エンドポイント単位課金に代わるセルフホスト型RMMの選択肢

セルフホスト型RMMには決まって二つの思い込みがつきまとい、どちらも正反対の方向に間違っています。一つ目は、リモート監視・管理はエンドポイント単位で課金されるので、作業量が増えようが増えまいが請求額は台数とともに膨らむというもの。二つ目は、管理プレーンを自社に引き込めばそのコストが消えるというものです。実際にはこのカテゴリーは三つの別々の軸で価格が決まり、そのうち端末単位はひとつだけで、セルフホストはコストをなくすのではなく、誰も請求書を出さない項目、つまりあなた自身の時間へ移すだけです。端末単位の料金はあなたが制御できない軸で増えます。台数を決めるのは顧客であって、その端末がどれだけ作業を生むかではないからです。セルフホストのサーバーはあなたが制御できる軸で増えますが、その代わりに保守義務と、もはや手元にないサポート契約を請求してきます。

契約によっては、計算に関係なく商用製品が正解になります。午前3時に自分では保証しきれないSLAは、お金を払って買う製品であり、セルフホストがそれを提供できるのはプロジェクト自身がサポート層を販売している場合だけです。技術者単位の課金は、幅広い台数帯ですでに両方の選択肢に勝っています。

要約

• このカテゴリーは端末単位で一律に課金されているわけではありません。NinjaOneは端末単位、SyncroとAteraは端末数無制限の技術者シート単位、ConnectWise、Datto RMM、N-ableはプラットフォームの基本価格を公開せず、購入者を見積もりに誘導します。
• 技術者一人あたりの端末数が多い小規模事業者なら、技術者単位のプラットフォームが端末単位課金にも、この記事で使うTactical RMMのセルフホストモデルにも勝てる可能性があります。何かをプロビジョニングする前に、まずそこを確認してください。
• この記事のTactical RMMコストモデルでは、おおよそ400エンドポイント未満ならセルフホストは技術者単位のプラットフォームより高くつくのが普通です。三人目の技術者シートあたりで競争力が出始めますが、正確な交差点は時給、スポンサー層、サーバーサイズ、技術者あたり端末数によって動きます。
• Tactical RMMはオープンソースではありません。SaaS、マネージドホスティング、その他の商用サービス利用を制限する、OSI非承認の独自ライセンスで配布されています。MeshCentralはApache-2.0、NetLock RMMのコアはAGPL-3.0です。
• RMMサーバーは、エージェントを動かすすべてのマシンへの信頼されたリモートコード実行経路です。セルフホストがその露出を生むわけではなく、パッチ適用の責任をあなたに移すだけです。

商用RMMはエンドポイントにどう課金しているか

NinjaOneの 公開されている端末単位料金 は、10,000エンドポイントで1端末あたり月$1.50から、50台以下で$3.75までです。この曲線を小さい側から読めば問題は明らかです。ボリュームディスカウントは規模に有利に働くので、台数がもっとも少ない事業者が1台あたりもっとも高い料金を、顧客がノートPCを買うたびに膨らむ請求書で払うことになります。

Syncroはまったく別の軸で課金します。年払いのCoreプランでユーザーあたり月$129、Teamで$179、しかもどのプランにも 技術者あたり無制限のエンドポイントが含まれます。Ateraも同じ形で、その理由を明言しています。技術者単位のモデルでは、 コストは変わりません。 端末を何台追加しても同じです。

そして三つ目のグループがあります。ConnectWise RMMはいくらか。そのページは価格を 問い合わせフォーム へ回し、パッケージと機能は並んでいても数字はありません。そして Datto RMMの製品ページ はプラットフォームを長々と説明しながら、どこにも価格を載せていません。N-ableもN-sightを同じやり方で売り、KaseyaはVSAを見積もりで出します。これは意図ではなくページの中身についての事実ですが、コストが伴います。数字を引き出すには営業との通話が必要で、その時間はあなたのものです。

個々の料金より、その帰結のほうが重要です。技術者単位のプラットフォームは台数に比例して増えることが完全になくなります。350台を管理する二人の事業者は、90台を管理する二人の事業者と同じ額を払い、技術者あたり端末数が多ければ、このモデルは端末単位課金にも自前サーバーにもすでに勝っています。

