SoftActivity Monitor 15.0には、WireGuardを搭載した新しい「外部エージェントモード」が追加されました。
本モードは、社外にある企業所有のWindowsコンピュータや、従来のオンプレミスサーバーインフラストラクチャが存在せず、モニターサーバーがLANベースの検出や各クライアントへの直接接続に依存できない Microsoft 365 / Entra 環境向けに設計されています。
監視対象のコンピュータは、モニターエンドポイントとの間にセキュアなトンネルを確立し、取得されたログおよびスクリーンショットは引き続きSoftActivityの環境内に保存されます。
これにより、コンプライアンスや社内ポリシーの要件により、オンプレミスでのデータ保管が求められる組織にとって有用な構成を実現します。
本ガイドは、組織内でSoftActivity Monitorを導入するIT管理者の方を対象としています。
構成は通常のクライアントアプリのインストールガイドとほぼ同様ですが、新しい外部エージェントのワークフローに重点を置いて解説しています。
目次
従来の SoftActivity Monitor の構成では、監視対象のコンピュータはローカルネットワーク、または社内VPNを経由して Monitor サーバーへ接続します。
外部エージェントモードは、このようなサーバーからクライアントへの直接接続モデルが現実的でない環境向けに設計されています。
具体的には、オフィスのLAN外にありVPN接続も行っていない社外端末が該当しますが、従来の Active Directory 環境のようなオンプレミスのサーバー、名前解決、端末検出の仕組みを持たない Microsoft 365 / Entra ベースのクラウドネイティブ環境にも適しています。
本モードを有効にすると、Monitor コンピュータ上でセキュアな WireGuard トンネルサービスが動作します。
各リモートコンピュータは専用の安全な登録トークン（Enrollment Token）によって登録されます。
クライアントアプリのインストール時、このトークンを使用して Monitor エンドポイントへの WireGuard トンネルが自動的に構成されます。
その後、該当コンピュータは Monitor コンソール上に「外部（WireGuard）エージェント」として表示されます。
本モードは、以下のような環境で特に有効です：
なお、本モードは個人所有端末（BYOD）での利用を想定したものではありません。
クライアントアプリをインストールする前に、対象となるリモートコンピュータの所有者であること、または企業や組織などの所有者からインストールおよびユーザー操作の記録について正式な許可を得ていることを必ずご確認ください。
また、ユーザー監視を実施するにあたり、利用される法域において法的根拠があることも確認する必要があります。
SoftActivity Monitor では、この目的のためのプライバシー関連設定を提供しています。
企業としては、従業員に対して生産性監視の実施について通知し、必要に応じて同意を取得することを推奨します。
また、社内のコンピュータ利用ポリシーにおいては、以下の点を明確に定義する必要があります：
外部エージェントモードは、組織所有かつ IT 管理下にあるデバイスでのみ使用してください。
なお、外部エージェントモードはこれらのプライバシー上の責任を変更するものではありません。
本モードは、監視対象コンピュータが Monitor サーバーへ安全に接続する方法のみを変更するものです。
外部エージェントモードをご利用いただく前に、以下の要件を満たしていることをご確認ください：
対応シナリオ
本モードは、以下のような環境での利用を想定しています：
非対応シナリオ
以下の環境では 外部エージェントモードはご利用いただけません：
SoftActivity Monitor で本機能を有効化する前に、Monitor エンドポイントをどこに配置するか、および登録済みコンピュータが接続に使用する DNS 名を決定してください。
推奨構成としては、クラウド上の Windows 仮想マシンに SoftActivity Monitor をインストールする方法です。
これにより、安定したホスト名と予測可能なパブリックエンドポイントが確保でき、オフィスのファイアウォールやルーターの追加設定を回避できます。
この構成は、Microsoft 365 / Entra 環境を含む外部エージェントモードに最適です。
「オプション→ 外部エージェント」タブでは、以下の項目を設定します：
デフォルトポートは 35060 です。
推奨構成手順
例外事項
内部ネットワーク専用のエンドポイントでも、すべての登録済みコンピュータから確実に到達可能であれば利用できる場合があります。
ただし、これは外部エージェントモードにおける標準構成ではなく、あくまで特別なケースとして扱う必要があります。
重要事項
外部エージェントモードを有効にする手順は以下の通りです：
サーバーまたは管理者のPCでSoftActivity Monitorを起動します。
SoftActivity Monitorは、この機能に必要なWireGuardのキーペアを自動的に生成します。そのため、WireGuardのキーを手動で作成する必要はありません。
エンドポイントのホストおよびポートを選択する際は、登録済みのコンピュータから実際に到達可能な値を使用してください。
推奨構成：
Monitorコンピュータが社内ネットワーク上のサーバーに設置されており、監視対象コンピュータが社外にある場合は、ファイアウォールまたはルーターで選択したUDPポートを当該サーバーへ転送（ポートフォワーディング）する必要があります。
内部専用のエンドポイントを意図的に使用する場合は、公開側のポートフォワーディングは不要となる場合があります。その場合は、すべての登録コンピュータから直接到達可能なDNS名またはIPアドレスを使用してください。
既に多数の外部エージェントを登録している場合は、必要がない限りエンドポイントのホストやポートを変更しないでください。
登録済みの外部エージェントは、このエンドポイントに紐づいています。後からWireGuardのエンドポイント設定を変更すると、既に発行済みのトークンが新規インストールで使用できなくなる可能性があり、既存の外部エージェントも新しいトークンで再登録が必要になる場合があります。
External Agentモードを有効にした後、各リモートコンピュータにClient Appをインストールする前に、Monitorコンソール上で該当コンピュータを追加してください。
外部エージェントを追加する手順は以下の通りです：
