VMware Monitor

VMware Monitor

作者：Wei Zhou、VMware by Broadcom — [email protected] VMware のエンジニアによるコミュニティ主導のプロジェクトであり、公式の VMware 製品ではありません。 VMware の公式開発者ツールについては、developer.broadcom.comをご覧ください。

英語 | 中文

読み取り専用の VMware vCenter／ESXi 監視 — 33 個のツール。このコードベースには破壊的な操作は存在せず、テストによってそれが検証されています。

なぜ独立したリポジトリなのですか？ VMware Monitor はVMware-AIopsから完全に独立しています。このコードベースには、電源オフ、削除、作成、再構成、スナップショットの作成／復元／削除、クローン、移行の各機能は存在しません。プロンプトによる制約ではなく、機能そのものがありません。

これを具体的にどう検証していますか？ tests/eval/regression/test_read_only_enforcement.pyは、すべてのソースファイルをastで解析し、パッケージが呼び出す各 vSphere メソッドが、pyVmomi 自身の型メタデータと照合したレビュー済み許可リストに含まれていることを求めます。vim.Taskを返すメソッド、または vCenter で読み取り以外の権限を必要とするメソッドは、理由を人が記録していない限り失敗します。現在、この許可リストには14個のメソッドがあります。この検査が対象とするのは、記述されたコードです。実行時に組み立てられるメソッド名は検出できず、自動実行もされないため、テストスイートを誰かが実行する範囲でのみ有効です。このリポジトリに依存しない保証が必要な場合は、vCenter 組み込みの読み取り専用ロールを持つ専用アカウントをスキルに設定してください（そのロールを超える権限が必要な読み取り操作）。

「読み取り専用」で対象とならないもの。 これは vCenter／ESXi に関する主張であり、コードパスによってそれらの状態が変更されることはありません。vCenter では、スキルが開くのは自身のログインセッションと、解放される短時間のクエリーハンドルだけです。一方、ローカルには書き込みを行います。~/.vmware-monitor/config.yamlと.env（initによる書き込み。.env内の平文パスワードは、読み込み時にb64:形式に書き換えられます）、監査ログ（MCP 呼び出し用の~/.vmware/audit.db、CLI コマンド用の~/.vmware-monitor/audit.log）、~/vmware-health/内の--htmlスナップショット、さらにdaemon startの実行後に限り、daemon.pid、scan.log、および設定済みの webhook への投稿が対象です。全項目については、セットアップガイドをご覧ください。

コンパニオンスキル

2.0 へのアップグレード

2.0 では、23 個の MCP ツールの名前が変更され、すべての名前が動詞で始まるようになりました（例：active_sessions → list_active_sessions、active_tasks → list_active_tasks、certificate_status → get_certificate_status）。旧名から新名への完全な対応表は RELEASE_NOTES.md にあります。その他に変更はなく、ツール、パラメーター、 安全ゲート、CLI コマンドは同じです。エージェントのプロンプト、スクリプト、または ~/.vmware/rules.yaml でツール名を指定している場合は、更新してください。ただし、旧名で記述された拒否ルールは vmware-policy ≥ 1.18 でも引き続き機能します（vmware-audit policy で、名前の変更によって対象範囲が広がったルールを確認できます）。また、vmware-pilot ≥ 1.13 は保存済みワークフロー内の旧名を変換します。 2.0 より前のバージョンをインストールした環境で同じ rules.yaml を共有している場合は、その環境にも vmware-policy ≥ 1.18.2 を適用してください。このバージョンでは各ルールを旧名と新名の両方に照合するため、1 つのファイルを両方の環境で使えます。

⚡ クイック調査レポート

運用担当者が実際に知りたいことに答える、独自の視点に基づく読み取り専用レポートが5種類あります。それぞれがサーバー側で集約・関連付けを行い、重要度の高い結果（生のインベントリではありません）を返します。すべてのレポートは、--html を指定すると自己完結型のオフライン HTML スナップショットも生成します（外部アセットは使用せず、データがマシンの外に出ることもありません。詳細はネイティブの <details> セクションに折りたたまれ、JavaScript は一切使用しません）。