セルフホスト型プラットフォームと、そのライセンスが許可するもの

この話題には四つのプラットフォームが登場し、ひとつのライセンスの四つの亜種ではなく、本当に異なる四つのライセンスの下にあります。「オープンソースRMM」は四つをまとめて呼ぶ言葉ですが、その言葉が背負える以上の意味を背負わされています。四つはRMMとしての機能の範囲もサーバーへの要求も異なり、ライセンスの違いはマネージドサービスを販売する誰にとっても契約上の帰結を持ちます。

Tactical RMM

Tactical RMMは四つの中でもっとも完成度が高く、パッチ管理、スクリプト実行、アラートとチェックを備え、リモート制御は同梱のMeshCentralインスタンスが担います。現行リリースはv1.5.2で、その 変更履歴にはメモリリーク修正が記録されています。 ポリシーチェックとタスク処理での修正に加え、同梱のMeshCentralが1.2.4に上がりました。ネイティブのリモート制御レイヤーも開発中です。

ライセンスには注意が要ります。Tactical RMMは独自の「Tactical RMM License v1.0」で配布され、その本文は オープンソースソフトウェアライセンスではないという宣言から始まります。自社または顧客のネットワークの監視・管理には無償利用を認める一方、ライセンサーの許可なくソフトウェアの機能をSaaS製品、マネージドホスティングサービス、その他の営利サービスの一部として提供することを禁じています。これがソースアベイラブル（作者の条件のもとで読んで実行できる）とオープンソース（無制限の商用再配布を認めるOSI承認ライセンス）の差です。ライセンスは、顧客ネットワークの監視・管理のためにTactical RMMをホストして使うことを明示的に許可しています。それとは別に、ソフトウェアの機能を商用または営利サービスの一部として提供することに広範な制限を課し、商用利用や営利サービス利用には事前の書面による承認が必要だとしています。MSPのモデルがその境界線の位置に左右されるなら、編集者の解釈に頼らずAmidaWareから書面で確認を取ってください。

さらに、全額公開されている費用項目もあります。コード署名済みWindowsエージェント、LinuxおよびmacOSエージェントそのもの、シングルサインオン、Reportingモジュールはすべてスポンサー層の向こう側にあります。 月$55のTier 1 が、どのプラットフォームでも署名済みエージェントを使うための最低ラインで、ReportingはTier 2の$80からです。その上の層は台数に応じて推奨され（1,000エージェント未満はTier 4の$155）、Tier 3以上には明示されたメール応答時間が付きます。未署名のエージェントは規模のあるWindows環境ならどこでもサポート上の問題になるので、規模が大きくなればスポンサー層は選択肢ではなく費用項目です。

MeshCentral

MeshCentralは完全なRMMではありませんが、その差は聞こえほど大きくありません。リモート制御、デバイスインベントリ、ターミナルとファイルへのアクセス、コマンドとスクリプトの実行、デバイスおよびセッションの通知に対応しています。提供していないのは、それらの基本要素を取り巻く完全なRMMワークフローで、ネイティブなパッチ管理ワークフローと組み込みのスケジュール型ポリシー自動化が主な欠落です。

まさにその欠落こそ、Tactical RMMがその上に構築された理由です。NinjaOneの置き換えを期待してMeshCentralを導入すると、ソフトウェアの品質とは無関係な失望が待っています（コマンドとスクリプトの実行はあっても、パッチ管理とポリシー自動化のレイヤーは同梱されていません）。

NetLock RMM

NetLock RMMはオープンコアであって全面的にオープンではなく、プロジェクト自身がそれを率直に述べています。完全にAGPLの下で公開した後、メンテナーは2026年に コアはAGPLの下でオープンなまま だが、すべての機能のソースは公開しないモデルに移行し、何を公開するかを精査する間、公開コミットを停止しました。公開されているコアはOSI承認のGNU Affero General Public License v3です。

