キーチェーン

各項目・スイッチ・設定の働きです。このページには 53 個の項目があります。アプリで各ラベルの横にある ⓘ と同じ文章です。デスクトップではポインターを合わせるかクリックし（または項目内で F1 キーを押し）、スマートフォンではタップします。

各名前の下の行は、コードで使われている ID と、片方のアプリにしかない場合はその旨を示します。

アイデンティティ

場所: キーチェーン › アイデンティティ › 新しいアイデンティティ.

ラベル

identity.label

一覧でのこのアイデンティティの名前。アイデンティティは、一度保存して複数のホストで再利用するログイン情報（ユーザー名、パスワード、鍵）です。

• 例: deploy@production

ユーザー名

identity.username

このアイデンティティを使うサーバーでのアカウント名。

• 例: deploy

パスワード

identity.password

そのアカウントのパスワード（パスワードでログインする場合）。鍵のみでログインする場合は空欄にしてください。デスクトップでは保存したパスワードは再表示されません。維持するには空欄のまま、置き換えるには新しいパスワードを入力してください。

• 既定値: なし。
• 注意: ボールトに保存され同期されます。ただし、設定 › セキュリティ › 「鍵とアイデンティティを同期」がオフの場合を除きます。

保存済みのパスワードを削除

identity.removePassword · デスクトップのみ

保存時に、このアイデンティティに保存されたパスワードを削除します。このアイデンティティを使うホストは、その鍵でログインするか、パスワードの入力を求めるようになります。

• 既定値: オフ。

鍵

identity.key

このアイデンティティがログインに使う秘密鍵。同じボールトの鍵のみ表示されます。

• 既定値: 鍵なし。

鍵を生成

場所: キーチェーン › 鍵 › 生成.

種類

keygen.type

作成する鍵ペアの種類です。Ed25519は短く高速で、現在のすべてのサーバーで使えます。ECDSAやRSAは、サーバーがそれを要求する場合にのみ選んでください。「セキュリティキー」の種類は、秘密鍵側をハードウェアセキュリティキー（YubiKeyやSoloKeyなどのFIDO2キー。USBに挿すか、スマートフォンではNFCで背面にかざす）に保持し、ログインにはキーが必要です。すべてのFIDO2キーでECDSAを作成でき、比較的新しいキーの多くはEd25519も作成できます。

• 既定値: Ed25519。
• 詳しく: 続きを読む（英語）

サイズ

keygen.bits · デスクトップのみ

RSAまたはECDSA鍵のビット長。長いほど強力ですが低速になります。RSA: 2048、3072、4096。ECDSA: 256、384、521。

• 既定値: RSA 4096、ECDSA 256。

アプリケーション

keygen.application

セキュリティキーがこの認証情報を登録する名前です。「ssh:」で始める必要があります。1つのセキュリティキーで複数のSSH鍵を区別する場合にのみ変更してください。

• 既定値: ssh:
• 例: ssh:work

ログインのたびにタッチを要求

keygen.requireTouch

ログインのたびにセキュリティキーへのタッチが必要になり、人がその場にいることを証明します。オフにすると、タッチなしで署名します。

• 既定値: オン。
• 注意: オフにする場合、サーバー側でもそれを許可する必要があります（サーバーのauthorized_keysファイルで、その鍵の行にno-touch-requiredオプション）。また、人がその場にいたことは証明されません。

セキュリティキーのPINまたは生体認証を要求

keygen.verifyRequired

ログインのたびに、タッチだけでなくセキュリティキーのPINまたは指紋も必要になります。デバイスごと盗まれると危険な鍵に使ってください。

• 既定値: オフ。

セキュリティキーのPIN

keygen.pin

セキュリティキーのPIN。キーにPINがある場合、認証情報の作成に必要です。1回だけ使われ、保存されません。

• 既定値: 空欄。

鍵をセキュリティキーに保存

keygen.resident

鍵をセキュリティキー自体に保存します（「レジデント」または「ディスカバラブル」キー）。これにより、別のコンピューターやスマートフォンのSternwayで「セキュリティキーからインポート」またはssh-keygen -Kで読み込めます。PINが設定されたセキュリティキーが必要です。

• 既定値: オフ: 鍵ファイルはこのキーチェーンに保存され、同じセキュリティキーでのみ使えます。
• 注意: セキュリティキーを持ちPINを知っている人なら誰でも鍵を読み込めます。
• 詳しく: 続きを読む（英語）

