OpenAI Codexのセルフホスト型サンドボックスは、モデルを自社サーバーで動かす仕組みではありません。OpenAI側でagent harnessが処理を調整し、利用者側の環境でexecutorがコードを実行します。今週は、実行環境をユーザーや作業単位で分け、executor用の環境キーを独立させ、アプリケーションAPIキーを実行環境の外に置くところから始めてください。Codex CLIを遠隔Linux上で直接動かしたいだけなら、別の運用として整理します。
この記事は、実行環境を遠隔サーバーに置こうとしているAIアプリ開発者、小規模チーム、技術担当者向けです。コードや内部ツールをどこまで渡すか、環境をどうつなぐか、運用開始前に何を確かめるかを順に確認します。
最終更新：2026年11月2日。構成と接続の記述はOpenAIのセルフホスト環境の公式手順および関連する公式ガイドで確認しています。
導入前に決める実行範囲
セルフホストする対象は、エージェントの実行環境です。公式のAgents APIアーキテクチャ説明では、agent harnessが処理を進め、ユーザー環境のexecutorが作業領域でコマンドを実行する構成が示されています。モデル推論まで自社サーバーに移す構成ではありません。
もう一つ区別したいのが、Agents APIの自托管環境と、遠隔Linuxホスト上でCodex CLIを直接使う方法です。前者は外部のagent harnessからexecutorをつなぐ構成です。後者はCLIを実行するホストを遠隔に置く運用であり、同じ接続手順や権限モデルとして扱わないでください。
まず、実行環境に入れる対象を決めます。リポジトリ、依存ライブラリ、ビルド成果物、ローカルMCPサービスのうち、どれが必要かを分けます。チームやユーザーが異なるのに作業領域や認証情報を共有すると、あるタスクから別のタスクのファイルや資源へアクセスできる設計になり得ます。公式の環境セキュリティ説明も、共有環境ではファイル、認証情報、資源へのアクセス範囲を慎重に扱うよう案内しています。
| 実行場所 | 向いているケース | 先に確認する境界 |
|---|---|---|
| 開発用ノートPC | 小規模な検証、手元での試行 | 個人ファイルや開発用認証情報を作業領域から分けられるか |
| コンテナ | 依存関係や作業領域を分離したい場合 | ホスト側のディレクトリ、ソケット、秘密情報を不用意に共有していないか |
| 遠隔サーバー上の実行環境 | 継続稼働やチーム共用が必要な場合 | 利用者ごとの分離、更新、ログ確認、環境の廃棄を誰が担うか |
比較の軸は「どの場所が安全か」だけではありません。実行環境に何を見せるのか、実行後に誰が変更を確認するのか、環境をどう初期状態へ戻すのかまで決めます。OpenAIのCodex安全運用の考え方でも、サンドボックス、承認、監査を合わせて考える方針が紹介されています。
環境とexecutorの準備
環境を選んだら、公式の設定ガイドとセルフホスト手順を開き、現在のexecutor導入方法、必要な設定値、対応バージョンを確認します。コマンドや環境変数を古い記事から転記せず、利用するAPIと対象環境に合った内容をその都度採用してください。
作業ディレクトリも先に用意します。ソースコード、依存関係のキャッシュ、生成物、ログの保存先を区別し、必要な範囲だけexecutorに見せます。ファイルの入出力や生成物の扱いは、公式のファイルと成果物の説明に沿って確認します。成果物を永続保存する必要がある場合は、その保存先が実行領域とは別に保護されているかも検討します。
executorがコマンドを実行できることは、すべてのコマンドを無条件に許可する理由にはなりません。破壊的な変更、外部送信、秘密情報に触れる操作には、実行前の承認や人による確認を組み込みます。
出向き接続とキーの分離
公式手順では、セルフホスト環境から出向きのWebSocket接続を使います。接続先や登録手順は変更され得るため、現在の接続フローを読み、記載された設定をそのまま確認してください。入向きポートが必要だと独自に決めつけず、実際の通信要件が分かるまでファイアウォールの範囲を広げないことが重要です。
環境キーとアプリケーションAPIキーも別々に管理します。executorの登録・接続に使うキーは、実行環境専用として権限を絞ります。外部サービスにアクセスするアプリケーションキーは、可能な限りサンドボックスの外に置き、コード、イメージ、ログに含めません。キーの発行・失効・交換を担当する人と手順も、実行環境の設定とは別に記録してください。
起動後の確認と継続運用
導入後は、接続できたかどうかだけで完了にしません。最初は秘密情報を含まない検証用リポジトリを使い、読み取り、書き込み、コマンド実行、ネットワーク制限、切断後の再接続を順番に確かめます。接続イベントの状態は公式の環境ライフサイクル説明に照らし、失敗時は環境の登録状態、executorのログ、設定値を分けて調べます。
本番のコードを渡す前に、次の項目を実行可能な状態にしてください。
- [ ] 利用者やワークロードごとに、作業領域と認証情報の共有範囲を決めた
- [ ] executor専用の環境キーを用意し、アプリケーションAPIキーを環境外に保管した