商業的な形も他とは異なり、階層の境界はまさに台数を抱える読者に引っかかります。無料のCommunity Editionはセルフホストですが 25台までに制限されており、ホームラボや評価用途を超えると手が届きません。有料のセルフホスト層は上限を撤廃し、端末、ユーザー、テナント、拠点を無制限にし、プロフェッショナルサポートも付きます。NetLockはこのモデルを、端末数で規模が決まるクラウドホスト型プランとは明確に切り分けています。つまりセルフホストの提供形態は端末数の上限を取り払いますが、現行の商用パッケージは応答時間だけで価格を決めるのではなく、サポートやその他の特典を一括で含みます。引き換えに差し出すのは成熟度と実績です。

ITarian On-Premise

ITarianのオンプレミス版は、Comodo/Xcitium系譜のプロプライエタリソフトウェアです。セルフホストしても端末単位のライセンス課金は消えません。ITarianの現行の課金ドキュメントでは管理端末50台まで無料ですが、51台目の管理端末を追加した時点で、管理エンドポイントは適用料金で端末単位に課金されます。オープンソースではなく、そう主張してもいません。運用負荷を複雑にしているのは、ITarianの現行オンプレミスドキュメントが内部で矛盾していることです。導入ガイダンスは最大1,000エンドポイント向けのスタンドアロンDocker Compose構成を説明する一方、ハードウェア要件の節は2サーバー構成を基準として挙げています。8コア、8 GB RAM、100 GBストレージのITSMノードと、4コア、4 GB、40 GBのXMPPノードで、どちらも1,000エンドポイント時の値です。私はこれを、単一サーバー構成が非対応である証拠ではなく、予算化の前にITarianに確認すべきサイジングの基準線として扱います。

このセクションの要点： 「オープンソース」はこの4行で三つの異なるものを指しており、この言葉が通常約束するものに当てはまるのは二つだけです。

サーバーに求められるもの

Tactical RMMのインストールドキュメントは下限を正確に示しています。 4 GB RAMのまっさらなLinux VM で、Debian 11、Debian 12、またはUbuntu 22.04 LTSが対象です。同じページでは、チェック数を抑えた200エージェント未満ならCPU 1コアで十分、その台数で12か月未満の履歴なら50 GBのストレージで足りるとしています。

この数値はTactical RMM以外にも当てはまります。MeshCentralを同梱しており、下限がすでにリモート制御レイヤーを織り込んでいるからです。ここでいちばん重い言葉は「まっさら」です。インストーラーは他のソフトウェアが何も入っていないサーバーを前提とし、既存サービスと同居させるとインストールが壊れると警告しています。つまり、すでに働いているマシンにRMMを相乗りさせることはできず（インストールされるNginxとPostgresはRMM専用で、あなたのものとは共有しません）、サーバーは余剰リソースではなく新たな費用項目になります。このコストモデルでは、公開された最小値ぎりぎりを狙うのではなく上に余裕を持たせます。100台台前半なら2 vCPUと4 GB RAM、数百台後半に向かうなら4 vCPUと8 GBがより安全な計画値です。これはこの記事の計画上の仮定であって、Tactical RMMが公開している最小値ではありません。ITarianは現行ドキュメントがスタンドアロンと2ノード構成について矛盾した情報を出しているため、別途サイジングの検討が必要です。

エンドポイント管理とインフラ監視はいつも混同されますが、同じ仕事ではありません。RMMはユーザーのマシンにエージェントを入れてパッチを当て、スクリプトを実行し、リモート制御するもので、ホストが応答しているかを問うのとは別物です。配置の考え方はどちらも同じで、 監視対象と箱を分けておく という論拠は、あらゆる可用性モニターに当てはまります。管理対象の拠点の中に置かれた管理サーバーは、その拠点と一緒に落ちます。しかも、まさにそれが必要な日に。

読む

VPS に Uptime Kuma を構築する方法

損益分岐点

決め手は四つの数字で、そのうち二つはベンダーではなくあなたのものです。あなたの台数での商用料金、サーバーの費用、月に何時間かかるか、そしてあなたの1時間の価値。すべてラベル付きで並べます。

出典のある数値。 NinjaOneの端末単位の価格帯とSyncroのシート料金は上でリンクしたベンダーの価格ページから、スポンサー層の料金はTactical RMM自身が公開しているスポンサー表から、サーバーの最低スペックはTactical RMMのインストールドキュメントから取っています。