# Triage the estate, then drill into whatever it flags:
vmware-monitor attention                         # what needs attention now, all vCenters
vmware-monitor summary --top 5                   # is anything on fire, one vCenter
vmware-monitor investigate vm web-01 --hours 72  # everything around a VM, 72h event window
vmware-monitor investigate vm web-01 --html      # → offline snapshot in ~/vmware-health/

不明なオブジェクト名を指定すると、オブジェクトの一覧表示方法を明示する案内付きエラーが返されます。MCP 経由では、これらは get_cluster_health_summary、get_cross_vcenter_attention、investigate_vm、investigate_host、investigate_datastore ツールとして利用できます。モデルがこれらを呼び出し、集約結果を運用上の言葉で説明します。すべてのフラグについては、references/cli-reference.md を参照してください。

クイックインストール（推奨）

Claude Code、Cursor、Codex、Gemini CLI、Trae、および30以上の AI エージェントで動作します。

# Via Skills.sh
npx skills add vmware-skills/VMware-Monitor

# Via ClawHub
clawhub install @zw008/vmware-monitor

PyPI からインストール（GitHub へのアクセス不要）

# Install via uv (recommended)
uv tool install vmware-monitor

# Or via pip
pip install vmware-monitor

# China mainland mirror (faster)
pip install vmware-monitor -i https://pypi.tuna.tsinghua.edu.cn/simple

オフライン／エアギャップ環境へのインストール（ソースから）

このプロジェクトでは最新の PEP 517 ビルドシステム（hatchling）を使用しているため、設計上 setup.py はありません。これは想定どおりであり、ファイルが欠落しているわけではありません。ソースをクローンして、ERROR: File "setup.py" or "setup.cfg" not found ... editable mode currently requires a setuptools-based build というエラーが発生した場合、お使いの pip は 21.3 より古く、setuptools 以外のバックエンドでは 編集可能（-e）インストールを実行できません。編集可能モードは開発者向けの利便機能であり、ツールの実行には不要です。次のいずれかを実行してください。

# From the source tree — a normal (non-editable) install builds a wheel:
pip install .              # NOT  pip install -e .

# ...or upgrade pip first, and editable works too:
pip install --upgrade pip && pip install -e .

完全なエアギャップ環境のホストでは、ネットワークに接続されたマシン上で wheel をビルドしてコピーしてください。インストール先ではネットワークが不要になります。

# On a connected machine, collect this package + its dependencies as wheels:
pip wheel . -w dist        # → dist/*.whl   (or: uv build, for just this package)

# Copy dist/ to the air-gapped host, then install offline:
pip install --no-index --find-links dist vmware-monitor

機能（読み取り専用）

アーキテクチャ

User (Natural Language)
  ↓
AI CLI Tool (Claude Code / Gemini / Codex / Aider / Continue / Trae / Kimi)
  ↓ Reads SKILL.md / AGENTS.md / rules
  ↓
vmware-monitor CLI (read-only)
  ↓ pyVmomi (vSphere SOAP API)
  ↓
vCenter Server ──→ ESXi Clusters ──→ VMs
    or
ESXi Standalone ──→ VMs

バージョン互換性

Broadcom 公式リファレンス

• SDK：https://developer.broadcom.com/sdks — VCF Python SDK（VCF 9 以降に推奨。pyVmomi と vSAN SDK を同梱）、vSphere Automation SDK for Python
• REST API：https://developer.broadcom.com/xapis — vSphere Automation API、VCF API
• CLI ツール：https://developer.broadcom.com/tools — PowerCLI 9.1、ESXCLI、OVF Tool

1. インベントリ

2. ヘルスと監視

監視対象のイベントタイプ：

3. VM 情報とスナップショット一覧（読み取り専用）

4. スケジュールスキャンと通知

5. 安全機能

意図的に含まれていないもの

このリポジトリには、次の操作は存在しません。

• ❌ VM の電源オン／オフ、リセット、一時停止
• ❌ VM の作成、削除、再構成
• ❌ スナップショットの作成、復元、削除
• ❌ VM のクローン作成または移行
• ❌ _double_confirm、_show_state_preview、_validate_vm_params

