SSH 鍵の保管庫

保管庫は、あなたが自分の SSH 鍵で接続するサーバーのために、その鍵を保管します。鍵はデバイスの外に出る前にそのデバイスで暗号化され、保管庫を開けるのはあなたのデバイスだけです。開き方は、それぞれのデバイスのロック解除と同じです。tTerm が保管するのは暗号化された鍵と、各鍵の公開鍵部分とフィンガープリントだけで、保管庫を開くことも、鍵を読むこともできません。保管庫は 設定 → SSH 鍵 にあります。

サーバーがあなたの鍵で開く仕組み

Mac 版 tTerm から 自分の鍵 でサーバーを移すか、ssh のあとに表示されるバーで 鍵を保存 を押すと、そのサーバーはあなたの鍵で開くようになります。詳しくはクラウドへ移行をご覧ください。そのサーバーでターミナルを開くと、tTerm は保管庫を開いているあなたのデバイス（ブラウザーまたは Mac 版 tTerm）に、ログインへの署名を依頼します。デバイスがその鍵で署名するのは SSH のログインだけで、鍵がデバイスの外に出ることはありません。tTerm は署名を使う前に、鍵の公開鍵部分と照合します。

保管庫を作る

ブラウザーの場合

設定 → SSH 鍵 で ファイルから鍵を追加 を押し、秘密鍵（.pub の付いていないファイル）を選びます。鍵にパスフレーズがある場合は、入力して 鍵を開く を押します。パスフレーズはこのブラウザーの中で鍵を開くのに使われ、どこにも送られません。鍵に名前を付けて 次へ を押します。

鍵を保管庫に保存 で、Mac なら Touch ID で保管庫を作成、Windows なら Windows Hello で保管庫を作成、それ以外なら パスキーで保管庫を作成 を押します。保管庫のパスキーを保存できないブラウザーでは、保管庫を作成 と表示されます。そのブラウザーでは、保管庫はセッションごとに、リカバリーコードか Mac の承認で開きます。

Mac 版 tTerm の場合

保管庫は、初めて鍵を保存したときに作られます。「クラウドへ移行」で保存したときか、ssh のあとに表示されるバーの 鍵を保存 で保存したときです。鍵を保管庫に保存 で Touch ID で保管庫を作成 を押し、Touch ID か Mac のパスワードで確定します。

リカバリーコード

続いて tTerm がリカバリーコードを表示します。4 文字ずつ 6 組に分かれた、24 文字の英数字です。表示されるのは一度だけです。コピー するか ファイルとして保存 して、保管庫を開けるデバイスとは別の安全な場所に保管してください。万一それらのデバイスをすべて失った場合、鍵を取り戻す方法はこのコードだけです。tTerm が代わりに鍵を復元することはできません。保管したことにチェックを入れると、完了 を押せるようになります。

別のブラウザーで開く

まだ保管庫を開いたことのないブラウザーでは、このブラウザーで鍵を開く というウィンドウで保管庫を開きます。このウィンドウは、設定 → SSH 鍵 で 開く を押したときや、あなたの鍵で開くサーバーを開いたときに表示されます。

• Mac 版 tTerm で承認する。 Mac 版 tTerm で保管庫を開ける場合は、ウィンドウにその Mac が表示されます。ここで保管庫を開けるよう依頼 を押します。Mac には、どのブラウザーが依頼しているか、いつ、どのアドレスからサインインしたかを示すウィンドウが表示されます。両方の画面に同じ 6 桁の数字が表示されるので、一致する場合だけ Touch ID で許可 を押してください。心当たりがない を押すとそのブラウザーのサインインは無効になり、ほかに確認すべきことは 設定 → デバイス に表示されます。依頼は 5 分で期限が切れます。
• リカバリーコードを使う。 コードを リカバリーコード に入力して、開く を押します。

パスキーを保存できるブラウザーでは、続いて tTerm が、パスキーを保存するかどうかを尋ねます。保存すると、次回からこのコンピューターのロック解除と同じ方法で保管庫を開けます。Touch ID で保存（または Windows Hello、パスキー）を選ぶか、自分のものではないコンピューターなら 今回のみ を選びます。