明示した仮定。これはこの記事のものであって、ベンダーのものではありません。 サーバー価格は仮置きで、小さいインスタンスが月$35、大きいほうが$70です。あなたのプロバイダーがそのスペックに請求する額に置き換えてください。運用時間は50および200エンドポイントで月4時間、1,000エンドポイント近くの例で6時間とし、パッチ適用、アップグレード、エージェントのトラブルシューティング、時折の障害対応を含みます。時給は$50で、諸経費込みの技術者1時間の代わりです。Bureau of Labor Statisticsはネットワーク・コンピューターシステム管理者の現在の中央値を公表していますが、重要なのはあなた自身の請求単価です。技術者数は技術者あたり約200台を前提にしています（もっと少人数で回しているならシート数をずらしてください。しきい値も一緒に動きます）。スポンサー層の行は、小さい二つの台数ではコード署名の公開最低ラインであるTier 1、1,000エンドポイント近くの例ではTier 4です。Tacticalは1,000エージェント未満にTier 4を推奨しています。

端末単位の行が200と1,000で幅を持つのは、NinjaOneが曲線の両端だけを公開し、その間の段階を公開していないからです。各範囲の下限は10,000エンドポイント時の最低料金で、この規模の台数には提示されない値なので、意図的に商用側に有利にしています。セルフホストがそれに勝つなら、実際に提示される料金にも勝ちます。

二つの交差点は同じ場所にありません。端末単位課金に対しては、セルフホストの$290は1台$3.75なら78台、最低料金$1.50なら194台に相当するので、契約がその価格帯のどこにあるかに応じて、おおよそ80台から190台のどこかでセルフホストが追い越します。技術者単位課金に対しては様相が一変します。技術者あたり200台なら、Syncroのシート1つで200エンドポイント（$129）、2つで400（$258）、3つで600（$387）までカバーでき、セルフホストの行がこの曲線を下回るのは3つ目のシート、つまり400台を少し超えたところからです。

約400エンドポイント未満では、この前提のもと、完全なRMMをセルフホストするほうが高くつくのが普通です。 効いてくるのは二つ目の交差点です。技術者単位のプラットフォームは今日の午後にでも使い始められ、プロビジョニングもパッチも責任も一切求めないからです。

あなた自身の数字が二つ、このしきい値を動かします。想定時給を半分の$25にすると、小規模の場合のセルフホストの行は$290から$190に下がります。倍の$100にすると、より高いスポンサー層や大きなサーバーを足す前に、同じ行が$490に上がります。こうした変化は交差点を数百エンドポイント分動かしうるので、400を万能のしきい値として扱うのではなく、あなたの台数で実際に選ぶスポンサー層と保守時間を使ってください。

セルフホストが手元に戻してくるもの

2021年7月、オンプレミスのKaseya VSAサーバーにおける認証情報漏えいのゼロデイ、 CVE-2021-30116が実際に悪用されました。CISAのKnown Exploited Vulnerabilitiesカタログは、この脆弱性が攻撃者にシステムへのさらなる攻撃に使えるセッションIDを与えると記録し、ランサムウェアキャンペーンでの利用が判明していると印を付けています。

その3年後、ConnectWise ScreenConnectの CVE-2024-1709、つまりバージョン23.9.7以前に対する満点CVSS 10.0の認証バイパスが同じカタログに入り、ランサムウェア展開に実際に悪用されました。そして Huntressの侵害後調査レポート は、攻撃者がこれを通じて暗号資産マイナーを展開したことを記録しています。どちらの事件も商用RMMへの反論にはならず、擁護にもなりません。両方の根底にあるのは同じ事実です。RMMサーバーはエージェントを動かすすべてのマシンへの信頼されたリモートコード実行経路であり、それは設計が正しく機能している姿そのもので、だからこそ警戒に値します。管理プレーンを侵害されれば、そのプレーンがベンダーのものであれあなたのものであれ、全端末が侵害されたのと同じです。