これらの操作には、完全版の VMware-AIops リポジトリを使用してください。

ローカルモデルや小規模モデルで実行していますか？skills/vmware-monitor/references/agent-guardrails.md をご覧ください。

よくあるワークフロー

日次ヘルスチェック

1. アラームを確認します：vmware-monitor health alarms --target prod-vcenter
2. 最近のイベントを確認します：vmware-monitor health events --hours 24 --severity warning
3. ホストを一覧表示します：vmware-monitor inventory hosts — 接続状態とメモリ使用量を確認します

特定のオブジェクトを調査する（詳細調査）

1 回の呼び出しで、オブジェクトと周辺のインフラストラクチャおよび最近の履歴を関連付けて確認できます。上記の ⚡ クイック調査レポート をご覧ください。

1. トリアージから開始します：vmware-monitor attention（すべての vCenter）または vmware-monitor summary（1 つ）
2. 検出された項目を詳しく調べます：vmware-monitor investigate vm <name>（または host／datastore）
3. --hours 72 でイベントの対象期間を広げ、--html で共有します（オフラインスナップショット）
4. 名前がわからない場合 → オブジェクトの一覧表示方法が説明されたエラーが表示されます（inventory vms/hosts、list_all_datastores）

継続的なモニタリングの設定

1. ~/.vmware-monitor/config.yaml で Webhook を設定します
2. デーモンを起動します：vmware-monitor daemon start
3. デーモンは 15 分ごとにスキャンし、Slack／Discord にアラートを送信します

トラブルシューティング

Alarms が空を返すのに、vCenter にはアラームが表示される

get_alarms ツールは、ルートフォルダー階層のトリガー済みアラームをクエリします。アラームによってはエンティティ固有のため、代わりにイベントを確認してください：vmware-monitor health events --hours 1 --severity info。

「Connection refused」エラー

1. vmware-monitor doctor を実行して診断します
2. config.yaml で対象のホスト名／IP アドレスとポート（443）を確認します
3. 自己署名証明書の場合：CA を信頼してください。verify_ssl: false の設定は、隔離されたラボホストでのみ使用してください

Events が多すぎる結果を返す

重大度フィルターを使用します：--severity warning（デフォルト）で情報レベルのイベントを除外できます。--hours 4 を使用して時間範囲を絞り込みます。

VM 情報に「guest_os: unknown」と表示される

ゲスト内に VMware Tools がインストールされていないか、実行されていません。ゲスト OS の検出、IP アドレス、ゲストファミリー情報を取得するには、VMware Tools をインストールして起動してください。

Doctor は成功するのに、コマンドがタイムアウトで失敗する

vCenter に高い負荷がかかっている可能性があります。vCenter ではなく、特定の ESXi ホストを直接対象にするか、config.yaml で接続タイムアウトを延長してください。

doctor が「no vSphere role」と報告する、またはすべてのコマンドが「session is not authenticated」で失敗する

アカウントはログインしますが、vSphere ロールが割り当てられていないため、vCenter はセッションを付与しません（AIops#47）。vCenter のルートフォルダーでロール（読み取り専用以上）を割り当ててください：Administration > Access Control > Global Permissions。パスワードを変更しても解決しません。vmware-monitor doctor はこのケースを名前で報告し、attention はその対象を未読としてカウントします（全体の状態は少なくとも WARN）。

対応 AI プラットフォーム

プラットフォームの比較

MCP サーバーの連携

vmware-monitor MCP サーバーは、MCP 互換のエージェントまたはツールならどれでも利用できます。すぐに使える設定テンプレートは examples/mcp-configs/ にあります。33 個のツールはすべて読み取り専用で、上記の許可リストゲートによって適用されます。

