sync: update from private repo (c764df2f)

ui/src/content/help/14-ssh.md

@@ -15,7 +15,12 @@ MAESTRO は、エージェントが SSH 経由でリモートホストを操作
 | ssh-ops | 単発コマンド実行・ファイル転送 (health check / config push / log fetch) | `ssh-ops` |
 | ssh-console | 対話的な PTY シェル (vim / tmux / tail など長時間作業) | `ssh-console` |
 
-いずれもデフォルトでは無効です。admin が `config.yaml` で有効化し (`ssh.enabled: true`、コンソールは加えて `ssh.console.enabled: true`)、SSH 接続を登録したうえでジョブの所有者に grant を付与する必要があります。詳しくは [管理者ガイド](./19-admin.md) を参照してください。
+いずれもデフォルトでは無効です。使い始めるには次の 2 つの条件を満たす必要があります。
+
+1. **admin が SSH を有効化する** — `config.yaml` で `ssh.enabled: true`（コンソールは加えて `ssh.console.enabled: true`）を設定します。詳しくは [管理者ガイド](./19-admin.md) を参照してください。
+2. **ワークスペースポリシーで SSH を有効にし、接続を登録する** — ワークスペースの **設定 → ツール** で `ssh` カテゴリをオンにし、**設定 → SSH** で接続を登録します。エージェントはそのワークスペースに登録された接続のみ使えます（他のワークスペースの接続には触れません）。
+
+> **スコープ設計**: 接続の登録がオプトインです。ワークスペースに登録された接続だけがそのワークスペースのタスクから見え、別ワークスペースへの水平移動はできません。MCP サーバーのスコープと同じ考え方です。
 
 ## ssh-ops: 単発実行とファイル転送
 
@@ -65,13 +70,23 @@ MAESTRO は、エージェントが SSH 経由でリモートホストを操作
 
 ## どう動かすか
 
-1. admin が SSH を有効化し、接続と grant を整える
-2. ユーザーが該当接続を登録 (個人接続の場合) して Test でホストキーを検証
-3. `ssh-ops` または `ssh-console` を使うタスクを作成して実行
-4. ssh-console の場合はタスク詳細の SSH タブで画面を確認・操作
+1. admin が `config.yaml` で SSH を有効化する
+2. ワークスペースの **設定 → ツール** で `ssh` カテゴリをオンにする
+3. **設定 → SSH** で接続を登録し、Test でホストキーを検証する
+4. `ssh-ops` または `ssh-console` を使うタスクを作成して実行する
+5. ssh-console の場合はタスク詳細の SSH タブで画面を確認・操作する
 
 Piece の選び方や `allowed_tools` の考え方は [piece を使う・作る](./05-pieces.md) を参照してください。
 
+## 他のワークスペースから取り込む
+
+同じ MAESTRO 内の別ワークスペースに登録済みの SSH 接続を、まとめてコピーできます。**設定 → SSH** の「他のワークスペースから取り込む」ボタンを押すと、自分が管理しているワークスペースの一覧が出るので、コピー元を選んで実行してください。
+
+- **操作できる条件**: 取り込み元と移し先の両方でオーナー・管理者であること
+- **スキップ**: 同じ label・同じ host/user の組み合わせがすでにある場合は自動でスキップされ、既存の接続は上書きされません
+- **秘密鍵ごとコピー**: 秘密鍵は移し先ワークスペースの鍵で再暗号化されて保存されます。取り込み後すぐに使えますが、ホストキー検証（TOFU）が未完了の接続は Test を押して検証してください
+- **同一サーバー内のみ**: 別環境（別インスタンス）へのエクスポートには対応していません
+
 ## よくあるエラー
 
 | エラーコード | 意味 | 対処 |