セルフホストで変わるのは、誰が、どれだけ速くパッチを当て、誰の名前がインシデントに載るかです。これらのプラットフォームにも研究者が見つけた脆弱性があります。Tactical RMMには CVE-2025-69516、つまりレポートプレビューのエンドポイントにおけるサーバーサイドテンプレートインジェクションがあり、低権限のレポートユーザーがリモートコマンド実行に到達できました。さらに CVE-2025-69517、エージェント作成エンドポイントのHTMLインジェクションもあり、その記録は「誤った情報を含む」というサプライヤーの見解で締めくくられています。どちらもスコアは8.8で、現行のv1.5.2に対し、影響を受けるのはv1.3.1以前と記録されています。MeshCentralには CVE-2024-26135、つまり control.ashx 経由のクロスサイトWebSocketハイジャックがあり、管理者セッションを侵害しうるもので、CVSS 8.3、現行の1.2.5に対し1.1.21より前のバージョンが影響を受けると記録されています。現行リリースは、ここで挙げた三つのCVEの影響範囲の外にあります。だからといって攻撃対象領域が消えるわけではなく、最新版を保つことが運用モデルの一部になるということです。これらは活発に研究されている攻撃対象領域であり、先手を打ち続けなければならないのはあなたです。

もう一つ変わるのは相手方です。四つのうち二つは自前のサポート層を販売しています。NetLock RMMの有料プランと、 Tactical RMMの上位スポンサー層です。サポートの状況は均一ではありません。MeshCentralはコミュニティ主導で、ITarianはベンダーが支える商用製品として独自のサポート窓口とライセンス条件を持ちます。RMMの停止が契約の絡む顧客向けインシデントになる運用者にとって、商用契約が本当に売っているのはその相手方です。

コンプライアンスが逆方向に働くことも、限定的ながらあります。 セルフホストの選択肢についてのr/mspスレッドでは、ある運用者が「リモート管理担当者の接続は暗号化された（FIPS 140-2認証済みの）経路を経由すること」と定めた契約を挙げ、ほとんどのベンダーが認証を申請していない中で、認証済みVPNモジュールに接続を通せるセルフホストがそれを満たす手段だと述べています。ひとつのスレッドのひとつの契約は傾向とは言えませんが、セルフホストが安い答えではなく、要件を満たす答えになるケースです。

2021年のTactical RMM問題

Tactical RMMを評価する人なら、1時間も検索すればこの件に行き当たります。2021年12月のr/sysadminスレッドで、ある研究者がプロジェクトの予備ファイルミラーにホストされたエージェントバイナリの中にMoneroマイニングコードを見つけました。開発者は公の場で返答し、その返答がすべての出典です。

「yes those are 1.98.XXX are my own personal builds that have extra binaries embedded in them (using golangs new embed feature added in go 1.16) and I use them on my own machines to mine monero.」（「はい、その1.98.XXXは追加のバイナリを埋め込んだ（go 1.16で追加されたGoの新しいembed機能を使って）私個人のビルドで、自分のマシンでmoneroをマイニングするために使っています。」）

Tactical RMM開発者、r/sysadmin、2021年

開発者は同じ返答の中で、本番エージェントはそれらのビルドをダウンロードしないこと、ミラーはPython依存関係のフォールバックであることを述べています。また、コード署名を始めた時点でエージェントはオープンソースではなくなり、開発は非公開リポジトリに移っていたため、公開コードは古く、配布されているエージェントは当時公開の場で監査できなかったことも認めています。

記録に欠けているのは、完了した第三者によるセキュリティ監査です。本番エージェントがクリーンだという保証は、開発者自身の発言と、あるコメント投稿者による非公式なサンドボックス分析に依拠しています。出回っている二つの要約はどちらも言い過ぎです。「何でもなかった」は、エージェントのソースが監査不能だった間にマイニングバイナリがプロジェクトのインフラから配信されていた事実を無視し、「このツールはクリプトマイナーを同梱している」は公開された証拠が何も裏付けないことを断言しています。私の見立てでは、これは確定した技術的所見というより、運用慣行に対する評価の問題です。

どれがどの運用者に合うか

商用製品にとどまるべきで、セルフホスト型RMMの選択肢は丸ごと飛ばしてください。三つの条件のどれかに当てはまるなら。顧客契約が特定のベンダーの明記を求めている場合。技術者あたりの端末数からして技術者単位課金がすでにいちばん安く、これは400台未満の大半に当てはまります。あるいは、実際には誰もサーバーの面倒を見ない場合で、そのとき運用時間の行は絵空事になります。

