top of page
Tazuna

VS Code 導入・安全設定・使い方ガイド

執筆者の写真: 雄二 橋本
雄二 橋本
11 時間前
読了時間: 9分

VS Codeのインストールから、安全に使うための設定、日々の使い方までを一通り押さえる研修資料「VS Code 導入・安全設定・使い方ガイド」の内容を、記事として読みやすくまとめました。はじめてでも、安全に使い始めるためのガイドです。



1. 導入

VS Codeとは：無料で使える、拡張できるエディタ

  • 無料・軽快：Microsoftが提供する無料のエディタ。Windows・macOS・Linuxで動きます。

  • 拡張機能：言語対応やツールを後から追加。必要な機能だけを組み合わせられます。

  • AIとの連携：チャットやエージェントが、コードの作成・修正・実行を手伝います。

※「Visual Studio」とは別の製品です。名前が似ているので、ダウンロード時に取り違えないよう注意しましょう。拡張機能で何にでも化けるのが強みですが、その分「何を入れるか」が安全性を左右します。

インストール手順

ダウンロードは公式サイト code.visualstudio.com からだけ。広告リンクや配布サイトは使わない。偽のダウンロードサイトや検索広告からマルウェア入りのインストーラーを掴まされる例があります。

Windows：

  • 1. 「Download for Windows」を選ぶ

  • 2. ユーザーインストーラーを実行（管理者権限は不要）

  • 3. 「PATHへの追加」にチェック

  • 4. 必要なら右クリックメニューへの追加もオン

Mac：

  • 1. macOS版をダウンロード

  • 2. zipを開き「アプリケーション」へ移動

  • 3. 初回起動の確認で「開く」

  • 4. コマンドパレットで「Shell Command: Install 'code' command in PATH」

Windowsではユーザーインストーラーが標準で、自動更新もしやすいです。会社PCでシステムインストーラーが指定されている場合はそちらに従ってください。Linuxは公式サイトの.deb/.rpmか、各ディストリビューションの公式手順を使います。

最初にやる3つの設定

  • STEP 1 日本語化：拡張機能ビューで「Japanese Language Pack」（発行元：Microsoft）を入れて再起動。

  • STEP 2 見やすく調整：設定（Ctrl+, ／ ⌘,）でテーマ・文字サイズ・自動保存を好みに。

  • STEP 3 設定の同期：GitHubかMicrosoftアカウントで、複数のPCに設定と拡張機能を同期。

日本語化の拡張機能も、発行元がMicrosoftであることを確認してから入れます。これが次のパートで話す「拡張機能の選び方」の最初の練習になります。会社のPCでは、同期に使うアカウントを社内ルールに合わせ、個人アカウントと会社アカウントを混ぜないように注意します。

2. 安全な設定

エディタは、コードを「実行できる」道具です

VS Codeはただのメモ帳ではなく、開いたフォルダの設定に従ってプログラムを動かせます。攻撃の入口になるのは主に3つです。

  • 開いたフォルダ：設定ファイルやタスクに、仕掛けが入っていることがある

  • 入れた拡張機能：PCのファイルやネットワークに広くアクセスできる

  • AIエージェント：ファイル編集やコマンド実行を、代わりに行える

ワークスペーストラスト：知らないフォルダは制限モードで

制限モードで止まるもの：

  • タスクの実行

  • デバッグ

  • 実行ファイルを指すワークスペース設定

  • 制限モード未対応の拡張機能

  • AIエージェント

ルール：迷ったら「信頼しない」。中身を確認してから、あとで信頼すればいい。

新しいフォルダを開くと「このフォルダの作成者を信頼しますか？」と聞かれます。ネットで拾ったサンプルや、知らない人のリポジトリは「いいえ」で開きます。あとから変更するときは、コマンドパレットで Workspaces: Manage Workspace Trust を実行します。

