エージェント型AIポリシーのワークロード削減

Keeperエンドポイント特権マネージャー (EPM) は、エンドポイントごとに評価されるワークロード数で課金されます。エージェントに到達するプロセス起動、ファイルアクセス、昇格リクエスト、バックグラウンドチェックはすべてワークロードとして計上されるため、過剰な活動の多いアプリケーションが動くエンドポイントは、同じポリシーでも活動の少ないソフトウェア環境より多くのワークロードを消費します。

ポリシーの適用範囲を弱めずにワークロード消費を抑えるうえで最も効果的なのは、アプリケーション自身の活動を抑えることです。開発ツール、生産性ツール、バックグラウンドツールの多くは、必要以上にファイルシステムをポーリングしたり、キャッシュを更新したり、定期的なハウスキーピングを実行したりします。各アプリケーション自身の設定を調整して不要な活動を減らすと、EPMの評価に到達する前の発生源でワークロードを削減できます。

以下は、既定の動作がノイズとして知られる特定アプリケーションを対象に、管理対象フリート全体へ設定変更を一元配信してワークロード負荷を下げる推奨手順です。

推奨: `JobUpdate` ポリシーでCursorのポーリング設定を配信する (macOS)

症状

Cursor IDE (および同様のGit/検索機構を共有するVS Code) が動作するmacOSエンドポイントでは、ユーザーがアイドルでも git と rg (ripgrep) のプロセス起動が連続して発生します。EPMシステム拡張が動作するホストでは、これらのプロセス生成のたびにポリシー評価が介入し、以下のような影響が出ます。

エンドポイントあたりのワークロード数 (および課金使用量) が増加する
エンドポイント上でCPUとディスク負荷が持続する
監査およびポリシーパイプラインが価値の低いプロセス実行イベントで埋まる
負荷が高いと KEEPER_POLICY_EXEC_TIMEOUT によるfail-open動作の一因になり得る

原因

Cursorの既定は、小規模リポジトリでの対話応答性向けに最適化されており、管理対象エンドポイントでの静かな運用向けではありません。初期状態のCursorは以下を行います。

短い間隔 (既定ではおおよそ1秒ごと) でGitのauto-fetchとauto-refreshを実行する
リポジトリを自動検出し、ワークスペース内の .git ディレクトリを再帰的にスキャンする
グローバル検索とQuick Openに ripgrep を使い、除外しない限りワークスペース全体を走査する
ファイルシステムウォッチャーでワークスペース全体を監視する (node_modules、ビルド出力、.git 内部を含む)

各 git / rg 呼び出しは個別のプロセス起動であり、EPMシステム拡張がポリシーに照らして評価する必要があります。大規模リポジトリやモノレポでは、この活動は実質的に連続します。

対処: `JobUpdate` ポリシーですべてのユーザーに静かな設定を配信する

開発者ごとに settings.json を手編集してもらう代わりに、管理対象macOSエンドポイントへスケジュールジョブをインストールする単一の JobUpdate ポリシーをデプロイします。ジョブはEPMサービス (root) として実行され、/Users 配下の各ユーザーホームを列挙し、推奨設定を各ユーザーの ~/Library/Application Support/Cursor/User/settings.json に書き込みます。

ジョブが適用する設定は以下のとおりです。

{
  "git.autofetch": false,
  "git.autorefresh": false,
  "git.autoRepositoryDetection": false,
  "git.repositoryScanMaxDepth": 0,
  "search.useIgnoreFiles": true,
  "search.useGlobalIgnoreFiles": true,
  "search.useParentIgnoreFiles": true,
  "search.followSymlinks": false,
  "search.exclude": {
    "**/node_modules": true,
    "**/dist": true,
    "**/build": true,
    "**/.git": true
  },
  "files.watcherExclude": {
    "**/node_modules/**": true,
    "**/.git/objects/**": true,
    "**/.git/subtree-cache/**": true,
    "**/dist/**": true,
    "**/build/**": true
  }
}

ワークロード量への効果は以下のとおりです。

Git: auto-fetch、auto-refresh、リポジトリ自動検出なし。リポジトリスキャン深度は 0 で、再帰的なワークスペーススキャンなし。1秒ごとの安定した git 呼び出しベースラインを解消します。
検索 (ripgrep): 各階層の .gitignore を尊重し、シンボリックリンクを辿らず、node_modules、dist、build、.git をスキップします。グローバル検索とQuick Openがこれらの重いディレクトリを走査しなくなります。
ファイルウォッチャー: 同じディレクトリをワークスペースウォッチャーから除外し、ビルドツールや git が書き込むたびに再インデックスが続くのを防ぎます。

ポリシーJSON

以下は、管理コンソールに貼り付けるポリシーJSONです。外側のフィールドがスコープとインストールのトリガーを定義し、内側の Extension.JobJson がジョブ定義です。ConfigurationPolicyProcessor は Extension.JobJson を読み取り、許可された SaveJobToDiskAndLkg パス経由で保存し、ディスクとLast Known Goodの両方を更新します。そのためLKGウォッチャーによる巻き戻しは起きません。