Tactical RMMを選ぶ のは、もっとも充実した機能を求め、自社または顧客のネットワークを管理し、本番環境でLinuxサーバーを持つことに自信があり、スポンサー層に支払う意思がある場合です。あなたの商業モデルが営利サービスに関するライセンスの広範な制限に該当しうるなら、顧客向けに導入する前にAmidaWareから書面で確認を取ってください。

NetLock RMMを選ぶ のは、OSI承認のコアと、端末無制限・プロフェッショナルサポート付きの有料セルフホストプランが実績より重要で、公開リポジトリがいまやコードベースの精選された一部でしかない若いプロジェクトを受け入れられる場合です。どの層を買うのかをはっきりさせてください。無料のCommunity Editionは25台で止まるので、数百エンドポイントでは有料製品であり、その魅力は顧客がノートPCを12台買い足しても動かない価格にあります。

MeshCentral単体を選ぶ のは、主な仕事が完全なRMMのパッチ適用やポリシー自動化ではなく、リモートアクセス、インベントリ、随時のコマンドやスクリプト実行である場合に限ります。成熟しており、寛容なライセンスで、得意分野では強力です。リモート制御が要件のすべてなら、専用のリモートデスクトップ製品とも比較してください。 RustDeskも似た領域をカバーしており、 機能の重点が異なります。どれかを完全なRMMの代替として扱うのが間違いです。

ITarianオンプレミスを選ぶ のは、端末単位課金から逃れることより管理プレーンを自社インフラに置くことが重要で、プロプライエタリなライセンスと重いフットプリントを承知の上で、製品の背後に確立された企業を求める場合に限ります。予算化の前に、サポートされる構成を確認してください。

答えがセルフホストなら、管理プレーンには管理対象の拠点の外に置き場所が必要で、その拠点のどれかが落ちた日にも届く場所でなければなりません。具体的には、DebianまたはUbuntuの常時稼働Linuxサーバー、rootアクセス、リソースを奪い合う他のものがない環境、そしてパッチを当て続けるあなたです。当社のセルフマネージド Linux VPS はまさにそういう箱で、上の一般的なスペックに合わせてサイズを選べます。必要なのが完全な管理プラットフォームではなくリモート制御だと分かったなら、 RustDesk はワンクリックでデプロイできます。

よくある質問

Tactical RMMはオープンソースですか

いいえ。Tactical RMMはOSI非承認の独自「Tactical RMM License v1.0」で配布され、ライセンス本文自体がオープンソースライセンスではないと明記しています。自社または顧客のネットワークの監視・管理のためのセルフホストは無償ですが、SaaS、マネージドホスティング、その他の商用または営利サービス利用に関する広範な制限も含んでいます。MSPのモデルがその境界線に左右されるなら、AmidaWareから書面で確認を取ってください。MeshCentralはApache-2.0、NetLock RMMの公開コアはAGPL-3.0で、どちらもOSI承認です。

NinjaOneやAteraの無料セルフホスト代替はありますか

あります。Tactical RMM、MeshCentral、NetLock RMMのCommunity Editionは、いずれも無料層では端末単位のライセンス料なしで利用できます。ただしライセンスが無料でも運用は無料ではありません。専用のLinuxサーバー、必要な機能を解放する有料層、そして保守に費やす時間にお金がかかります。ここで使ったTactical RMMのモデルでは、小規模の台数帯ではそれらのコストがSyncro Coreを上回ります。

MeshCentralは完全なRMMの代わりになりますか

単体では無理です。MeshCentralは寛容なApache-2.0ライセンスのもと、リモート制御、デバイスインベントリ、リモート管理をしっかりカバーします。コマンドとスクリプトの実行には対応していますが、完全なRMMに期待されるネイティブなパッチ管理とスケジュール型ポリシー自動化のワークフローは提供しません。だからこそTactical RMMは、その代替ではなく、その上に載る層として作られたのです。

RMMベンダーはすべてエンドポイント単位で課金しますか

いいえ。SyncroとAteraはエンドポイント無制限の技術者シート単位で課金するので、顧客が端末を追加しても請求額は増えません。NinjaOneは台数に応じた段階制の端末単位課金の例です。ConnectWise、Datto RMM、N-able、Kaseyaはプラットフォームの基本価格を公開せず、購入者を見積もりに誘導します。