セキュリティキー上のユーザー名

keygen.user

セキュリティキーが保存した鍵を登録する名前で、同じアプリケーション用に1つのキーで複数のSSH鍵を保持できます。アプリケーションとユーザー名が同じ保存済みの鍵は、以前のものを置き換えます。最大32バイト。

• 既定値: 空欄。
• 例: ada

ラベル

keygen.label

一覧でのこの鍵の名前。必須、256文字以内。

• 例: ノートPC 2026

コメント

keygen.comment

公開鍵の中に保存されるメモです。サーバーのauthorized_keysファイルに表示されるため、管理者が誰の鍵かを判別できます。

• 既定値: デスクトップでは空欄、モバイルでは「sternway-mobile」。
• 例: ada@laptop

パスフレーズ

keygen.passphrase

秘密鍵自体を暗号化するパスワードです。鍵を使うたびに入力を求められ、保存はされません。確認なしで使える鍵にするには空欄にしてください。

• 既定値: なし。
• 注意: 確認用の2つ目の入力欄はなく、復旧する方法もありません。入力ミスや忘れたパスフレーズは、鍵を使用不能にします。

鍵をインポート

場所: キーチェーン › 鍵 › インポート.

秘密鍵

keyImport.privateKey

既存の秘密鍵。ファイルとして選択するか、BEGIN行とEND行を含めて全体を貼り付けます。OpenSSH、PEM（PKCS#1、PKCS#8、SEC1）、PuTTYの.ppkファイルに対応し、.ppkはOpenSSH形式に変換されます。一緒に選んだ.pubファイルは、対応する公開鍵である必要があります。

• 注意: 秘密鍵を持つ人は誰でもあなたとしてログインできます。自分の鍵だけをインポートし、不要なコピーは後で削除してください。

パスフレーズ

keyImport.passphrase

インポートする鍵のパスフレーズ。鍵が暗号化されている場合にのみ必要で、鍵の読み取りに使われます。

• 注意: デスクトップでは保持されず、鍵を使うときに再度確認されます。モバイルではデバイス上に鍵と一緒に保存されるため、以降は確認なしで鍵を使えます。

ラベル

keyImport.label

一覧でのこの鍵の名前。空欄の場合は鍵のコメント、次にファイル名が使われます。

セキュリティキーからインポート

場所: キーチェーン › 鍵 › セキュリティキーからインポート.

セキュリティキーのPIN

keyLoad.pin

セキュリティキーのPIN。保存された鍵の読み取りには常に必要です。1回だけ使われ、保存されません。

• 注意: PINを数回続けて間違えるとセキュリティキーがロックされます。ロックされたPINはリセットするしかなく、リセットすると保存された鍵は消去されます。
• 詳しく: 続きを読む（英語）

鍵ファイルのパスフレーズ

keyLoad.passphrase

任意。読み込んだ鍵のためにSternwayが保存する鍵ファイルを暗号化します。設定すると、ログインのたびにタッチに加えてこのパスフレーズを求められます。

• 既定値: なし。

鍵：エクスポート、名前の変更、インストール、ハードウェア

場所: キーチェーン › 鍵.

ファイルのパスフレーズ（任意）

keyExport.passphrase

エクスポートするコピーをこのパスフレーズで暗号化します。アプリ内の鍵は変更されません。独自のパスフレーズがない鍵の場合にのみ表示されます。

• 既定値: なし: エクスポートしたファイルは暗号化されません。
• 注意: パスフレーズがないと、ファイルを入手した人は誰でもあなたとしてログインできます。

パスフレーズの確認

keyExport.passphraseConfirm

ファイルを書き込む前に入力ミスを見つけるため、同じパスフレーズをもう一度入力してください。

名前

key.rename

一覧でのこの鍵の名前。名前を変更してもサーバー上では何も変わりません。

ラベル

hwKey.label · デスクトップのみ

一覧でのこのハードウェア鍵の名前。秘密鍵側はこのコンピューターのセキュアハードウェア内で作成され、取り出し、同期、エクスポートは一切できません。

使用のたびに確認を求める

hwKey.requirePresence · デスクトップのみ

鍵でログインするたびに、コンピューターが指紋、顔、またはPINを求めます。

• 既定値: オン。

鍵

keyInstall.key

公開鍵側をサーバーの受け入れ鍵リスト（ログインするアカウントのauthorized_keysファイル）に追加する鍵です。以降、そのアカウントはこの鍵を受け入れます。秘密鍵側がこのデバイスの外に出ることはありません。すでにリストにある鍵は重複して追加されません。

ホスト

keyInstall.hosts

鍵を追加するサーバー。アプリは通常の方法で各サーバーにログインし、~/.sshとauthorized_keysがなければ作成して、1行追加します。ファイルの既存の内容は変更されず、すでにある鍵はそのままです。

証明書

場所: キーチェーン › 証明書 › 証明書を添付.

