サンドボックスのネットワーク制限
13. セキュリティリスク回避コマンド / 機能
allowlist 方式でホストを制限概要
サンドボックスのネットワーク分離はデフォルトで全ての外部通信を遮断し、許可されたホストのみアクセス可能にします。
設定例
# ネットワーク制限の仕組み
# - デフォルトで全てのネットワークアクセスを拒否(allowlist)
# - プロキシサーバー経由でのみインターネットにアクセス
# - 未許可のホストにアクセスすると確認プロンプト表示
# - 許可すると以降は自動でアクセス可能
# 例: npm install 実行時
# → registry.npmjs.org へのアクセス許可を求められる
# → 許可すると npm コマンドが動作
# カスタムプロキシ設定(上級者向け)
{
"sandbox": {
"enabled": true,
"network": {
"httpProxyPort": 8080,
"socksProxyPort": 8081,
"allowUnixSockets": ["/var/run/docker.sock"],
"allowLocalBinding": true
}
}
}こんな時に使う
- 外部への通信を制限したい時
- データ流出を防ぎたい時
- 信頼できるホストのみ許可したい時
使い方
- 1サンドボックスを有効にすると自動的にネットワーク制限が適用
- 2CLI ツール使用時に必要なホストへのアクセス許可を求められる
- 3一度許可したホストは以降自動でアクセス可能
- 4カスタムプロキシで詳細な制御も可能
Tips
- github.com のような広範なドメインを許可するとデータ流出リスクあり
- ドメインフロンティングによるバイパスの可能性に注意
- allowUnixSockets で Docker ソケットを許可するとサンドボックスをバイパス可能
- 機密性の高い環境では許可ホストを最小限に