クラウド上のMacにリモートでアクセスする際、パスワードだけに頼るのは危険です。本記事では、SSH鍵（公開鍵認証）と二要素認証（2FA）を組み合わせて、リモートMacアクセスを企業級のセキュリティで守る手順と、VNCMacのような物理Macレンタル環境での実践方法をご説明します。
なぜリモートMacにSSH鍵と2FAが必要か
リモート開発やクラウドMacを利用する場合、SSHは接続の入口となります。パスワード認証だけでは、ブルートフォース攻撃や漏洩のリスクがあります。SSH鍵（公開鍵認証）にすると「鍵を持っている人だけがログインできる」状態になり、さらに2FAを有効にすれば「知識（パスワードや鍵）と所持（スマホやセキュリティキー）」の二要素が揃わないとアクセスできません。企業やチームで共有Macを使う場合でも、個人の鍵と2FAで責任の所在が明確になります。
事前に必要な環境
ローカル側には、ターミナル（macOS標準のターミナルやiTerm2など）と、必要に応じてOpenSSH 8.2以降（FIDO2セキュリティキーを使う場合）が必要です。リモート側のMacでは、リモートログイン（SSH）が有効である必要があります。VNCMacのMacインスタンスでは、初期状態でSSHが利用可能になる案内がありますので、その手順に従ってください。2FAを利用する場合は、事前にApple IDやTOTPアプリ（Google Authenticatorなど）の設定を済ませておくことをおすすめします。
【操作方法】SSH鍵でリモートMacに安全に接続する手順
以下、初めてSSH鍵を設定する方向けに、接続までの流れをステップで説明します。
1 SSH鍵を生成する
ローカルのターミナルで、次のコマンドを実行してEd25519形式の鍵ペアを生成します。RSAより強固で鍵長も短いため、Ed25519を推奨します。
ssh-keygen -t ed25519 -C "[email protected]" -f ~/.ssh/id_ed25519_vncmac
プロンプトが表示されたら、パスフレーズを設定してください。パスフレーズを付けると、鍵ファイルが漏れても第三者が使えにくくなります。Macではssh-add --apple-use-keychainでキーチェーンに登録すると、毎回入力せずに済みます。
2 リモートMacに公開鍵を登録する
生成された~/.ssh/id_ed25519_vncmac.pubの内容を、リモートMacの~/.ssh/authorized_keysに1行として追加します。VNCMacの場合は、まずVNCで一度ログインし、ターミナルで次のように実行します。
mkdir -p ~/.ssh echo "ここに公開鍵の内容を貼り付け" >> ~/.ssh/authorized_keys chmod 700 ~/.ssh chmod 600 ~/.ssh/authorized_keys
複数端末から接続する場合は、それぞれの公開鍵をauthorized_keysに1行ずつ追加してください。
3 SSHの設定ファイル（config）を編集する
ローカルで~/.ssh/configを編集し、接続先と使用する鍵を指定します。
Host vncmac-secure
HostName リモートMacのIPまたはホスト名
User ユーザー名
Port 22
IdentityFile ~/.ssh/id_ed25519_vncmac
HostNameとUserは、VNCMacの案内に記載された接続先とユーザー名に置き換えてください。これでssh vncmac-secureと入力するだけで、指定した鍵で接続できます。
4 2FA（二要素認証）を有効にする
リモートMacがmacOSの場合、システム環境設定の「Apple ID」で二要素認証を有効にしておくと、ログイン時や重要な操作時に確認が求められます。あわせて、リモートMac側でパスワード認証を無効化し、公開鍵認証のみにすると安全性が高まります。リモートMacで次のように設定します（管理者権限が必要です）。
# /etc/ssh/sshd_config を編集 PasswordAuthentication no PubkeyAuthentication yes # 編集後、macOSでは sshd を再起動（例：sudo launchctl kickstart -k system/com.openssh.sshd）
これにより、鍵を持たない第三者はログインできなくなります。
使用シーン：VNCMacでSSH鍵＋2FAを活用する利点
VNCMacは仮想化ではない物理Macを提供しているため、本物のmacOS上でSSHサービスが安定して動作します。次のような方に特におすすめです。
- チームで1台のクラウドMacを共有し、各自がSSH鍵で接続して開発・ビルドしたい方
- VS CodeのRemote-SSHやCI/CDから同じMacにアクセスするが、認証を厳格にしたい方
- コードや証明書が置かれるリモートMacのアクセスログと責任を明確にしたい方
セキュリティのベストプラクティス
企業級の運用では、次の点を守ることをおすすめします。
- 秘密鍵はローカルのみに置く：
IdentityFileで指定した秘密鍵は、手元のPCだけに保存し、クラウドや共有ストレージに置かないでください。 - パスワード認証は無効化する：
PasswordAuthentication noとPermitRootLogin no（rootでログインしない場合）に設定し、sshdを再起動します。 - 必要ならファイアウォールでポート制限する：信頼できるIPからのみ22番ポートにアクセスできるようにすると、さらに安心です。
- FIDO2セキュリティキー（オプション）：OpenSSH 8.2以降では、YubiKeyなどの
ed25519-sk／ecdsa-sk鍵を使うと、鍵＋タッチ認証の二要素が実現できます。macOSではHomebrewで最新のOpenSSHを入れる必要があります。
「リモートMacへのアクセスは、SSH鍵と2FAで守る。鍵がないと入れず、あっても二要素が揃わないと重要な操作はできない。これが企業級の安心につながる。」 — セキュリティ担当者の声
まとめ
リモートMacアクセスを企業級のセキュリティで守るには、SSH鍵（公開鍵認証）の導入と、パスワード認証の無効化、そして2FAの有効化が有効です。手順としては、ローカルでEd25519鍵を生成し、リモートMacの~/.ssh/authorized_keysに公開鍵を登録、~/.ssh/configで接続先と鍵を指定し、最後にsshdでパスワード認証を無効にすることで、鍵を持たない第三者のログインを防げます。VNCMacの物理Macなら、VNCでデスクトップを確認しつつ、同じマシンにSSH鍵と2FAで安全に接続する運用が可能です。リモート開発環境のセキュリティを高めたい方は、上記の手順を参考に、まずは1台から導入してみることをおすすめします。