UIの概要

データビュー

左側のサイドナビゲーションにはメインビューがあります。「VM」ビューはホームビューです。接続されているすべてのVMの階層が、スパークラインの形で選択された情報とともに表示されます。

「VM」ビューから、選択したグループまたはVMのVMごとのデータビューに移動できます。これらは、テレメトリビュー、トランザクションのコールツリーとホットスポット、MBeanブラウザーなど、選択した対象で利用可能なすべての記録データへのアクセスを提供します。行の矢印型のビューセレクターコンテキストメニューを使用してこれらのビューを開きます。スパークラインをクリックすると、完全なテレメトリビューに移動します。

受信トレイビューには、送信されたすべてのメッセージが表示されます。例えば、特定のVMでJProfilerスナップショットを記録すると、スナップショットのダウンロード準備ができたときに受信トレイに通知が送信されます。未読メッセージがある場合、サイドナビゲーションの受信トレイエントリに通知バッジが表示されます。

サーバーログもサイドナビゲーションから利用でき、UIを離れることなくサーバー、接続、監査、イベントログを調査できます。それぞれに異なるスコープと異なる必要なアクセスレベルがあります。

• イベントログ(ビューアーアクセス)は、アプリケーションの監視フィードです。トリガーが発火するか診断スナップショットがキャプチャされるたびにエントリが書き込まれます。これは、明示的な「ログファイルエントリを書き込む」アクションを持つトリガーに加えて行われます。これらのいずれかが発生するまで空のままです。
• 接続ログ(プロファイラーアクセス)は、エージェントの接続性とデータ収集アクティビティを記録します。
• 監査ログ(管理者アクセス)は、セキュリティに関連するAPIアクセス、アーティファクトのダウンロード、認証の失敗と認可の拒否を記録するため、APIクライアントやAIエージェントが何をしたかを再構成できます。各エントリは、呼び出し元、クライアントアドレス、結果を含む単一行のJSONオブジェクトです。状態を変更する呼び出しは、変更した内容も記録します。MBean属性の書き込みはオブジェクト名、属性、変更前の値、新しい値を記録し、オペレーション呼び出しはシグネチャ、引数、戻り値を記録し、設定編集はグループと変更前後のコンテンツハッシュを記録します。望ましくないアクティビティが見つかった場合は、一般設定の「ユーザーとロール」ビューの「APIキーを失効」行アクションで、問題のあるユーザーのAPIキーを失効させることができます。
• サーバーログ(管理者アクセス)には、一般的なサーバー診断が含まれます。

-Dlogging.config=… VMオプションなしで開発ビルドからjvmguardを実行する場合、サーバーはコンソールにのみログを出力しファイルには出力しないため、アクセス権があってもこれらのビューが空になることがあります。

設定

ヘッダーの歯車ドロップダウンから、一般設定と記録設定の2つの部分にアクセスできます。一般設定を表示および編集するには、管理者である必要があります。記録設定は「プロファイラー」でも編集できますが、「ビューアー」アクセスレベルでは編集できません。

何も変更しない限り、ヘッダーの「キャンセル」ボタンで設定ビューをそのまま離れることができます。変更を加えた場合、「保存」ボタンが有効になります。保存するまで、設定への変更は何も有効になりません。

一般設定

一般設定では、jvmguardサーバーを管理します。これには次が含まれます。

• ユーザーとそのアクセスレベル
• シングルサインオンプロバイダー
• データ統合オプション
• SMTPアクセス
• AIエージェントとRESTクライアントのネットワークアクセス

さらに、サーバー設定全体をエクスポートおよびインポートできます。

ネットワーク

「ネットワーク」タブには、MCPサーバー経由のAIエージェントやRESTクライアントが実行できることに対するサーバー全体の制限があります。すべての設定はデフォルトで許可的です。

• MCP アクセスには読み取り専用モードスイッチがあり、MCP経由のすべての変更操作とキャプチャツールをブロックし、読み取りアクセスのみを残します。個々のキャプチャと変更操作に対するVMグループごとの制限は、記録設定で利用できます(下記のエージェントガードレールを参照)。サーバー設定(application.yaml)でMCPサーバーが無効になっている場合、読み取り専用モードは効果がなく、無効として表示されます。
• 許可する IP アドレスは、MCPサーバーおよびREST APIとの通信を許可するIPv4/IPv6アドレスまたはCIDR範囲の許可リストです。両方を保護するため、どちらかが有効である限りアクティブであり、両方がオフの場合にのみ無効になります。

