アクセス制御未設定時の起動警告

ログ

ゲートウェイは、いずれも JSON フレンドリーな 2 種類のストリームを stderr に書き出します。

• 監査イベント: セキュリティ上重要なイベントごとに 1 行の JSON。stderr をログ集約基盤にパイプしてください。

  出力されるイベントには、config.load、session.mint、session.refresh、device.authorize、device.verify、device.callback、auth.denied、access.denied、access.public_client、inference、managed.serve、desktop_bootstrap.serve、desktop_bootstrap.denied、spend.blocked、admin.denied、admin.limit.upsert、admin.limit.delete があります。フィールドはイベントごとに異なります。

  • mint と refresh が成功したイベントには、sub、email、client_ip、結果が含まれます
  • auth.denied と access.denied には、理由とクライアント IP が含まれ、auth.denied にはさらにリクエストパスが含まれます。これらの拒否の時点ではユーザー ID が存在しないためです。access.denied の理由のうち 2 つは、イベントの内容を変えます。
    • xff_unparseable: このイベントには、読み取れなかった X-Forwarded-For のエントリも含まれます
    • client_ip_unknown: access_control リストが設定されているにもかかわらず、接続にピアアドレスがなかったため、このイベントにはクライアント IP が含まれません
  • access.public_client には、access_control.allow_cidrs が空の間にパブリックアドレスから到達した、プロセスごとの最初のリクエストのクライアント IP が含まれます。ゲートウェイは通常どおりリクエストを処理しますが、このイベントは、ゲートウェイがパブリックインターネットから到達可能である可能性を示します。何がパブリックとみなされるか、および推奨される許可リストについては、access_control のリファレンスを参照してください。
  • inference には、どのアップストリームがリクエストを処理したかと、レスポンスのステータスが記録されます
  • desktop_bootstrap.denied には、拒否された Claude Desktop のブートストラップ取得について、理由（not_configured、policy_not_opted_in、no_policy_matched のいずれか）とユーザー ID が記録されます
  • admin.denied には、拒否された admin API の認証試行について、クライアント IP、メソッド、パス、理由が記録されます。ただし提示されたキー自体は記録されません。理由は、x-api-key が提示されたが設定済みのどのキーとも一致しなかった場合の invalid_key、Authorization ヘッダーのみが提示され、それが admin.admin_groups 内のゲートウェイセッションとして検証できなかった場合の bearer_rejected、どちらのヘッダーも提示されなかった場合の no_credentials のいずれかです

• 運用ログ: 起動、警告、アップストリームのエラーについて、[gateway] で始まる人が読める形式の行です。CLAUDE_GATEWAY_LOG_LEVEL 環境変数が詳細度を制御し、debug、info、warn、error のいずれかを受け付けます。既定値は info です。debug の場合、サインインと更新のたびに、id_token に含まれるクレームの値ではなく名前が、さらに userinfo_fallback が何か返した場合はその userinfo クレームの名前もログに記録されるため、email_claim と groups_claim の設定を、PII をログに残さずに診断できます。これは監査イベントには影響しません。監査イベントは常に出力されます。