--- title: セキュリティモデル url: https://platform.claude.com/docs/ja/managed-agents/self-hosted-sandboxes-security description: セルフホスト型サンドボックス環境における責任共有モデル。 featureMetadata: topic: title: Managed Agents url: https://platform.claude.com/docs/en/managed-agents/overview status: beta betaHeader: managed-agents-2026-04-01 --- Anthropicは、すべての環境にわたってコントロールプレーンを保護します。これには、セッションおよびワークキューの整合性、マルチテナント分離、エージェントコンテキストの最小化が含まれます。セルフホストする場合、以下の責任はお客様が負うことになります。 ## お客様の責任範囲 * **サンドボックスイメージの品質とランタイムのハードニング。** Anthropicはお客様のサンドボックスイメージを検査または検証しません。不要なLinuxケーパビリティの削除、非rootユーザーとしての実行、読み取り専用ルートファイルシステムの使用などのベストプラクティスに従ってください。 * **ネットワークのエグレス制御。** サンドボックスのネットワークアクセスは、お客様のVPCおよびファイアウォールルールによって決まります。エグレス制限がない場合、侵害されたツール実行が任意の外部ホストに到達できてしまいます。アウトバウンドトラフィックは、ツールが必要とするエンドポイントのみに制限してください。 * **サービスキーの保管とローテーション。** 環境サービスキー（`ANTHROPIC_ENVIRONMENT_KEY`）は、環境のワークキューのポーリングと、セッションへの結果の送信を認可します。環境ファイルやサンドボックスイメージではなく、シークレットマネージャーに保管してください。漏洩が疑われる場合は直ちにローテーションしてください。 * **信頼できないワークロードの分離。** 環境サービスキーのスコープは、1つの環境のワークキューに限定されています。サンドボックス内で信頼できないコードを実行する場合は、信頼境界ごとに個別のワークスペースと環境をプロビジョニングすることを検討してください。これにより、各キーは共有プールではなく単一ユーザーのセッションに限定されます。 * **セッションごとの認証情報。** ワーカーが取得する各ワークアイテムには、セッションごとの`secret` (csharp, go: `Secret`)が含まれる場合があり、ワーカーは環境サービスキーの代わりにこれを使用します。[メモリストア](https://platform.claude.com/docs/ja/managed-agents/memory)へのアクセスには`secret` (csharp, go: `Secret`)が必要です。メモリストアのエンドポイントは環境キーを拒否します（[ワークアイテムのシークレットを転送する](https://platform.claude.com/docs/ja/managed-agents/self-hosted-sandboxes-workers#forward-the-work-items-secret)を参照してください）。`secret` (csharp, go: `Secret`)は、そのセッションを処理するサンドボックスにのみ渡し、イメージや共有ボリュームには含めず、決してログに記録しないでください。 * **ツール実行の影響範囲。** ツールは、お客様のプロセスが持つ権限でサンドボックス内で実行されます。プロセスユーザーには最小権限を適用し、ツールが必要とするディレクトリのみをマウントしてください。 * **ログの保持とセッションコンテンツ。** 会話コンテンツとツール出力はお客様のワーカーを通過し、お客様の環境内に留まります。お客様自身のポリシーに準拠してそのデータを保持、マスキング、または削除する責任はお客様にあります。Anthropicは、配信後にお客様のワーカーがセッションコンテンツをどのように扱うかについて一切把握できません。 * **メモリストアの内容。** [メモリストア](https://platform.claude.com/docs/ja/managed-agents/memory)は、そのバージョン履歴を含め、引き続きAnthropicによってホストされます。セッションがメモリストアをアタッチすると、ワーカーはセッションの期間中、サンドボックス内の `/mnt/memory/` 配下に作業コピーを保持し、変更を同期して書き戻します。ワーカーはセッション終了時にそのコピーを削除しますが、ティアダウンを実行せずに終了したワーカーはコピーを残したままにします。残されたコピーのクリーンアップ、そのパスの権限、およびファイルシステムを共有するセッション間の分離はお客様の責任です。 * **読み取り専用のメモリストア。** `read_only`アクセスでアタッチされたストアは、アップロードからは保護されますが、ローカルでの変更からは保護されません。ワーカーの`write`ツールと`edit`ツールはそのディレクトリ配下への書き込みを拒否し、そこにあるものは何も同期されず、メモリストアのエンドポイントはセッションの`secret` (csharp, go: `Secret`)を使用したそのストアへの書き込みを拒否します。ただし、サンドボックス内の他のプロセスは引き続きローカルコピーを変更できます。これには、エージェントが`bash`ツールを通じて実行するコマンドや、サンドボックスから提供する[カスタムツール](https://platform.claude.com/docs/ja/managed-agents/self-hosted-sandboxes-custom-tools)またはMCPサーバーが含まれ、これらはワーカーの権限で実行されます。そのセッション内の後続のツール呼び出しは、ストア内でそのメモリが次に変更されるまで、変更されたコピーを読み取ります。エージェントがそのようなストアのローカルビューさえも変更できないようにする必要がある場合は、そのエージェントの`bash`ツールを無効にし、サンドボックスのファイルシステムに書き込むカスタムツールを与えないでください。 ## Anthropicがお客様に代わって行えないこと * **キーの漏洩を知ること。** Anthropicは異常な使用パターンを検出できますが、お客様のキーが侵害されたことを知ることはできません。`ANTHROPIC_ENVIRONMENT_KEY` の漏洩が疑われる場合は、直ちに失効させて代替キーを生成してください。失効はすべてのリクエストで検証されるため、ワーカーの次回の呼び出し時に有効になります。 * **ワーカービルドの検証。** Anthropicはお客様のサンドボックスイメージやランタイムを検査しません。イメージ内のサプライチェーン侵害は、コントロールプレーンからは検出できません。 * **サンドボックス内でのツールの分離。** Anthropicのセキュリティ境界はサンドボックスまでです。その境界内で個々のツール実行を互いにどのように分離するかは、完全にお客様の責任です。 * **お客様の環境におけるデータ保持の強制。** セッションコンテンツがお客様のワーカーに到達した時点で、それはAnthropicのデータライフサイクル管理の対象外となります。