ブラウザーで作った保管庫は、Mac 版 tTerm では一度だけリカバリーコードで開きます。設定 → SSH 鍵 の リカバリーコードで開く を使います。以降は、Touch ID か Mac のパスワードで開けます。

再びロックされるとき

• ブラウザーの場合 – 8 時間何も操作しなかったとき、tTerm Web を閉じるか再読み込みしたとき、サインアウトしたとき、設定 → SSH 鍵 で ロック を押したときです。
• Mac 版 tTerm の場合 – tTerm が動いているあいだは、ロック を押すかサインアウトするまで開いたままです。サインアウトすると、Mac は保管庫を開くための設定も忘れます。もう一度サインインしたあと、一度だけリカバリーコードで保管庫を開きます。

設定 → SSH 鍵

ページの上部には、保管庫がここで開いているかどうか、どの方法で開いたか、いつ再びロックされるかが表示されます。鍵ごとに 1 行あり、名前、種類、短いフィンガープリント、開けるサーバー（まだなければ この鍵で開くサーバーはまだありません）、Mac から保存した日またはファイルから追加した日、最後に使った日時（まだなら 未使用）が並びます。

• 削除 を押すと、確認のあと鍵が保管庫から取り除かれ、tTerm は暗号化されたコピーを削除します。その鍵で開いていたサーバーは tTerm に残りますが、開けなくなります。鍵そのものは元の場所（Mac 上、またはそのファイル）に残ります。
• 新しいリカバリーコードを作成 は新しいコードを一度だけ表示し、それまでのコードは使えなくなります。鍵とデバイスはそのままです。作成には Touch ID かこのブラウザーのパスキーが必要で、保管庫のパスキーがないブラウザーでは現在のコードを求められます。なくしてしまった場合は、Mac 版 tTerm で新しいコードを作成してください。
• ファイルから鍵を追加 はブラウザーにあります。Mac 版 tTerm では、鍵は「クラウドへ移行」と、ssh のあとに表示されるバーから入ります。

鍵の下には、保管庫をどこで開けるかが表示されます。保管庫を開けるように設定された Mac とブラウザーが並び、1 つもなければ リカバリーコードでのみ開けます。 と表示されます。

保存できる鍵

Ed25519、ECDSA P-256 と P-384、RSA です。DSA と ECDSA P-521 の鍵、セキュリティキー上の鍵（sk-…）は保存できません。セキュリティキー上の鍵は外に出せないため、そのサーバーは Mac 経由で開きます。

ブラウザーが読み込めるのは、OpenSSH 独自の形式の鍵（パスフレーズ付きも可）と、パスフレーズなしの PEM（PKCS#8、PKCS#1）の鍵で、1 ファイルに 1 つの鍵です。パスフレーズ付きの PEM ファイルは、先に ssh-keygen -p -f にそのファイルを指定して、OpenSSH の形式に変換します。Mac 版 tTerm が読み込めるのは、OpenSSH の形式の鍵です。

ブラウザーによっては、Ed25519 鍵で署名できません。その場合は 設定 → SSH 鍵 にそう表示されます。そうした鍵を使うサーバーは、より新しいブラウザーか Mac 版 tTerm で開きます。

保管庫を待つサーバー

保管庫を開いているデバイスが 1 つもないあいだ、あなたの鍵を使うサーバーのターミナルは、保管庫が開くまで待ち続け、web-01 はあなたの鍵で開きます と表示します。

• パスキーを保存したブラウザーでは、Touch ID で開く、Windows Hello で開く、パスキーで開く のいずれかを押します。
• ほかのブラウザーでは、お使いの Mac の名前が入った … で承認 か、リカバリーコードを使う を押します。
• Mac 版 tTerm では Touch ID で開く を押します。まだ保管庫を開けるように設定されていない Mac では、リカバリーコードを使う を押します。

保管庫が開くと、ターミナルに あなたの鍵で web-01 にログインしています… と表示され、そのまま開きます。