{
  "PolicyName": "Configure Cursor git/ripgrep polling (JobUpdate)",
  "PolicyType": "JobUpdate",
  "PolicyId": "configure-cursor-polling-policy",
  "Status": "enforce",
  "Actions": {
    "OnSuccess": { "Controls": [] },
    "OnFailure": { "Command": "" }
  },
  "NotificationMessage": "A policy has been set to monitor mode.  When this policy is enabled, [mfa, justification, request] will be required to run this process as an administrator.",
  "NotificationRequiresAcknowledge": false,
  "RiskLevel": 50,
  "Operator": "And",
  "Rules": [
    { "RuleName": "UserCheck",        "ErrorMessage": "This user is not included in this policy",        "RuleExpressionType": "BuiltInAction", "Expression": "CheckUser()" },
    { "RuleName": "MachineCheck",     "ErrorMessage": "This Machine is not included in this policy",     "RuleExpressionType": "BuiltInAction", "Expression": "CheckMachine()" },
    { "RuleName": "ApplicationCheck", "ErrorMessage": "This application is not included in this policy", "RuleExpressionType": "BuiltInAction", "Expression": "CheckFile(false)" },
    { "RuleName": "DateCheck",        "ErrorMessage": "Current date is not covered by this policy",      "RuleExpressionType": "BuiltInAction", "Expression": "CheckDate()" },
    { "RuleName": "TimeCheck",        "ErrorMessage": "Current time is not covered by this policy",      "RuleExpressionType": "BuiltInAction", "Expression": "CheckTime()" },
    { "RuleName": "DayCheck",         "ErrorMessage": "Today is not included in this policy",            "RuleExpressionType": "BuiltInAction", "Expression": "CheckDay()" },
    { "RuleName": "CertificateCheck", "ErrorMessage": "Certificate hash is not included in this policy", "RuleExpressionType": "BuiltInAction", "Expression": "CheckCertificate()" }
  ],
  "UserCheck": [ "*" ],
  "MachineCheck": [ "O_w7iACgy53mAwPlniSz4w" ],
  "ApplicationCheck": [ "*" ],
  "DayCheck": [],
  "DateCheck": [],
  "TimeCheck": [],
  "CertificationCheck": [],
  "Extension": {
    "JobId": "configure-cursor-polling",
    "Action": "Add",
    "JobJson": {
      "id": "configure-cursor-polling",
      "name": "Configure Cursor git/ripgrep polling",
      "description": "Writes recommended git/search settings into each user Cursor settings.json via bash (self-contained, no external script)",
      "enabled": true,
      "asUser": false,
      "priority": 5,
      "events": [
        { "eventType": "Custom", "customEvent": "PolicyPreprocessingCompleted" }
      ],
      "schedule": { "intervalMinutes": 30 },
      "parameters": [],
      "tasks": [
        {
          "id": "run-config",
          "name": "Apply Cursor polling settings",
          "command": "/bin/bash",
          "arguments": "-c \"for d in /Users/*/;do [ Shared = $(basename $d) ]&&continue;mkdir -p $d/Library/Application\\ Support/Cursor/User;echo '{\\\"git.autofetch\\\":false,\\\"git.autorefresh\\\":false,\\\"git.autoRepositoryDetection\\\":false,\\\"git.repositoryScanMaxDepth\\\":0,\\\"search.useIgnoreFiles\\\":true,\\\"search.useGlobalIgnoreFiles\\\":true,\\\"search.useParentIgnoreFiles\\\":true,\\\"search.followSymlinks\\\":false,\\\"search.exclude\\\":{\\\"**/node_modules\\\":true,\\\"**/dist\\\":true,\\\"**/build\\\":true,\\\"**/.git\\\":true},\\\"files.watcherExclude\\\":{\\\"**/node_modules/**\\\":true,\\\"**/.git/objects/**\\\":true,\\\"**/.git/subtree-cache/**\\\":true,\\\"**/dist/**\\\":true,\\\"**/build/**\\\":true}}' > $d/Library/Application\\ Support/Cursor/User/settings.json;done\"",
          "executionType": "Service",
          "expectedExitCode": 0,
          "timeoutSeconds": 60,
          "scriptType": "Auto"
        }
      ],
      "mqttTopics": {
        "allowedPublications": [ "KeeperLogger" ],
        "allowedSubscriptions": []
      },
      "osFilter": { "windows": false, "linux": false, "macOS": true }
    }
  }
}