- [ ] 接続先と通信方法を最新の公式手順で確認し、不要な入向き許可を作っていない
- [ ] 秘密情報のないリポジトリで、読み書きと必要なコマンドを確認した
- [ ] ネットワーク制限、切断時の動作、ログの確認方法を記録した
- [ ] 依存関係の更新、キー交換、権限の見直し、不要環境の廃棄を担当者と結び付けた
遠隔環境の資源は、リポジトリの規模、依存関係の構築、並列に動かす作業、ログ保存方針を見て決めます。根拠のない最低構成や処理性能を先に置くのではなく、実際のワークロードでCPU、メモリ、ディスク使用量を観測し、余裕が必要な箇所を特定してください。実行環境の起動に成功しても、コード実行に伴うリスクがなくなるわけではありません。
よくある確認事項
セルフホスト型サンドボックスと、遠隔Linux上でCodex CLIを動かす方法は同じですか？
同じではありません。Agents APIのセルフホスト型環境では、OpenAI側のagent harnessが処理を調整し、利用者側の環境でexecutorがコマンド実行や作業領域へのアクセスを担います。遠隔ホスト上でCodex CLIを直接使う運用は別の構成です。認証方法や接続方式を混同せず、目的に合う公式手順を選んでください。
Codex exec-serverはコンテナと遠隔サーバーのどちらで動かすべきですか？
選択は隔離要件と運用体制で決めます。コンテナは依存関係や作業領域を分けやすい一方、ホストとの共有設定を誤ると分離が弱まります。遠隔サーバーは継続稼働やチーム管理に向きますが、ユーザーごとの境界、ログ、更新、廃棄まで設計が必要です。まず無害な検証用リポジトリで確認してください。
Codexのセルフホスト環境では、どの出向き接続を許可すればよいですか？
必要な接続先は、導入時点の自托管環境の公式手順で確認してください。公式構成ではexecutorが出向きのWebSocket接続を使いますが、接続先や設定値を過去の例から推測して固定するべきではありません。新たに受け入れ用ポートを開ける前に、実際の登録手順と接続状態を確認し、許可先を最小限にします。
環境キーとアプリケーションAPIキーは、どう分けて管理しますか？
executorの接続に使う環境キーは、アプリケーションが外部サービスを利用するためのAPIキーと別に扱います。executor専用の制限されたキーを発行し、アプリケーションキーは実行環境の外に保管してください。コード、コンテナイメージ、ログへ秘密情報を埋め込まず、漏えい時の失効と交換方法も事前に決めておきます。
遠隔実行環境を長期運用する場合
共有VPSやクラウドの仮想マシンは、小さく始めたい場合や負荷の変動に応じて構成を調整したい場合に候補になります。一方、共有環境ではCPU資源の競合が起きる可能性があり、従量課金や転送量の条件によっては長期費用を読みづらくなります。負荷が軽い検証だけなら、専用の物理サーバーを借りる必要はありません。
コード実行を継続し、環境の分離やサーバー管理を自社で行う必要があるなら、共有環境との違いを踏まえて独占利用のAMD物理サーバーも比較対象になります。NodeKVMのサーバー構成と料金で、利用可能な環境や費用を現行情報に照らして確認し、Codexとの適合性は実際の導入手順とテストで判断してください。稼働中のコード、資格情報、ログの扱いは、あわせてプライバシーに関する案内も確認したうえで運用設計に反映します。
よくある質問
-
Q
セルフホスト型サンドボックスと、遠隔Linux上でCodex CLIを動かす方法は同じですか？
同じではありません。Agents APIのセルフホスト型環境では、OpenAI側のagent harnessが処理を調整し、利用者側の環境でexecutorがコマンド実行や作業領域へのアクセスを担います。遠隔ホスト上でCodex CLIを直接使う運用は別の構成です。認証方法や接続方式を混同せず、目的に合う公式手順を選んでください。
-
Q
Codex exec-serverはコンテナと遠隔サーバーのどちらで動かすべきですか？
選択は隔離要件と運用体制で決めます。コンテナは依存関係や作業領域を分けやすい一方、ホストとの共有設定を誤ると分離が弱まります。遠隔サーバーは継続稼働やチーム管理に向きますが、ユーザーごとの境界、ログ、更新、廃棄まで設計が必要です。まず無害な検証用リポジトリで確認してください。
-
Q
Codexのセルフホスト環境では、どの出向き接続を許可すればよいですか？
必要な接続先は、導入時点の自托管環境の公式手順で確認してください。公式構成ではexecutorが出向きのWebSocket接続を使いますが、接続先や設定値を過去の例から推測して固定するべきではありません。新たに受け入れ用ポートを開ける前に、実際の登録手順と接続状態を確認し、許可先を最小限にします。
-
Q
環境キーとアプリケーションAPIキーは、どう分けて管理しますか？
executorの接続に使う環境キーは、アプリケーションが外部サービスを利用するためのAPIキーと別に扱います。executor専用の制限されたキーを発行し、アプリケーションキーは実行環境の外に保管してください。コード、コンテナイメージ、ログへ秘密情報を埋め込まず、漏えい時の失効と交換方法も事前に決めておきます。