証明書

cert.certificate

SSH証明書は、組織の認証局が署名した公開鍵です。認証局を信頼するサーバーは、各サーバーに鍵をインストールしなくても証明書を受け入れます。…-cert.pubファイルの内容を貼り付けると、詳細が自動で読み取られます。

• 例: ssh-ed25519-cert-v01@openssh.com AAAA…

鍵

cert.key

この証明書の発行対象となった秘密鍵。証明書に対応する鍵がキーチェーンにある場合は自動で選択されます。

種類

cert.type · デスクトップのみ

ユーザー証明書はサーバーへのサインインに、ホスト証明書はサーバーの識別に使われます。証明書から読み取られます。証明書を読み取れなかった場合にのみ変更してください。

• 既定値: ユーザー。

プリンシパル

cert.principals · デスクトップのみ

証明書が有効なアカウント名（OpenSSHではプリンシパルと呼びます）をカンマ区切りで指定します。サーバーは、ここに記載されたアカウントに対してのみ証明書を受け入れます。証明書から読み取られます。

• 例: deploy, ubuntu

有効期間の開始

cert.validAfter · デスクトップのみ

証明書が有効になる日時（ローカル時刻）。空欄は開始日時がないことを意味します。証明書は有効期間中にのみ接続時に提示されます。

有効期間の終了

cert.validBefore · デスクトップのみ

証明書の有効期限（ローカル時刻）。空欄は期限がないことを意味します。期限を過ぎるとサーバーに拒否され、新しい証明書が必要になります。

シリアル番号

cert.serial · デスクトップのみ

認証局がこの証明書に付けた番号で、証明書自体から読み取られます。認証局の管理者がこの証明書を検索・失効させるのに必要なので、問い合わせる際に伝えてください。

鍵ID

cert.keyIdField · デスクトップのみ

認証局が証明書に書き込んだ名前で、サーバーがログに記録します。証明書から読み取られます。

CAフィンガープリント（SHA256）

cert.caFingerprint · デスクトップのみ

証明書に署名した認証局のフィンガープリントで、想定どおりの認証局かを確認できます。証明書から読み取られます。

認証局

場所: キーチェーン › 鍵 › 認証局.

証明書の最長期間（時間）

ca.maxValidity · デスクトップのみ

このキーを、他のキーの SSH 証明書に署名する認証局（CA）にします。署名はこのデバイス上で行われ、秘密鍵は暗号化されたまま保管庫に残り、サーバーへ送られることはありません。ここで指定するのは、このCAが署名する証明書の最長の有効期間です。個々の証明書はこれより短くできます。

• 既定値: 168 時間（7 日）。最大 8784（366 日）。
• 注意: この鍵を使える人は、この認証局が信頼される場所に誰でもログインさせることができます。正しい人だけが開ける保管庫に置いてください。共有の保管庫では、編集できるメンバーは誰でもこれで署名できます。ホストのログインに使われている鍵は認証局にできず、認証局の鍵が転送されたエージェントに入ることはありません。

証明するキー

caSign.subject · デスクトップのみ

証明書の対象となるキーです。証明書はそのキーと一緒に保存され、以後そのキーでログインすると提示されます。

証明書の種類

caSign.type · デスクトップのみ

ユーザー証明書は、このCAを信頼するサーバー（TrustedUserCAKeys）に人がログインするためのものです。ホスト証明書は、サーバーが名乗るとおりのサーバーであることをクライアントに示します（known_hosts の @cert-authority）。