Xiaoguai (小怪) — 同じメンテナーが開発する、セルフホスト可能で監査を重視したエージェントプラットフォームです（Rust、単一バイナリ + 組み込み SQLite）。読み取り専用の vmware-monitor MCP サーバーをツールボックスの 1 つとして実行します。MCP のクライアントであると同時に MCP サーバーでもあるため、HMAC チェーン監査ログは、このスキルの読み取り専用設計と自然に組み合わさります。すべてのクエリが記録され、このコードには状態を変更するコードパスがありません。詳しくは MCP 連携ガイドをご覧ください。

完全なローカル運用（クラウド API は不要）：

# Aider + Ollama + vmware-monitor (via SKILL.md)
aider --conventions skills/vmware-monitor/SKILL.md --model ollama/qwen2.5-coder:32b

# Any MCP agent + local model + vmware-monitor MCP server
# See examples/mcp-configs/ for your agent's config format

インストール

ステップ 0：前提条件

# Python 3.10+ required
python3 --version

# Node.js 18+ required for Gemini CLI and Codex CLI
node --version

ステップ 1：クローンして Python バックエンドをインストール

git clone https://github.com/vmware-skills/VMware-Monitor.git
cd VMware-Monitor
python3 -m venv .venv
source .venv/bin/activate
pip install -e .

ステップ 2：設定

mkdir -p ~/.vmware-monitor
cp config.example.yaml ~/.vmware-monitor/config.yaml
# Edit config.yaml with your vCenter/ESXi targets

.env ファイルでパスワードを設定します（推奨）：

cp .env.example ~/.vmware-monitor/.env
chmod 600 ~/.vmware-monitor/.env
# Edit and fill in your passwords

セキュリティに関する注意：パスワードがシェルの履歴に残るのを避けるため、コマンドラインの export ではなく .env ファイルを使用してください。config.yaml に保存されるのはホスト名、ポート、.env ファイルへの参照のみで、パスワードやトークンは含まれません。すべてのシークレットは .env にのみ保存されます（chmod 600）。Webhook 通知はデフォルトで無効になっています。有効にした場合、ペイロードはユーザーが設定した URL にのみ送信され、設定から認証情報が含まれることはありません。ただし、vSphere 独自のアラーム、イベント、ログのテキストは含まれるため、ホスト名、IP アドレス、ユーザー名が含まれる場合があります。vCenter 組み込みの読み取り専用ロールを持つ専用サービスアカウントの使用をおすすめします。

パスワード環境変数の命名規則：

VMWARE_{TARGET_NAME_UPPER}_PASSWORD
# Replace hyphens with underscores, UPPERCASE
# Example: target "home-esxi" → VMWARE_HOME_ESXI_PASSWORD
# Example: target "prod-vcenter" → VMWARE_PROD_VCENTER_PASSWORD

ステップ 3：AI ツールを接続する

以下から 1 つ以上選択します：

オプション A：Claude Code

方法 1：Skills.sh または ClawHub（推奨）

どちらのインストーラーも、Claude Code のスキルディレクトリにスキルをインストールします：

npx skills add vmware-skills/VMware-Monitor
# or
clawhub install @zw008/vmware-monitor

方法 2：スキルを手動でインストールする

git clone https://github.com/vmware-skills/VMware-Monitor.git
cd VMware-Monitor

# Copy the skill into Claude Code's personal skills directory
mkdir -p ~/.claude/skills/vmware-monitor
cp -r skills/vmware-monitor/. ~/.claude/skills/vmware-monitor/

ツールにアクセスするには（スキルのコンテキストだけでなく）、MCP サーバーも登録してください：

claude mcp add vmware-monitor -- vmware-monitor mcp

Claude Code を再起動してから、以下を実行します：

> Show me all VMs on esxi-lab.example.com

オプション B：Gemini CLI

# Install Gemini CLI
npm install -g @google/gemini-cli

# Load the skill as project context (Gemini CLI reads GEMINI.md on startup)
cp skills/vmware-monitor/SKILL.md ./GEMINI.md

