配備を運用する

Agent Fleet を自分の基盤で動かす人の「やりたいこと」を、1 ページに 1 つずつまとめています。 コマンドは各形態の runbook にあり、ここの各ページはそれが何を決めるのかを書きます。

はじめに

ページ	できること
セルフホストの全体像	何ができ、何を用意し、運用する人が何に責任を持つかを知る。採用を判断する前に読む
デプロイ先を選ぶ	compose・native・AWS・Kubernetes から形態を選び、AWS の費用と出口の経路を比べる

インストール

ページ	できること
インストールする	秘密を作り、サインインを設定して起動し、最初の管理者としてサインインしてメンバーを迎える
テナントとプロビジョニングの方式を決める	証明書の取り方、招待制か自動か、テナントの分け方と、テナントごとのサインインを決める

日々の運用

ページ	できること
バックアップして復元する	backup.sh を定期実行し、別のホストに復元する
アップグレードする	新しい版に上げ、ワークスペースを新しいイメージに移す
閉じたネットワークに入れる	外に出られないホストに、イメージ・TLS・CLI・図のアイコンを用意する
全エージェントに指示を配る	フリート方針で、すべてのエージェントに運用のルールを読ませる
opencode の共有サーバーを運用する	ターミナルのセッションのサーバーと opencode の版を管理する
インターネットに公開する	探索が来たときに何が届くかを知り、受け口を絞る
複数のデプロイを見分ける	配備ごとに色とラベルを付ける
アイドル停止と強制停止を使う	自動停止の時間を決め、止まらないワークスペースを止め、配備を一時停止する

サインイン

ページ	できること
サインインの方法を設定する	どの IdP でも共通の準備、リダイレクト URI、設定の置き場所を知り、動いたことを確かめる
Google でサインインする	Google Cloud Console でクライアントを作り、.env に書く
Microsoft Entra ID でサインインする	Entra でアプリを登録し、issuer を自社のディレクトリに固定する
GitHub でサインインする	GitHub の組織のメンバーだけが入れるようにする
そのほかの OIDC でサインインする	Okta・Keycloak・Auth0・Cognito・GitLab などをつなぐ
テナント独自のサインインを承認する	テナントが登録した IdP を確かめて承認し、止める

困ったとき

ページ	できること
症状から原因を探す	ログとヘルスを見て、症状の表から原因を絞る。コンテナから Docker を動かす 3 つの制約、TLS、よくある質問
ログインできない	サインインが拒否される・ボタンが出ない・外した人がまだ使えるときに、原因を探す

セキュリティ

ページ	できること
脅威モデルと残るリスクを知る	隔離の境界がどこにあるかを知り、残るリスクに備え、脆弱性を報告する
配備の鍵を扱う	AF_MASTER_KEY と AF_COOKIE_SECRET の要件を守り、鍵のない配備に鍵を入れ、古い値を封じる
外向きの通信を制御する	ワークスペースの外向きの通信を観測し、許可リストで絞る
MCP と外部接続のサインインを運用する	/mcp を OAuth で開き、信頼するクライアントのホストを決め、届いたものをログで読む
開発用サインインを使う	AUTH=dev を使ってよい場所を知り、開発用 OIDC IdP をオン・オフする
そのほかの運用上の制御	プレビュー用ドメイン、サインインの許可リスト、監査ログ、ホストのクラウドの身元を正しく保つ
アクセスを取り消す・super_admin を引き継ぐ	人を外し、全員のセッションを切り、配備管理者を交代させる

鍵

ページ	できること
保存時の鍵を AWS KMS にする	AWS で、Control Plane が封じるものを KMS で守り、切り替える前の値を封じ直す
ホームごとに鍵を分ける	AWS で、メンバーの資格情報ストアをホームごとの鍵で封じる
ブリッジトークンを入れ替える	ワークスペースのトークンを、1 人分または全員分まとめて無効にする

ECS

ページ	できること
スロットを入れ替える・止める	ecs-ec2 で古いスロットを入れ替え、応答しないスロットに気づいて止める

推論エンジン

ページ	できること
自前の GPU で推論エンジンを動かす	役ごとにモードを選び、自動停止の時間と GPU のインスタンスクラスを決める。全画像から除外する語を決める
推論エンジンにモデルを取り込む	Hugging Face と Civitai でモデルを探して取り込み、有効にする。テナントに取り込みを許可する
推論エンジンの状態と履歴を見る	いま動いているインスタンスと要求を読み、14 日の稼働実績を見る
読み上げエンジンを動かす	VOICEVOX のエンジンを用意して動かし、共通の読み仮名辞書を作る
自前の ComfyUI で画像を生成する	画像エンジンを自分のネットワークの ComfyUI に向け、モデルを登録し、届く経路を閉じる
別のデプロイのエンジンを借りる	自分のホストの配備から、AWS の Agent Fleet のチャットと画像のエンジンを使う。貸す側としてトークンを発行する
LAN の llama.cpp でチャットする	チャットのエンジンを自分のネットワークの llama-server に向ける

次の章の内容は、上のページに移りました: 01 配備形態を選ぶ・02 初期構築・03 動かし続ける・04 守る・05 サインイン方式・06 切り分ける・11 ecs-ec2 のスロットプール・12 保存時の鍵・07 推論エンジンと読み上げ・08 自前の ComfyUI で画像を生成する・09 別の配備のエンジンを借りる・10 自前の llama.cpp でチャットの推論を担う

各形態が何に対応しているかは 配備形態、誰が何をできるかは ロールとできること にあります。