• 既定値: ユーザー。

プリンシパル

caSign.principals · デスクトップのみ

ユーザー証明書ではログインできるアカウント、ホスト証明書ではサーバーの名前です。カンマまたはスペースで区切ります。

• 例: deploy, ubuntu
• 注意: 1 つ以上。プリンシパルにはスペース、カンマ、制御文字、双方向テキストの制御文字を含められません。

有効期間（時間）

caSign.validity · デスクトップのみ

証明書が使える期間です。時計が少し遅れているサーバーのため、署名の 1 分前から有効になります。短い証明書は失効させる必要がなく、期限が来れば使えなくなります。

• 既定値: 8 時間。最大でCAの証明書の最長期間まで。

キー ID

caSign.keyId · デスクトップのみ

証明書に書き込まれる名前で、使われたときにサーバーのログに記録されます。

• 既定値: 対象のキーの名前。
• 注意: 制御文字や双方向テキストの制御文字は使えません。サーバーのログの読まれ方が変わってしまうためです。

強制コマンド

caSign.forceCommand · デスクトップのみ

設定すると、この証明書でのログインでは、何を求められてもこのコマンドだけが実行されます（OpenSSH の force-command）。ユーザー証明書のみ。

• 既定値: なし：どのコマンドでも可。
• 例: /usr/local/bin/backup –run

許可する接続元

caSign.sourceAddress · デスクトップのみ

設定すると、証明書はカンマ区切りのこれらの IP アドレスまたは CIDR 範囲からのみ使えます（OpenSSH の source-address）。ユーザー証明書のみ。

• 既定値: 空：どこからでも。
• 例: 10.0.0.0/8,192.168.1.7
• 注意: 範囲はネットワークアドレスとマスクで書きます(10.0.0.1/8 ではなく 10.0.0.0/8)。マスクより後ろのビットが立った範囲はサーバーが拒否します。

許可する機能

caSign.extensions · デスクトップのみ

この証明書のセッションでできること：端末（pty）、ポート転送、エージェント転送、X11 転送、ユーザーの ~/.ssh/rc。証明書に許可しないものはチェックを外してください。ユーザー証明書のみ。

• 既定値: ssh-keygen と同じく 5 つすべて。

CA キーのパスフレーズ

caSign.passphrase · デスクトップのみ

この CA キーは暗号化されていて、パスフレーズが保存されていません。署名するには入力してください。この証明書にだけ使われ、保存されません。

保証するホスト

caTrust.hostPattern · デスクトップのみ

このCAのホスト証明書を信頼するホスト名です。known_hosts と同じく、ワイルドカードやカンマ区切りのリストを使えます。このCAが自分の名前に対して署名した証明書を示すホストは、確認なしで既知になります。

• 例: *.example.com
• 注意: 認証局は、保証すべき名前に対してのみ信頼してください。パターンが含むすべてのホストについて代弁できるようになります。共有の保管庫では * だけの指定は拒否されます。

Step CA

場所: キーチェーン › 鍵 › Step CA.

CA のアドレス

stepCa.url · デスクトップのみ

このキーが短期間有効な SSH 証明書を受け取る step-ca サーバーのアドレスです。https のみを使います（暗号化されない http はこのコンピューター宛てのみ）。CA からの応答は 1 MiB まで読み取ります。

• 例: https://ca.example.com
• 注意: 他の人が変更できる保管庫の鍵では、これらの設定がサインインの送り先を決めます。このデバイスで初めて使う前と、変更されるたびに、アプリが確認します。

ルートのフィンガープリント

stepCa.rootFingerprint · デスクトップのみ

step certificate fingerprint root_ca.crt が表示する、CA のルート証明書の SHA-256 フィンガープリントです。アプリはこの CA についてこのルートだけを信頼し、別のルートを持つサーバーには何も送らずに拒否します。

• 注意: CA 自身からではなく、信頼できる経路で CA の管理者から入手してください。

プロビジョナー

stepCa.provisioner · デスクトップのみ

CA が本人確認をする方法です。JWK プロビジョナーはパスワードを求め、OIDC プロビジョナーはブラウザで ID プロバイダーを開きます。CA から一覧を読み込んで選んでください。

プリンシパル

stepCa.principals · デスクトップのみ

CA に要求するアカウントです。カンマまたはスペースで区切ります。どれを許可するかは CA が決めます。

• 例: deploy

プロビジョナーのパスワード

stepCa.password · デスクトップのみ

JWK プロビジョナーのパスワードです。CA が暗号化して渡すプロビジョナーの鍵をこのデバイス上で開き、要求に署名します。この証明書にだけ使われ、保存も送信もされません。

• 注意: このパスワードを持つ人は、プロビジョナーが許すどのプリンシパルについても、どの鍵にでも認証局に証明書を求められます。チームの鍵では、許される人とだけ共有してください。