デプロイ前に確認すべき主なフィールドは以下のとおりです。

PolicyType: "JobUpdate": ジョブインストール用ポリシーです。ConfigurationPolicyProcessor が Extension を読み取り、ジョブをインストールします。
Extension.Action: "Add": ジョブをインストールまたは更新します ("Add" はupsert。アンインストールは "Remove")。
Extension.JobId: JobJson.id (configure-cursor-polling) と一致させる必要があります。
Status: 有効化は "enforce"。"monitor" はログのみです。
MachineCheck: O_w7iACgy53mAwPlniSz4w を対象マシンIDに置き換えるか、全マシン向けに ["*"] を使います。
schedule.intervalMinutes: 30: 本番値です。テストでは確認を早めるために 1 でも可。広く展開する前に 30 (またはそれ以上) に戻してください。
トリガー: ジョブは PolicyPreprocessingCompleted カスタムイベントとスケジュール間隔の両方で実行されるため、新規インストールのエンドポイントでもポリシー前処理完了後すぐに初回適用されます。

/Library/Keeper/sbin/Jobs/configure-cursor-polling.json を直接編集してデプロイしないでください。ConfigurationLkgReconciliation ファイルシステムウォッチャーが手動編集を巻き戻します (JOB_WATCHER_RESTORE)。利用できる経路は管理コンソールの JobUpdate ポリシーのみです。

ユーザーカバレッジ: ローカル、ADモバイル、ネットワークホーム

/Users/*/ のグロブは、/Users 配下にマウントされたすべてのホームディレクトリを対象にします。macOSでは以下を含みます。

ローカルユーザー: 例 /Users/test、/Users/jsmith
Active Directoryモバイルアカウント: ADプラグインが /Users/<aduser> にモバイルアカウントホームを作成します。ローカルキャッシュホームのため、書き込みは高速で安定します。
ネットワークホームディレクトリ: /Users/<networkuser> にマウントされたNFS/AFPホームもグロブ対象です。書き込みはネットワーク経由でホームサーバーへ到達します。

Shared ディレクトリは意図的にスキップします。ジョブはrootで動くため、ユーザー種別を問わずホームのファイル権限で書き込みは阻害されません。/Users 外にマウントされたホーム (例: /Volumes/homes/<user>) は既定グロブの対象外です。非標準のホームルートを使う環境ではグロブを拡張してください。

エスケープの落とし穴

タスクは /bin/bash -c "<script>" でbashスクリプトをインライン化します。Application Support パスには空白があり、JSON、.NETの Process.Start 引数トークナイザ、bashの3層の解析を問題なく通過する必要があります。正しいJSONでは、各 Application Support に対してバックスラッシュを2つ使います。

...mkdir -p $d/Library/Application\\ Support/Cursor/User; ... > $d/Library/Application\\ Support/Cursor/User/settings.json;...

Application\\ Support (JSON上2バックスラッシュ) → 引数文字列では1バックスラッシュ → bashが空白をエスケープ扱い → 1語として処理 → 成功
Application\\\\ Support (4バックスラッシュ) → 引数文字列では2バックスラッシュ → bashが \\ をエスケープされたバックスラッシュと解釈し空白が未エスケープ → 単語分割 → echo > のリダイレクト先がディレクトリになる → Is a directory → 終了コード1

両方の箇所 (mkdir パスと echo > リダイレクトパス) で、バックスラッシュは2つにする必要があります。

検証

成功時は、Shared 以外の各ユーザーホームに新しい ~/Library/Application Support/Cursor/User/settings.json (root所有、約477バイト) が残ります。成功時の TASK_COMPLETE と JOB_EXECUTION_COMPLETE は Debug / Info で記録され、system.logging.level が Warning のときはフィルタされます。
失敗時は、Warningレベルで [WRN] [JobExecutor] [JOB_STOPPED] ... Task 'run-config' failed と [WRN] [JobService] [JOB_EXECUTION_COMPLETE] ... Success: False が出ます。これらは既定で可視です。
明示的な ExitCode=0 行を見るには、一時的に /Library/Keeper/sbin/appsettings.json の system.logging.level を Debug にし、エージェントを再起動 (keepersudo launchctl kickstart -k system/com.keeper.endpoint-privilege-manager.launcher) してから、確認後に Warning へ戻してください。

注意事項

settings.json を丸ごと上書きします。 タスクは echo > settings.json を使うため、ファイル全体が置き換わります。Cursor設定のユーザー独自カスタマイズは実行のたびに失われます。既存JSONを読んでポーリング関連キーだけマージして書き戻す方式は今後の改善予定です。
冪等性: ポーリング設定については冪等 (同じJSONの再書き込み) ですが、ユーザーが設定した他のキーに対しては破壊的です (上記参照)。
ネットワークホームの性能: NFS/AFPホームへの書き込みはネットワーク経由です。遅い回線では60秒タイムアウトに近づくことがあります。タイムアウトが出る場合は、遅い・到達不能なネットワークホームを除外するようグロブを絞ってください。
/Users 以外のホームルート: 既定では対象外です。カスタムホームパスを使う環境ではグロブを拡張してください (例: /Users/*/ /Volumes/homes/*/)。

前へmacOSでのデプロイ

次へKeeper Trash

最終更新 24 日前