありません。ログインを受け入れるかどうかは、常に対象サーバーが判断します。

方式ユーザーが行うことゲートウェイが行うこと対象サーバーで必要な作業
ユーザー入力サーバーアカウントのパスワードを入力します入力された内容を対象サーバーにそのまま渡し、保管しませんなし
保管したパスワードなし保管したパスワードで代理ログインしますなし
保管した SSH 鍵なし保管した SSH 鍵で代理ログインしますアカウントごとに公開鍵を authorized_keys に追加します
証明書なし接続ごとに有効期間の短い証明書を作成し、代理ログインしますサーバーごとに1回、クラスターのユーザー CA を信頼するように設定します

サーバーへの経路は、デスクトップエージェントのトンネルです。サーバー接続用のポートを別に開ける必要はなく、ユーザーは実際のサーバーアドレスとサーバーアカウントで ssh を実行します。

ブロックしたコマンドとファイル転送は、その場で理由を表示します

コマンドテンプレートが許可していないコマンドはサーバーに渡さず、接続は切断せずに理由だけを表示します。以下の理由の文面は、製品が実際に送信するものです。

ssh deploy@web-01.internal
deploy@web-01:~$ tail -n 1 /var/log/app/error.log2026-11-09 10:42:17 WARN payment timeout (order 1024)deploy@web-01:~$ rm -rf /var/www/releases[BeeHind] コマンドテンプレート「本番参照」: 許可されていないコマンドです（rm -rf /var/www/releases）sftp> put customers.csvUploading customers.csv to /home/deploy/customers.csv[BeeHind] コマンドテンプレート「本番参照」: 許可されていないファイル機能です（アップロード）remote open("/home/deploy/customers.csv"): Permission denied

セッション録画中 · コマンドとファイル転送は kim.dev@corp の名前で記録されます

制御

接続からコマンド、ファイルまで判定します

ポリシーは管理コンソールで、ユーザーとグループ単位で設定します。ルールのない接続は拒否します。

  • アクセスルール

    ユーザーまたはグループ、サーバー、サーバーアカウントの組み合わせごとに、接続を許可または拒否します。接続できる IP 範囲と時間帯も設定します。

  • コマンドの制御

    コマンドテンプレートで、ブロックするコマンドや許可するコマンドを定義します。ssh サーバー コマンド で実行するコマンドと、対話型シェルに入力したコマンドの両方を判定します。

  • 承認を得て使用するコマンド

    サービスの再起動や sudo のように作業時にだけ必要なコマンドは普段はブロックし、コマンド権限の承認を得ている間だけ実行できるようにします。

  • ファイルの制御

    SFTP を読み取り、アップロード、ダウンロード、ファイル変更のうち許可した機能だけを通します。scp と rsync も同じルールで判定し、転送したファイルごとに監査ログに記録します。

  • ポートフォワーディング

    ssh -L、ssh -D で開くフォワーディングを、ユーザーごとに許可した宛先（ホストとポート）にのみ通します。既定では無効で、逆方向のフォワーディング（ssh -R）は拒否します。

  • セッション録画

    セッションの画面を録画し、管理コンソールで再生します。ユーザーが入力した文字は保存しないため、パスワードが録画に残ることはありません。

  • セッション管理

    開いているセッションを強制終了します。アクセスルールを取り消すと開いているセッションも切断されます。アイドル時間と最大セッション時間も設定できます。

  • ホスト鍵の確認

    対象サーバーのホスト鍵を登録時に確定し、接続のたびに照合します。エージェントが PC にクラスターのホスト CA を登録するため、ユーザーがフィンガープリントの確認を求められることはありません。

対応範囲

2026年10月時点

接続経路
デスクトップエージェント（macOS、Windows）のトンネル
確認済みのツール
OpenSSH の ssh、sftp、scp、rsync
ログイン方式
ユーザー入力、保管したパスワード、保管した SSH 鍵、証明書
ファイル転送
SFTP（バージョン 3）、scp、rsync
監査
接続、コマンド、ファイル転送、ポートフォワーディング、セッション録画
録画ストア
S3 互換ストレージ
TCP ポート（準備中）
SSH を経由しないサーバーのポート（例: Web 管理画面、Redis、RDP）をユーザーごとに許可し、接続の記録を残す機能を準備しています。接続の内容は解析しません。

既知の制約

  • 対話型シェルに入力したコマンドは、画面に表示された行を読み取って判定します。ssh サーバー コマンド で実行するコマンドとは異なり、推定に基づく判定です。
  • ブロック方式のコマンドテンプレートだけでは、シェルを経由したファイルの出し入れを防げません。
  • フォワーディングした接続の内容は確認しません。その接続で DB に接続すると SQL が監査ログに残らないため、DB は DAC のサービスとして登録してください。
  • 画面に表示されたシークレットは、録画にそのまま残ります。
  • エージェントを使わない接続、Web ターミナル、RDP、Telnet、FTP には、まだ対応していません。

お客様の環境で BeeHind をお確かめください

保護したい DB、サーバー、AI サービスとネットワーク構成をお知らせいただければ、環境に合った構成と導入の進め方をご案内します。サーバー1台から始められます。

導入を相談するよくある質問