ガードレールがリクエストをブロックすると、理由がクライアントに返され、エージェントは操作を調整できます。また、拒否は監査ログに書き込まれます。

記録とトリガー

記録設定とトリガーは、VMグループごとに設定されます。デフォルトでは、「すべてのJVM」が設定対象として選択されています。VM選択ダイアログでは、どのVMグループが独自の設定を持っているかを直接確認できます。

設定には、記録設定としきい値およびトリガー設定が含まれます。記録設定は、接続されている各VMの監視エージェントに送信されます。ネストされたVMグループに継承され、ネストされたVMグループは親グループの設定を上書きできます。

一方、しきい値とトリガーはjvmguardサーバーで処理され、定義されたVMグループに対して処理されます。それらは、そのVMグループに再帰的に含まれるすべてのVMで動作します。ネストされたVMグループのみで動作する追加のしきい値やトリガーが必要な場合は、そのグループで定義できます。

エージェントガードレール

「エージェントガードレール」タブは、VMグループごとに、AIエージェントまたはRESTクライアントがそのグループのVMで実行できる診断キャプチャと変更操作を設定します。VMグループを所有する「プロファイラー」アクセスレベルのユーザーは、管理者アクセスなしでこれらを管理できます。

• 診断キャプチャは、ヒープダンプ、JProfilerスナップショット、JFR記録を個別に拒否し、記録時間に上限を設定し、同じVMでのキャプチャ間の最小間隔を設定します。「ヒープダンプとJFR記録をデフォルトでマスクし、エージェントによる記録は常にマスクする」を使用すると、グループ向けにキャプチャされたスナップショットは、サーバーに到着したときに機密データが除去されます。ヒープダンプ内のすべての文字列内容とプリミティブ値はゼロ化され(ヒープ構造とオブジェクトサイズは分析のために保持されます)、JFR記録はスクラブされます。JDK 27以降では、システムプロパティ、環境変数、JVMコマンドライン引数はすでにプロセス内でマスクされており(JEP 536)、これらのイベントは[REDACTED]プレースホルダーで保持されます。プロセス内のマスクはフィルターベースであり、JVMのデフォルトフィルターに一致しないキーは表示されたままになることに注意してください。監視対象JVMで-XX:FlightRecorderOptionsを使用してフィルターを広げることができます。古いJDKでは、秘密を日常的に含むイベントタイプ(システムプロパティ、環境変数、プロセスコマンドライン)は削除されます。対話式のユーザーは単一のキャプチャでデフォルトを上書きできますが、ガードレールが有効な間、MCPサーバー経由のエージェント記録でマスクをオフにすることはできません。
• 変更操作は、MBeanオペレーションの呼び出しやVMグループの記録設定の編集など、アーティファクトを生成せずに実行中のVMを変更するアクションを拒否します。

他の記録設定と同様に、グループは「このグループのエージェントガードレールを上書き」を選択するまで親のガードレールを継承し、サーバー全体の読み取り専用モードが引き続きすべてを上書きします。ガードレールがリクエストをブロックすると、エージェントに理由が通知され、拒否は監査ログに書き込まれます。

ユーザー設定

ヘッダーのユーザードロップダウンには、アカウントと現在のセッションに関する選択された情報が表示され、jvmguardセッションを終了する「ログアウト」ボタンが含まれています。

名前やパスワードなどのユーザー設定は、「アカウント設定」リンクから調整できます。サーバーで二要素認証が有効になっている場合、同じ「ユーザー情報」ページで認証アプリをセットアップまたは再設定します。アクセスレベルが「プロファイラー」の場合、ここで変更が許可されているVMグループを確認できます。

ダークモードとライトモード

デフォルトでは、jvmguardはシステム設定に従ってテーマを選択します。別のテーマを好む場合は、ヘッダーのテーマスイッチャーを使用します。この設定は現在のブラウザーで永続的です。