このセクションはセキュリティ要件が厳しい組織向けの追加機能です。
何も設定しなければ社員は社内外どこからでも会社 vault を利用可能 (= default 動作)。
IP を設定すると、 その IP からの write/read のみ許可されます (= 自宅・カフェ等からの access が 403 になる)。

空にすると制限なし (default)。 最大 1024 行。 IPv4 は /24 以上、 IPv6 は /64 以上のみ受付。 多拠点企業は各オフィスを別 entry で追加してください。
IPv4 推奨: /32 (固定 IPv4 1 個) または /24 (オフィス NAT pool)。
IPv6 推奨: 必ず /64 を使う (= OS の Privacy Extensions により下位 64 bit が定期的に変動するため、 /128 単独 IPv6 では動かない)。
新規追加する CIDR には admin (あなた) が現在いる必要があります (= 不正な範囲設定の防止)。 既存 CIDR は自由に削除・維持可能。

自社の admin / 社員 action の 監査履歴を表示します。 各 event は ECIES (admin の公開鍵で暗号化) で server に保管され、 運営は中身を読めません。 admin が pull + 復号して内容を確認。
server 上の retention は 30 日 (= TTL)。 長期保管は今後 admin vault に永続化予定 (= Phase 7.2-E.5)。

会社の サーバ暗号鍵 (KEK) を新しいものに更新します。 退職社員が手元にコピーしていた可能性のある鍵を一斉に無効化したい時、 または定期的な鍵衛生のために実行。
挙動:
・新しい keypair を生成 (= client 側)、 server に upload + 自分の vault に escrow
・旧版は deprecated 状態に、 指定日数 (default 14 日) は読み出し可
・期間後 旧版は完全失効、 退職社員が dump した古い K1 が無効化される
・現役社員には影響なし (= 次回 saveVault で自動的に新 KEK で wrap される)

通常運用ではこのボタンを 絶対に押さないでください。 server に頼らず社員が会社 vault を復号できるようにするための緊急復旧用の経路です。
使い時: Arpass のサービスが完全停止して K1 配布 endpoint が機能しなくなった場合のみ。
動作: 自分の admin vault が保持する会社共通鍵 K1 (= current + 過去全 version) を JSON でダウンロード。 社員に手渡しで配布し、 社員は arpass-emergency-restore.html でこの K1 と自分の 2-of-3 factor を使って server なしで vault を復号する。
注意: K1 単体ではどの vault も開けません (= 各社員の Master / Passkey / Recovery のうち 2 つが別途必要)。 ただし機密情報のため、 必ず信頼できる経路で配布し、 配布前に「Arpass が本当に停止したか」 を確認してください。