各External Agentには、それぞれ固有の識別情報と専用のトンネルIPアドレスが割り当てられます。このIPアドレスはSoftActivity Monitorによって管理されるため、手動で編集することはできません。
登録トークンは、特定の外部エージェントのためにSoftActivity Monitorによって生成されるセキュアな文字列です。
このトークンには、クライアントアプリ インストーラーがセキュアトンネルを構成するために必要な情報が含まれています。主な内容は以下の通りです：
登録トークンに関する重要事項：
クライアントアプリのインストールは通常のローカルインストールとほぼ同様ですが、登録トークンに関する追加手順があります。
対象コンピュータにクライアントアプリをインストールする手順：
展開時には、トークンの取り扱いに十分注意してください。
他のインストール用資格情報や機密情報と同様に扱う必要があります。
トークンが有効である場合、インストーラーはWireGuardクライアントサービスを自動的に構成し、外部エージェントモードでクライアントアプリをインストールします。
トークン欄を空欄のままにした場合は、外部エージェントモードではなく、通常のローカルネットワークインストールとして実行されます。
重 要：
SoftActivity Monitorの通常のリモートインストールコマンドは、ローカルネットワーク向けの展開を想定しており、外部エージェントモードではサポートされていません。
この構成では、Monitorコンピュータが対象コンピュータへ直接接続してインストールを実行することはありません。
クライアントアプリは、ローカルでのインストール、リモートサポートツール経由、またはIntuneやRMMプラットフォームなどの管理された展開システムを使用してインストールしてください。
インストール完了後、SoftActivity Monitorに戻り、新しく追加したコンピュータがオンラインになっていることを確認してください。
以下の点を確認します：
また、該当コンピュータの「エージェントのプロパティ」を開くこともできます。
外部エージェントの場合、ホストフィールドには割り当てられたWireGuardトンネルのIPアドレスが表示され、この項目は読み取り専用となります。
各外部エージェントには、SoftActivity Monitorによって固有の固定（静的）WireGuard IPv4アドレスが割り当てられます。
コンピュータがすぐに表示されない場合は、1分ほど待ってからエージェント一覧を更新するか、監視ウィンドウを再度開いてください。
以下の場合は、「Reissue Enrollment Token（登録トークンの再発行）」を使用します：
トークンを再発行する手順：
トークンを再発行すると、その外部エージェントの現在の登録状態はリセットされます。
そのため、新しいトークンで再インストールを行うまで、当該コンピュータは再接続されません。
外部エージェントモードは管理された展開に対応していますが、監視対象コンピュータごとに専用の登録トークンが必要となるため、通常のローカルネットワーク展開とは異なります。
そのため、デバイスごとに個別のインストールコマンドを実行できるツールが最適です。
推奨される選択肢：
Intuneでの詳細な展開手順については、「Microsoft Intuneを使用したSoftActivity Monitor クライアントアプリのインストール」を参照してください。
推奨される管理展開のワークフロー：
Intune、RMM、またはその他のソフトウェア配布ツールで使用する具体的なサイレントインストールコマンドについては、「15. 補足資料: 登録トークンを使用したサイレントインストール」を参照してください。
このようにデバイス単位で管理された展開方式が重要となる理由は、各外部エージェントが固有の識別情報と専用のセキュアトンネル構成を持つためです。
展開時には、すべてのトークンを機密情報として取り扱ってください。
コンピュータが接続されない場合は、以下の項目を確認してください。
1. インストーラーで登録トークンが無効または拒否される場合
想定される原因：
対処方法：
2. インストールは完了するが、Monitor上でオフラインのままの場合
Monitor側で確認する項目：
リモートコンピュータ側で確認する項目：
必要に応じて：
sc.exe stop “WireGuardTunnel$sa-client”
sc.exe start “WireGuardTunnel$sa-client” /log
sc.exe stop SamSvc
sc.exe start SamSvc /log
3. コンピュータの参加状態または認証に問題がある場合
外部エージェントモードは、Monitorサーバーと同一組織に属する企業デバイスでのみ動作します。
以下の場合は接続が拒否されます：
対処方法：
4. サーバーがクライアントのIPやDNS名を認識できない場合
これは外部エージェントモードでは正常な動作です。
LANモードとは異なり、外部エージェントモードではMonitorサーバーがクライアントのDNS名や外部IPアドレス、直接接続経路を把握する必要はありません。
各クライアントが自らMonitorのエンドポイントへセキュア接続を開始します。
このため、オンプレミスサーバーを持たない、またはLAN検出やサーバー主導の接続が困難なMicrosoft 365 / Entra環境に適しています。
5. エンドポイント設定変更後に接続が停止した場合
外部エージェント展開後にエンドポイントホストやWireGuardポートを変更した場合、既存エージェントの接続が停止する可能性があります。
対処方法：
6. アンチウイルスやエンドポイントセキュリティがインストールを妨げる場合
通常のクライアントアプリインストールと同様に、セキュリティソフトがセットアップやサービス動作に影響を与える場合があります。
対処方法：
以下の制限事項にご留意ください：
これらの要件を満たさない環境では、標準のローカルネットワーク方式またはVPNベースの展開を使用してください。
クライアントアプリはサイレントモードで展開することができ、コマンドラインに登録トークンを含めることが可能です。
例：
amagent.exe /VERYSILENT /SP- /NORESTART /SUPPRESSMSGBOXES /NOCLOSEAPPLICATIONS /NewPsw=YourStrongAgentPassword /etoken=”PASTE_ENROLLMENT_TOKEN_HERE” /log=install-log.txt
補足事項：
実際の展開を計画する際は、以下のチェックリストを活用してください：