Codex×ロリポップのWindows Credential Manager問題を調べてみた

先日、ロリポップ！公式の「AIエージェント Skills」を使って、Windows版CodexからロリポップへSSH接続を試しました。

そのときの様子はこちらの記事に書いています。

そのとき、Windows Credential ManagerへのSSHパスワード保存がうまくいっていないような感じに見えました。

そこで改めて原因を調べてみました。

ロリポップにも問い合わせた

ロリポップのサポートにも、今回の認証方法について問い合わせてみました。

Windows＋Codexで、SSHパスワードをWindows Credential Managerに保存して再利用する流れは、公開されているskill.mdの手順どおり
Skillはパスワード認証でのSSH接続を前提としている
Windows向けに別途推奨している認証方法はない
Codexでの動作はロリポップ側では確認しておらず、現時点で案内できる既知の注意点や制限もない
scpでアップロードする方法でも問題なく、認証方法や使用するAIツールはユーザー側で選んでよい

という回答でした。

つまり、Credential Managerを使うこと自体は公式Skillの想定どおりのようです。

まず、私のWindows PCでWindows Credential Managerが正常に動くか確認しました。

Windows PowerShellでテスト用の資格情報を保存、上書き、確認、削除してみましたが、すべて正常でした。

さらに、ロリポップのSSH接続情報を保存するための『lolipop-ssh』という資格情報も登録されていました。

Windows Credential Managerに保存されているパスワードを、そのまま使ってロリポップへSSH接続してみたところ、接続にも成功。

つまり、「Credential Managerへのパスワード保存が失敗していた」というわけではありませんでした。

次にCodex側を調べました。

すると、Codexは私が普段使っているWindowsユーザーではなく、「CodexSandboxOnline」という別のWindowsユーザーとして動いていました。

通常のPowerShellでは、「cmdkey /list:lolipop-ssh」を実行すると資格情報を確認できます。

ところがCodexから同じコマンドを実行すると、「NONE」となり、資格情報が見えませんでした。

つまり、次のような状態になっていました。

同じPC上で動いていても、Windows Credential Managerの資格情報の見え方は同じではありませんでした。

もうひとつ分かったことがあります。

CodexのPowerShell環境では、CredentialManagerモジュール自体はインストールされていました。

ただし、公式Skillに書かれている「Get-StoredCredential」をそのまま実行すると認識されず、私の環境では先にCredentialManagerモジュールを明示的に読み込む必要がありました。

とはいえ、モジュールを読み込んでも、CodexSandboxOnlineユーザーから『lolipop-ssh』が見えるようになるわけではありません。

今回の問題では、それ以上に「Codexが別ユーザーとして動いていること」のほうが大きなポイントでした。

今回の検証で、Credential Managerそのものに問題があるわけではないことは分かりました。

当面は、Codexでファイルを作り、ファイル転送ソフトなどを使い手動でアップロードする方法でやっていこうと思っています。

Codexからロリポップへのアップロードを自動化する方法については、Credential Manager以外の認証方法も含めて、また必要になったときに検討してみたいです。

最初は、Windows Credential ManagerへのSSHパスワード保存がうまくいっていないのではないかと疑っていました。

しかし実際に確認してみると、Credential Managerは正常で、保存されていたパスワードを使ったSSH接続にも成功しました。

一方、Codexは「CodexSandboxOnline」という別のWindowsユーザーとして動いており、通常ユーザー側に保存された「lolipop-ssh」がCodexから見えませんでした。

セットアップのとき「なぜCredential Managerに保存したSSH情報をうまく再利用できないのか」がよく分からなかったのですが、今回の検証でだいぶ整理できました。