ツールにアクセスするには（コンテキストだけでなく）、MCP サーバーを ~/.gemini/settings.json に登録してください：

{
  "mcpServers": {
    "vmware-monitor": {
      "command": "vmware-monitor",
      "args": ["mcp"],
      "env": { "VMWARE_MONITOR_CONFIG": "~/.vmware-monitor/config.yaml" }
    }
  }
}

その後、Gemini CLI を起動します：

gemini
> Show me all VMs on my ESXi host

オプション C：OpenAI Codex CLI

# Install Codex CLI
npm i -g @openai/codex
# Or on macOS:
# brew install --cask codex

# Copy skill to Codex skills directory
mkdir -p ~/.codex/skills/vmware-monitor
cp skills/vmware-monitor/SKILL.md ~/.codex/skills/vmware-monitor/SKILL.md

# Copy AGENTS.md to project root
cp skills/vmware-monitor/SKILL.md ./AGENTS.md

その後、Codex CLI を起動します：

codex --enable skills
> List all VMs on my ESXi

オプション D：Aider（ローカルモデルに対応）

# Install Aider
pip install aider-chat

# Install Ollama for local models (optional)
# macOS:
brew install ollama
ollama pull qwen2.5-coder:32b

# Run with cloud API
aider --conventions skills/vmware-monitor/SKILL.md

# Or with local model via Ollama
aider --conventions skills/vmware-monitor/SKILL.md \
  --model ollama/qwen2.5-coder:32b

オプション E：Continue CLI（ローカルモデルに対応）

# Install Continue CLI
npm i -g @continuedev/cli

# Copy rules file
mkdir -p .continue/rules
cp skills/vmware-monitor/SKILL.md .continue/rules/vmware-monitor.md

ローカルモデル用に ~/.continue/config.yaml を設定します：

models:
  - name: local-coder
    provider: ollama
    model: qwen2.5-coder:32b

その後：

cn
> Check ESXi health and alarms

オプション F：Trae IDE

ルールファイルをプロジェクトの .trae/rules/ ディレクトリにコピーします：

mkdir -p .trae/rules
cp skills/vmware-monitor/SKILL.md .trae/rules/project_rules.md

Trae IDE の Builder Mode は、起動時に .trae/rules/ 内の Markdown ファイルを読み込みます。

注：Trae IDE に Claude Code 拡張機能をインストールして、.claude/skills/ 形式をそのまま使用することもできます。

オプション G：Kimi Code CLI

# Copy skill file to Kimi skills directory
mkdir -p ~/.kimi/skills/vmware-monitor
cp skills/vmware-monitor/SKILL.md ~/.kimi/skills/vmware-monitor/SKILL.md

オプション H：MCP サーバー（Glama／Claude Desktop）

MCP サーバーは、Model Context Protocol を介して、VMware の読み取り専用監視機能をツールとして提供します。MCP 対応クライアント（Claude Desktop、Cursor など）で使用できます。

uv tool install vmware-monitor の実行後、1 つのコマンドで MCP サーバーを起動できます（v1.5.15 以降）：

# Recommended — single command, no network re-resolve
vmware-monitor mcp

# With a custom config path
VMWARE_MONITOR_CONFIG=/path/to/config.yaml vmware-monitor mcp

Claude Desktop の設定（claude_desktop_config.json）：

{
  "mcpServers": {
    "vmware-monitor": {
      "command": "vmware-monitor",
      "args": ["mcp"],
      "env": {
        "VMWARE_MONITOR_CONFIG": "/path/to/config.yaml"
      }
    }
  }
}

# Run without installing (requires PyPI access each launch)
uvx --from vmware-monitor vmware-monitor mcp

# Legacy entry point (still works, kept for backward compatibility)
vmware-monitor-mcp

オプション I：スタンドアロン CLI（AI 不要）

# Already installed in Step 1
source .venv/bin/activate

vmware-monitor inventory vms --target home-esxi
vmware-monitor health alarms --target home-esxi
vmware-monitor vm info my-vm --target home-esxi