注意：悪意ある拡張機能は、制限モードでも防げません。次の「拡張機能の選び方」とセットで考えます。

拡張機能は、入れる前に5つを確認

  • 発行元（名前横の青いチェックマーク）：ドメイン所有を証明済み・6か月以上の実績

  • 実績（インストール数・評価・レビュー）：極端に少ない、公開直後のものは慎重に

  • 透明性（リポジトリ・ライセンス・Issue）：ソースが公開され、更新や対応が続いている

  • 名前（有名な拡張機能との違い）：1文字違いなど、なりすましに注意

  • 必要性（入れている拡張機能の一覧）：使っていないものは削除する

初めての発行元からインストールすると「発行元を信頼しますか？」と確認が出ます（VS Code 1.97以降）。上の5項目を見てから許可しましょう。青いチェックマークも公式は「保証ではなく信頼の目安の一つ」としています。信頼済みの発行元は「Extensions: Manage Trusted Extensions Publishers」で見直せ、怪しい拡張機能はMarketplaceの「Report a concern」から報告できます。

Marketplace側の守り（それでも万全ではない）

  • マルウェア検査：公開・更新のたびに複数のウイルス対策エンジンで検査

  • 動作の検査：隔離した仮想マシンで実際に動かし、挙動を確認

  • なりすまし防止：公式発行元や人気拡張機能に似せた名前をブロック

  • ブロックリスト：悪質と確認されたものは削除され、自動でアンインストール

  • 署名の確認：インストール時に改ざんがないか、出どころを検証

  • 秘密情報の検出：APIキーなどを含む拡張機能の公開を止める

悪質な拡張機能の報告は今も続いています。最後の砦は、入れる人の確認です。また、Cursorなど VS Code派生のエディタは別のマーケットプレイス（Open VSX）を使うことがあり、保護の仕組みが異なる点にも注意が必要です。

AIエージェント：自動承認は最小限に

  • おすすめ：手動承認（既定）　毎回、内容を読んでから許可する

  • 条件付き：コマンドごとの自動承認　読み取りだけの安全なコマンドに限る

  • 避ける：すべて自動承認　Bypass Approvals／Autopilot は、サンドボックスやコンテナ内でだけ

あわせて確認したいこと：

  • 機密ファイルの編集：確認つきのまま（chat.tools.edits.autoApprove）

  • サンドボックス：macOS・Linux・WSL2ではターミナル実行を隔離できる

  • 制限モード：信頼していないフォルダではエージェントは動かない

「すべて自動承認」は便利ですが、プロンプトインジェクション（ファイルやWebページに仕込まれた指示）で危険なコマンドが実行される恐れがあります。公式ドキュメントでも、サンドボックスが悪意あるコマンドへの最も強い防御とされています。サンドボックスは設定画面で「sandbox」と検索して有効にできます。

おすすめ設定（settings.json）

{
  // 信頼の確認を有効に（既定でオン）
  "security.workspace.trust.enabled": true,
  "security.workspace.trust.untrustedFiles": "prompt",
  // 本体と拡張機能を最新に保つ
  "update.mode": "default",
  "extensions.autoUpdate": true,
  // AIの全自動承認はオフのまま
  "chat.tools.global.autoApprove": false,
  // 送信する利用データを最小限に
  "telemetry.telemetryLevel": "error"
}

開き方：コマンドパレットで Preferences: Open User Settings (JSON)

ここに挙げた設定の多くは既定値です。わざわざ書くのは、ネットの記事をコピペして安全設定を無効にしてしまう事故を防ぐため、そして「誰かに変えられていないか」を確かめるためです。特に「security.workspace.trust.enabled」をfalseにする手順を紹介している記事がありますが、真似しないでください。会社で管理ポリシーが配布されている場合は、そちらが優先されます。

更新は、いちばん簡単なセキュリティ対策

例：2026年7月の修正 CVE-2026-57102。深刻度「高」のセキュリティ機能バイパスで、1.128.1 で修正済みです。

  • 修正はほぼ毎月：2026年も2月・5月・6月・7月・8月に脆弱性の修正が出ています。

  • OSの更新とは別：Windows Updateでは更新されません。VS Code自身の更新が必要です。

  • 手動で確認する：ヘルプ › 更新の確認（Mac：Code › 更新の確認）

新しいバージョンは段階的に配信されるので、気になるときは「更新の確認」で手動でも取りに行けます。右下に「再起動して更新」が出ていたら、作業の区切りで再起動しましょう。

