FAQ

対象ホストにエージェントのインストールは必要ですか？

不要です。Custodexa はエージェントレスのゲートウェイ形態で、対象ホストには何もインストールせず、すべての制御は接続が通るゲートウェイで行われます。正直に言うべき境界がひとつ——コマンド監査はターミナル出力からの再構成であり、記録されるのは「ターミナルに現れたもの」です。カーネルレベルの事実にはエージェントが必要で、それは 1.0 の形態ではありません。補償は全セッション録画です：争いは録画で裁定します。

コンプライアンス基準との対照はありますか？

あります。アクセス制御とセキュリティポリシーのページには PCI DSS 推奨値との対照が組み込まれています（PCI DSS のサブセットであり、全要件ではありません）：ポリシー段階に対応要件番号を表示し、乖離をページ上で要約し、推奨値はワンクリックで適用できます。各ポリシーキーは調整可能なまま—— コンプライアンスは全か無かのスイッチではなく、自社基準を設定すれば、システムが基準との差を正直に表示します。

対応プロトコルは？

SSH（ネイティブターミナル）、RDP と VNC（グラフィック）、MySQL / PostgreSQL / Redis / MSSQL（データベース Web CLI）、Kubernetes exec、SSH 資産の SFTP ファイル管理。

既存の ID 基盤と連携できますか？

できます。LDAP / AD ディレクトリ認証と OIDC シングルサインオン（Azure AD・Okta・ Google を一つの統合でカバー、複数プロバイダー並存可）に対応し、管理者が UI で設定を管理します。ローカルアカウントと外部 ID は併存でき、TOTP 二要素認証はポリシーで登録を強制できます。

録画と監査データはどこに保存されますか？

デプロイ時に DATA_PATH で指定した単一ディレクトリ配下です（監査記録・録画・データベースが同じルートを共有）。バックアップ範囲はそのディレクトリと環境設定ファイルに収れんします。期限切れデータはチェックポイント区間単位でバッチ削除され、削除自体も監査されます。

監査記録が改ざんされていないことはどう証明しますか？

三層です：監査レコードは行単位で HMAC 封緘。定期チェックポイントは Ed25519 署名で連鎖し syslog でオフホストに固定。エクスポートされた証跡バンドルはバンドル署名とファイルごとの SHA-256 を持ち、オフラインで検証できます。UI には区間ごとのチェーン状態を示す専用のチェックポイント検証ページがあります。前提はオフホストの syslog コレクターです——運用を参照してください。

Windows アカウントのローテーションは対応していますか？

まだです。スケジュールローテーションは SSH 域（パスワードと SSH 鍵）をカバーし、 Windows / AD は後続リリースのロードマップ項目です。現状、ローテーション計画内の非 SSH 資産は明示的にスキップと記録されます。

UI の対応言語は？

繁体字中国語・英語・日本語の全量対応で、言語設定はアカウントごとに保存されます。

高可用（マルチレプリカ）構成にできますか？

まだです。現行設計はバックエンド単一インスタンスが前提で、マルチレプリカは未スケジュールのロードマップ項目です。

ライセンスは？

Custodexa は AGPL-3.0 のオープンソースです。メインリポジトリの LICENSE ファイルが正となります。

本番投入できますか？

Custodexa は活発に開発中です。本番利用の前に、テスト環境で十分に検証してください。