ZTTP — ゼロトラスト透過型プロキシ

堅牢化されたセルフホスト型SSH踏み台ホスト — Vault連携の鍵管理、RBACポリシー適用、完全なセッション録画、対話型管理TUIを備え、監査可能なゼロトラストアクセスを本番インフラへ提供するチーム向けに設計されています。

目次

• ZTTPを選ぶ理由
• アーキテクチャ概要
• 主な機能
• 前提条件
• クイックスタート — サーバー
• クイックスタート — クライアント
• 設定
• ロールとRBACポリシー
• 管理コンソール
• 監査ログとセッション録画
• ソースからのビルド
• Makefileリファレンス
• スクリーンショットとデモ
• プロジェクト構成
• セキュリティモデル
• コントリビューション
• ライセンス

ZTTPを選ぶ理由

現代のエンジニアリングチームには、開発者に必要最小限のアクセス権を付与する方法が求められています — それ以上でもそれ以下でもありません。従来のSSH鍵の配布はエラーが発生しやすく、鍵は共有され、ラップトップに置き忘れられ、失効が数日遅れることがあります。

ZTTPは、インフラへの単一の入り口として機能することでこの問題を解決します:

アーキテクチャ概要

開発者ラップトップ
      │
      │  zttp
      │  (内部: ポート2224でのSSH)
      ▼
┌─────────────────────────────────────────────────────────┐
│                     ZTTPプロキシ                         │
│                                                         │
│  ① 認証ゲート    — bcrypt/Argon2idログインTUI           │
│  ② RBACエンジン  — 環境認識型ポリシーチェック           │
│  ③ Vault取得     — 一時的なSSH鍵の取得                  │
│  ④ ブリッジ      — 透過型TCPトンネル                    │
│  ⑤ 監査ライター  — ttyrecフレームレコーダー             │
└──────────┬──────────────────────────────────────────────┘
           │  ssh (プライベートIP、一時鍵)
           ▼
     ターゲットサーバー

インフラストラクチャサービス (Docker Compose):

主な機能

• 🔐 ゼロトラスト認証 — bcryptパスワードハッシュ、レート制限、5回失敗後のアカウントロックを備えた対話型SSHログインTUI
• 🛡️ RBACポリシーエンジン — 最適化された単一のPostgreSQL JOINによるロール別・環境別アクセス制御 (ラウンドトリップなし)
• 🗝️ Vault連携SSH鍵 — 秘密鍵はディスクに触れず、セッションごとにHashiCorp Vaultから一時的に取得
• 📹 完全なセッション録画 — すべてのセッションがタイムスタンプ付きフレームで.ttyrec形式に記録されます
• 🖥️ 対話型管理TUI — ユーザー管理、サーバー登録、アクセス付与、ログ確認のための完全なターミナルUI
• 🔍 監査ログビューア — サーバー別にセッションを閲覧、録画を再生、または管理コンソールからクリーンなテキストログを直接読むことができます
• ⚡ キルスイッチ — 任意のライブセッションを即座に終了するgRPCエンドポイント
• 📋 管理操作ログ — すべての管理操作 (ユーザー作成、アクセス付与、ログ閲覧) が永続的な監査証跡に記録されます
• 🌍 マルチプラットフォームクライアント — Linux、macOS (amd64/arm64)、Windows向けの単一バイナリCLI

前提条件

サーバー (プロキシホスト):

• Docker ≥ 24 および Docker Compose ≥ 2.20
• ポート2224で公開またはLANアクセス可能なIP
• make (任意ですが推奨)

開発者 (クライアント):

• 任意のSSHクライアント (sshコマンド)
• Linux、macOS、またはWindowsマシン

クイックスタート — サーバー

1. リポジトリのクローン

git clone https://gitlab.com/Nihal799/zttp.git
cd zttp

2. 環境の設定

cp .env.example .env

.envを編集し、最低限以下を設定します:

PROXY_NODE_IP=<your-server-public-ip>
POSTGRES_PASSWORD=<a-strong-password>
VAULT_TOKEN=<a-strong-vault-token>

⚠️ .envファイルをコミットしないでください。 .gitignoreに記載されています。

3. すべてのサービスの起動

make docker-up
# または直接:
docker compose -f deploy/docker-compose.yml up -d --build

4. サービスの健全性を確認

make docker-ps
curl http://localhost:8080/healthz

5. CLIインストーラーのビルドと公開

make release PROXY_ADDR=<your-server-ip>:2224

これにより、すべてのプラットフォーム向けにクライアントがクロスコンパイルされ、dist/install.shとdist/install.ps1が正しいサーバーURLで自動更新されます。Nginxコンテナはこれらをhttp://<your-server-ip>:8555/で配信します。