更新／アップグレード

インストール済みですか？ご利用のチャンネルのインストールコマンドを再実行すると、最新バージョンを取得できます：

現在のバージョンを確認するには：vmware-monitor --version

中国のクラウドモデル

中国のユーザーで、国内のクラウド API を利用したい場合や、海外サービスへのアクセスが制限されている場合に向けた情報です。

DeepSeek

export DEEPSEEK_API_KEY="your-key"
aider --conventions skills/vmware-monitor/SKILL.md \
  --model deepseek/deepseek-coder

Qwen（Alibaba Cloud）

export DASHSCOPE_API_KEY="your-key"
aider --conventions skills/vmware-monitor/SKILL.md \
  --model qwen/qwen-coder-plus

ローカルモデル（Aider + Ollama）

完全なオフライン運用が可能です。クラウド API もインターネット接続も不要で、プライバシーを完全に保護できます。

brew install ollama
ollama pull qwen2.5-coder:32b
ollama serve

aider --conventions skills/vmware-monitor/SKILL.md \
  --model ollama/qwen2.5-coder:32b

CLI リファレンス

# Diagnostics
vmware-monitor doctor                   # Check environment, config, connectivity
vmware-monitor doctor --skip-auth       # Skip vSphere auth check (faster)
vmware-monitor access-info [--tool <mcp-tool>] [--target <name>]  # Account in use + privileges per tool

# MCP Config Generator
vmware-monitor mcp-config generate --agent goose        # Generate config for Goose
vmware-monitor mcp-config generate --agent claude-code  # Generate config for Claude Code
vmware-monitor mcp-config list                          # List all supported agents

# Inventory
vmware-monitor inventory vms [--target <name>]
vmware-monitor inventory vms --limit 10 --sort-by memory_mb   # Top 10 VMs by memory
vmware-monitor inventory vms --power-state poweredOn           # Only powered-on VMs
vmware-monitor inventory vms --sort-by folder_path             # Group VMs by inventory folder
# All `inventory vms` results include a `folder_path` field (e.g. `/Datacenters/Production/Web Tier`).
# MCP tool `list_virtual_machines` additionally supports `folder_filter="Production"` for case-insensitive folder-tree search.
vmware-monitor inventory hosts [--target <name>]
vmware-monitor inventory datastores [--target <name>]
vmware-monitor inventory clusters [--target <name>]

# Health
vmware-monitor health alarms [--target <name>]
vmware-monitor health events [--hours 24] [--severity warning]

# VM Info (read-only)
vmware-monitor vm info <vm-name>
vmware-monitor vm snapshot-list <vm-name>

# Scanning & Daemon
vmware-monitor scan now [--target <name>]
vmware-monitor daemon start
vmware-monitor daemon stop
vmware-monitor daemon status

設定

すべてのオプションについては、config.example.yaml を参照してください。

プロジェクト構成

VMware-Monitor/
├── skills/                        # Skills index (npx skills add)
│   └── vmware-monitor/
│       ├── SKILL.md
│       └── references/            # Detailed docs loaded on-demand
├── vmware_monitor/                # Python backend (read-only only)
│   ├── config.py                  # YAML + .env config
│   ├── connection.py              # Multi-target pyVmomi
│   ├── cli.py                     # Typer CLI (read-only commands only)
│   ├── ops/
│   │   ├── inventory.py           # VMs, hosts, datastores, clusters
│   │   ├── health.py              # Alarms, events, sensors
│   │   └── vm_info.py                 # VM info, snapshot list (read-only)
│   ├── scanner/                   # Log scanning daemon
│   ├── notify/                    # Notifications (JSONL + webhook)
│   └── mcp_server/                # MCP server (read-only tools only)
├── examples/mcp-configs/          # MCP client config templates
├── tests/                         # Test suite
├── smithery.yaml                  # Smithery marketplace config
├── RELEASE_NOTES.md
├── config.example.yaml
└── pyproject.toml

関連プロジェクト

トラブルシューティングとコントリビューション

エラーや問題が発生した場合は、エラーメッセージ、ログ、またはスクリーンショットを [email protected] までお送りください。コントリビューションを歓迎します！

