CC逆引きリファレンス

サンドボックスから認証情報ファイルを守りたい

14. セキュリティリスク回避

コマンド / 機能

"sandbox": { "credentials": ... }

sandbox.credentials（v2.1.187）

概要

sandbox.credentials 設定を使うと、サンドボックス化されたコマンド実行から認証情報ファイル（クラウドプロバイダの認証情報、トークンなど）の読み取りを遮断できます。サンドボックス内で実行されるコマンドが誤って認証情報を読み込んでしまうリスクを減らせます。

設定例

// settings.json
{
  "sandbox": {
    "enabled": true,
    "credentials": {
      "block": true
    }
  }
}
公式ドキュメントを見る

こんな時に使う

  • サンドボックス内のコマンドに認証情報を触らせたくない時
  • AWS/GCPの認証情報をサンドボックス実行から隔離したい時

使い方

  1. 1settings.json の sandbox セクションに credentials 設定を追加
  2. 2サンドボックス有効時に自動的に認証情報ファイルの読み取りがブロックされる
  3. 3deny ルール（Read(~/.aws/*) 等）と併用するとより強固

Tips

  • v2.1.187 で追加
  • サンドボックス自体が無効だとこの保護も適用されない
  • sec-credentials の deny ルールと二重に防御するのが安全

同じカテゴリの記事

プロンプトインジェクション対策
提案されたコマンドを実行前に必ず確認
外部スクリプトの安全な実行
ダウンロード→確認→実行
.env へのアクセスを禁止したい
"deny": ["Read(.env*)", "Edit(.env*)"]
秘密鍵を保護したい
"deny": ["Read(*.key)", "Read(~/.ssh/*)"]
rm -rf を禁止したい
"deny": ["Bash(rm -rf*)"]
force push を禁止したい
"deny": ["Bash(git push --force*)", "Bash(git push -f*)"]
前の記事
コードのセキュリティレビューをしたい
次の記事
macOSサンドボックスからApple Eventsを許可したい