毎日の安全習慣

  • 1. 知らないリポジトリやサンプルは、制限モードで開く

  • 2. 拡張機能は必要なものだけ。月に一度は棚卸しする

  • 3. APIキーやパスワードはコードに書かない（.env は .gitignore へ）

  • 4. AIの提案や実行コマンドは、読んでから承認する

  • 5. 本体と拡張機能の更新を止めない

特に3番：APIキーをコードや設定ファイルに直接書き、そのままGitHubに上げてしまう事故はとても多いです。.envファイルに分け、.gitignoreに入れておきましょう。AIチャットにキーを貼り付けるのも避けます。

3. 使い方

画面の見方：5つのエリア

  • ① アクティビティバー：エクスプローラー・検索・Git・拡張機能を切替

  • ② サイドバー：ファイル一覧などを表示

  • ③ エディター：ファイルを編集する場所

  • ④ パネル：ターミナル・問題・出力

  • ⑤ ステータスバー：ブランチ・文字コード・制限モード表示

AIチャットは右側のセカンダリサイドバーに表示されることが多いです。ステータスバーには制限モードかどうかの表示も出るので、安全確認にも使えます。

まずはこの8つ。迷ったらコマンドパレット

  • コマンドパレット（何でも探せる）：Ctrl+Shift+P ／ ⇧⌘P

  • ファイルを名前で開く：Ctrl+P ／ ⌘P

  • ターミナルを開く：Ctrl+` ／ ⌃`

  • 設定を開く：Ctrl+, ／ ⌘,

  • フォルダ全体を検索：Ctrl+Shift+F ／ ⇧⌘F

  • 拡張機能ビュー：Ctrl+Shift+X ／ ⇧⌘X

  • 行をコメントにする／戻す：Ctrl+/ ／ ⌘/

  • AIチャットを開く：Ctrl+Alt+I ／ ⌃⌘I

（左がWindows / Linux、右がMac）全部覚える必要はありません。コマンドパレットさえ覚えれば、やりたいことを日本語や英語で検索して実行できます。一覧は「ヘルプ › キーボード ショートカットの参照」でPDFを見られます。

基本の作業の流れ

  • 1. フォルダを開く：ファイル › フォルダーを開く。作業単位はフォルダ。

  • 2. 信頼を判断する：自分のものだけ「信頼する」。迷ったら制限モード。

  • 3. 編集して保存：Ctrl+S ／ ⌘S。自動保存をオンにしても可。

  • 4. ターミナルで実行：Ctrl+` でパネルを開き、そのフォルダで動かす。

  • 5. 変更を確認：ソース管理ビューで差分を見る。意図しない変更がないか。

  • 6. Gitでコミット：メッセージを書いてコミット。秘密情報が入っていないか最終確認。

5番の差分確認は、AIに作業させたときにも同じように使えます。

AIチャットは「頼み方」と「確かめ方」

頼み方：

  • 目的を具体的に：「何を・どのファイルで・どうしたいか」を書く

  • まず質問、次に任せる：慣れるまでは質問（Ask）で理解してから、エージェントに作業を任せる

  • 小さく区切る：大きな作業は手順に分けて1つずつ

確かめ方：

  • 差分を読んでから保持：変更は一つずつ確認し、不要なら元に戻す

  • コマンドは中身を確認：削除・送信・インストール系は特に慎重に

  • 秘密情報を貼らない：APIキー・顧客データはチャットに入れない

AIの出力は間違うこともあるので、最終的に責任を持つのは人です。差分とコマンドを必ず読む習慣をつけましょう。

まとめ：今日のチェックリスト

  • 公式サイトからインストールした

  • 知らないフォルダは制限モードで開く

  • 拡張機能は発行元を確認し、必要なものだけ

  • AIの全自動承認はオフ。差分とコマンドを読む

  • 本体と拡張機能の更新を止めない

困ったら：コマンドパレット（Ctrl+Shift+P ／ ⇧⌘P）で検索。

コメント

bottom of page