リモートアクセス（HTTPS）とツールの制限

デフォルトでは、vmware-monitor mcp は stdio で 1 つのローカルクライアントと通信し、すべてのツールを提供します。次の 2 つのオプションで変更できます （vmware-policy ≥ 1.21.0）。

HTTPS で提供すると、ほかのマシン上のクライアントが接続できます。すべての呼び出し元にベアラートークンが必要です。

vmware-audit token create alice          # prints the token once; give it to alice
vmware-audit token list                  # names only
vmware-audit token revoke alice          # refused from its next request, no restart
vmware-monitor mcp --transport https --host 0.0.0.0 --port 8443 \
    --cert /etc/vmware-mcp/server.pem --key /etc/vmware-mcp/server-key.pem \
    --public-name mcp.example.com

クライアントを接続します（ここでは Claude Code を使用しています。ストリーム可能な HTTP とカスタムヘッダーに対応する MCP クライアントであれば、どれでも使用できます）。

claude mcp add --transport http vmware-monitor https://mcp.example.com:8443/mcp \
    --header "Authorization: Bearer $VMWARE_MCP_TOKEN"

{
  "mcpServers": {
    "vmware-monitor": {
      "type": "http",
      "url": "https://mcp.example.com:8443/mcp",
      "headers": { "Authorization": "Bearer ${VMWARE_MCP_TOKEN}" }
    }
  }
}

• トークンがないとサーバーは起動せず、--public-name で指定した値以外の Host／Origin は拒否されます。また、バインド前に、認証されていないリクエストが 401 を返すことを確認します。クライアントがこれらの名前を信頼できる証明書を使用してください。
• 同じマシン上の TLS 終端リバースプロキシの背後に配置する場合は、--transport http --host 127.0.0.1 --public-name mcp.example.com を使用し、Authorization ヘッダーを転送してください。
• 別のマシン上のロードバランサーまたはゲートウェイの背後に配置する場合は、--transport https のままにします（自己署名証明書でもかまいません）。ロードバランサーが Host として送信するホスト名を --public-name に指定し、Authorization を転送するように設定してください。 ヘルスプローブには、トークン不要で {"status": "ok"} のみを返す GET /healthz を使用できます （vmware-policy ≥ 1.23.0）。
• 各リクエストに traceparent または X-Request-ID を指定すると、監査ログの行に保存されます。その後、vmware-audit log --correlation-id ID で 1 つのプラットフォームリクエストに関係する呼び出しを検索できます。
• 監査ログでは、呼び出し元ごとに token:<name> と記録されます。呼び出しは並行して実行され、ターゲットごとに最大 VMWARE_MCP_POOL_SIZE 個（デフォルトは 2）のセッションを使用します。各セッションはターゲットへのログインであり、呼び出しはセッションが空くまで最大 300 秒待機します。
• エンドポイントにアクセスできる人は誰でも、このサーバーのアカウントを使って操作できます。 トークンは呼び出し元を識別しますが、プラットフォーム上の権限を付与するものではありません。権限レベルごとにエンドポイントを 1 つ実行してください。
• 1 つのエンドポイントで複数のユーザーやロールを使う場合： vmware-audit roles enable を 1 回実行し、各トークンにロールを割り当てます（vmware-audit token create NAME --role reader、またはツールとターゲットを指定した roles.yaml 内のロールを使用します。vmware-policy ≥ 1.24.0）。ロールによって、このエンドポイントでトークンが呼び出せるものを制限できますが、アカウントが持つ権限を超える権限は付与できません。vmware-policy の README の「ネットワーク経由の呼び出し元のロール」を参照してください。

ツールの制限： このサーバーのすべてのツールは読み取り専用のため、--expose read を指定してもここでは何も変わりません。このオプションは書き込み可能なスキルのためにあります。最小権限は、サーバーが使用するアカウントによって決まります。

詳細については、skills/vmware-monitor/references/setup-guide.md（「MCP を HTTPS で提供する」、「提供するツールの制限」）を参照してください。

ライセンス

MIT