クイックスタート — クライアント

Linux / macOS

curl -fsSL http://<proxy-ip>:8555/install.sh | bash

Windows (PowerShell、管理者として実行)

irm http://<proxy-ip>:8555/install.ps1 | iex

接続

インストール後、ZTTPゲートウェイに接続します:

zttp
# または直接:
ssh -p 2224 <your-username>@<proxy-ip>

ターミナルのログイン画面が表示されます。認証後、アクセスを許可されたサーバーの一覧が表示されます。

設定

すべての設定は環境変数 (または.envファイル) を介して行われます。完全なリファレンスは.env.exampleを参照してください。

ロールとRBACポリシー

ZTTPはロールベースのモデルを使用します。各ユーザーにはロールが割り当てられ、各ロールにはアクセス可能なサーバー環境を定義するポリシーがあります。

ロールとサーバー割り当ては管理コンソール (下記参照) を通じて管理されます。RBACエンジンはすべてのチェックを単一のPostgreSQLクエリで実行し、アクセス拒否の理由をクライアントに公開することはありません (列挙防止)。

管理コンソール

ゲートウェイメニューからzttp-adminサーバーに接続するか、security-adminロールを持つアカウントでログインします。

管理コンソールが提供する機能:

すべての管理操作は監査ボリューム内のadmin-actions.logに記録されます。

監査ログとセッション録画

すべてのセッションはzttp-audit-logsDockerボリューム (コンテナ内の/var/log/zttp/audit/) に保存されます。

管理コンソールからの表示

1. security-adminとしてログイン
2. 監査ログ表示を選択
3. リストからサーバーを選択
4. セッションを選択
5. テキストログ表示 (ANSI除去済み、読み取り可能) または録画再生 (リアルタイム再生) を選択
6. Ctrl+Cで戻る

ホストからの表示 (生データ)

# 録画の一覧表示
sudo ls /var/lib/docker/volumes/zttp-audit-logs/_data/

# ttyplayで録画を再生
sudo ttyplay /var/lib/docker/volumes/zttp-audit-logs/_data/<session-id>.ttyrec

# 管理操作ログを読む
sudo cat /var/lib/docker/volumes/zttp-audit-logs/_data/admin-actions.log

ソースからのビルド

要件: Go 1.25+、Docker (クロスコンパイル用)

# 現在のプラットフォーム用にプロキシ + CLIをビルド
make build

# すべてのプラットフォーム向けにCLIをクロスコンパイル (Linux、macOS、Windows)
make release PROXY_ADDR=<proxy-ip>:2224

# テストを実行
make test

# プロキシをローカルで実行 (PostgresとVaultが起動している必要があります)
make run-proxy

Makefileリファレンス

スクリーンショットとデモ

1. インストール

(クリックしてデモを再生)

2. セキュアログイン

(クリックしてデモを再生)

3. サーバー追加 (管理コンソール)

(クリックしてデモを再生)

4. サーバーへの接続 (ゲートウェイ)

(クリックしてデモを再生)

5. キルスイッチ (管理イジェクト)

(クリックしてデモを再生)

プロジェクト構成

zttp/
├── cmd/
│   ├── proxy/          # プロキシサーバーのエントリポイント
│   └── zttp/           # CLIクライアントのエントリポイント
├── db/
│   └── migrations/     # PostgreSQLスキーママイグレーション
├── deploy/
│   ├── docker-compose.yml
│   ├── Dockerfile.proxy
│   └── vault-seed.sh   # テスト用SSH鍵をVaultにシード
├── dist/
│   ├── install.sh      # Linux/macOSインストーラースクリプト
│   └── install.ps1     # Windowsインストーラースクリプト
├── internal/
│   ├── audit/          # 管理操作ログ
│   ├── auth/           # ユーザー認証 (bcrypt、ロックアウト)
│   ├── cli/            # CLIクライアントTUIと接続ロジック
│   ├── config/         # 環境ベースの設定
│   ├── killswitch/     # gRPCキルスイッチサービス
│   ├── proxy/          # SSHプロキシ、ゲートウェイTUI、管理TUI、ブリッジ
│   ├── rbac/           # ロールベースアクセス制御エンジン
│   ├── ratelimit/      # IPごとのレート制限
│   ├── session/        # セッショントラッキングとDBストア
│   └── vault/          # HashiCorp Vault SSH鍵クライアント
├── proto/              # gRPCプロトコル定義
├── tools/
│   └── hashpw/         # CLIツール: bcryptパスワードハッシュを生成
├── .env.example        # 設定テンプレート
├── go.mod
└── Makefile

セキュリティモデル

コントリビューション

1. リポジトリをフォーク
2. フィーチャーブランチを作成: git checkout -b feat/your-feature
3. 変更を加え、各ファイルが個別のコミットになるようにします
4. テストを実行: make test
5. マージリクエストを開く

以下はコミットしないでください:

• .envまたはシークレットを含むファイル
• 本番サーバーの実際のIPアドレスやホスト名
• コンパイル済みバイナリ (ルートのzttpバイナリは.gitignoreされています)

ライセンス

このプロジェクトはプロプライエタリです。全著作権所有。

Go、PostgreSQL、HashiCorp Vault、Dockerで構築されています。