CC逆引きリファレンス

サンドボックスのネットワーク制限

13. セキュリティリスク回避

コマンド / 機能

allowlist 方式でホストを制限

概要

サンドボックスのネットワーク分離はデフォルトで全ての外部通信を遮断し、許可されたホストのみアクセス可能にします。

設定例

# ネットワーク制限の仕組み
# - デフォルトで全てのネットワークアクセスを拒否(allowlist)
# - プロキシサーバー経由でのみインターネットにアクセス
# - 未許可のホストにアクセスすると確認プロンプト表示
# - 許可すると以降は自動でアクセス可能

# 例: npm install 実行時
# → registry.npmjs.org へのアクセス許可を求められる
# → 許可すると npm コマンドが動作

# カスタムプロキシ設定(上級者向け)
{
  "sandbox": {
    "enabled": true,
    "network": {
      "httpProxyPort": 8080,
      "socksProxyPort": 8081,
      "allowUnixSockets": ["/var/run/docker.sock"],
      "allowLocalBinding": true
    }
  }
}

こんな時に使う

  • 外部への通信を制限したい時
  • データ流出を防ぎたい時
  • 信頼できるホストのみ許可したい時

使い方

  1. 1サンドボックスを有効にすると自動的にネットワーク制限が適用
  2. 2CLI ツール使用時に必要なホストへのアクセス許可を求められる
  3. 3一度許可したホストは以降自動でアクセス可能
  4. 4カスタムプロキシで詳細な制御も可能

Tips

  • github.com のような広範なドメインを許可するとデータ流出リスクあり
  • ドメインフロンティングによるバイパスの可能性に注意
  • allowUnixSockets で Docker ソケットを許可するとサンドボックスをバイパス可能
  • 機密性の高い環境では許可ホストを最小限に