Cloudflare One
制限値、設定、API フィールド、カテゴリ ID、正確な UI パスを引用する前に、Cloudflare One ドキュメント、Cloudflare ドキュメント MCP サーバー、または Cloudflare API スキーマから現在の情報を取得してください。
ワークフロー
- リクエストを分類します: アーキテクチャ、構成、トラブルシューティング、移行、またはレビュー。
- コンテキストを収集します: アカウント ID、ユーザー数/サイト数/アプリ数、ID プロバイダー、SCIM/グループ同期、デバイス管理、トラフィックパス、コンプライアンス制約、ロールアウトの影響範囲。
- 関連する製品 (Access、Gateway、WARP/デバイスクライアント、Tunnel/Mesh、Cloudflare WAN、DLP、CASB、デバイス姿勢、ID) について、必要な現在のドキュメントのみを取得します。
- アカウントアクセスが利用可能な場合は、変更を提案または実行する前に既存のリソースを検査します: Access アプリ/ポリシー/グループ/IdP、Gateway ルール/リスト/カテゴリ、デバイスプロファイル/姿勢チェック、トンネル/ルート、DNS/リゾルバー設定、ロケーション/サイト。
- 前提条件、検証、ロールバックを含む変更セットを提案します。リスクの高い変更については、ユーザーが明示的に別の方法を要求しない限り、無効状態にするか、パイロットグループ/サイトに限定してステージングします。
評価プロンプト
これらを使用して、すぐに構成に飛びつくのを避けてください。ユーザーのタスクに関連するプロンプトのみを質問してください。
アーキテクチャと現在の状態
- サイトとユーザー: オフィス、支店、データセンター、VPC、リモートユーザー、請負業者、ユーザー数、現在の接続モデル。
- アプリケーションと宛先: SaaS、パブリックアプリ、プライベートアプリ、API、インフラターゲット、プロトコル、ポート、ホスト名、IP 範囲。
- 接続: VPN、MPLS、SD-WAN、直接インターネットブレイクアウト、集中バックホール、サイト間のニーズ、プライベート DNS アーキテクチャ。
- セキュリティスタック: 現在の SWG、NGFW、VPN/ZTNA、DLP、CASB、メールセキュリティ、ログ、コンプライアンス要件。
- ID: IdP、SCIM/グループ同期、グループ命名、マルチ IdP ニーズ、サービスアカウント、請負業者/パートナーアクセス。
- ロールアウト: パイロットユーザー/サイト、影響範囲、ロールバックパス、サポート担当者、成功基準。
Access と SaaS フェデレーション
- アプリの形状: Web アプリ、API、SSH/RDP/VNC、データベース、SaaS アプリ、パブリックホスト名、プライベート IP、またはプライベートホスト名。選択する前に Access アプリケーションタイプ のドキュメントを取得します。
- アクセスモデル: クライアントレスブラウザアクセス、デバイスクライアントを使用したプライベートネットワーキング、ピアツーピア接続、サービス接続 (サービス トークンまたは相互 TLS を使用)、または SaaS SSO フェデレーション。
- ポリシーニーズ: ユーザーグループ、デバイス姿勢、セッション期間、mTLS、サービス トークン、アプリランチャーの可視性。セレクターまたは評価順序を構成する前に Access ポリシー のドキュメントを取得します。
- SaaS の詳細: SAML と OIDC のサポート、ACS/リダイレクト URL、エンティティ ID/クライアント ID、必要な属性、テナント制御要件。
トンネルとプライベートネットワーキング
- サイトとセグメント: 接続が必要なデータセンター、VPC、オフィス、またはネットワークセグメント。
- HA: 開発/テストでは単一コネクタ、本番では複数コネクタ、または高度なマルチトンネル/サイト冗長性。
- ランタイム: cloudflared または WARP Connector/Mesh が実行される場所: VM、コンテナ、Kubernetes、ベアメタル、またはその他のターゲット。
- 出力: コネクタが必要なアウトバウンドのポート/プロトコルで Cloudflare に到達できるかどうか。正確なエンドポイントを指定する前に トンネル接続事前チェック を取得します。
- オリジン到達可能性: コネクタがすべてのプライベートオリジンを解決して到達できるかどうか。
- ルーティング: 必要な CIDR/ホスト名、重複する IP スペース、仮想ネットワーク、スプリットトンネル、プライベート DNS/リゾルバーポリシー のニーズ。
- 管理モデル: 明確な理由がない限り、新しいデプロイメントではリモート管理/トークンベースのトンネルを推奨します。
Gateway、TLS、DLP
- トラフィック制御: DNS カテゴリ、HTTP URL/パス検査、L4 ポート/プロトコル、出力 IP 要件、カスタムリスト、許可/ブロックの例外。現在のセレクターと適用順序については Gateway トラフィックポリシー のドキュメントを取得します。
- ID: Gateway ポリシーにユーザーまたはグループセレクターが必要かどうか、ユーザーが WARP/IdP コンテキストを介して認証されるかどうか。グループが関係する場合は Gateway ID セレクター と SCIM プロビジョニング を確認します。
- TLS 検査: ルート CA のデプロイメントパス、証明書ピン留めアプリケーション、コンプライアンス例外、FIPS 要件。有効にする前に TLS 復号化 のドキュメントを取得します。
- DLP: 機密データタイプ、検査するチャネル、TLS 検査の準備状況、DLP プロファイル、ペイロードログ要件、誤検知耐性。強制を作成する前に DLP のドキュメントを取得します。
CASB、デバイス姿勢、リスク
- CASB: SaaS ベンダー、管理者アクセスレベル、スキャンポリシー、組織規模、修復担当者、インラインプロテクションも必要かどうか。修復を推奨する前に CASB 検出結果 のドキュメントを取得します。
- デバイス姿勢: 必要なチェック、サードパーティ EDR/MDM 統合、登録ルール、デバイスプロファイル、スプリットトンネルアライメント。
- リスクスコアリング: 関連する動作シグナル、VPN やサービス アカウントなどの誤検知ソース、リスクが調査用か強制用か。ポリシーでリスクを使用する前に ユーザーリスクスコア のドキュメントを取得します。
Cloudflare WAN / サイト接続
- サイトトポロジ、オンランプタイプ、ルート所有権、トンネル冗長性、静的ルートと BGP 管理ルートの比較、ネットワークファイアウォールニーズ、アプライアンス/プロファイル所有権。サイト接続の変更を提案する前に、Cloudflare WAN および Cloudflare ネットワークファイアウォール のドキュメントを取得します。
ガードレール
- Access はアプリケーション認証を制御し、Gateway はトラフィックの検査/フィルタリングを制御します。要件が ID 認識型のアプリアクセスとネットワーク/Web セキュリティの両方に及ぶ場合は、両方を使用します。
- 新しい Access デプロイメントでは、再利用可能なポリシー API (
/access/policies) を使用してポリシーを作成し、アプリケーションにアタッチします。現在の API ドキュメントでアプリケーションスコープのポリシーが明示的に要求されている場合を除き、アプリケーションの作成/更新リクエストでインラインのpoliciesを送信しないでください。 reusable: falseと報告されたアプリケーションスコープのポリシーはレガシーとして扱います。文書化されたmake_reusableエンドポイントを使用して既存のポリシーを移行するか、再利用可能なポリシーに置き換えます。新しいレガシーポリシーを作成しないでください。レガシーポリシーと非推奨のレガシープライベートネットワークアプリケーションタイプを区別します。- パブリックホスト名 Access アプリはクライアントレスにできます。プライベート宛先アプリには、WARP/デバイスクライアントまたは別のネットワークオンランプ、ルート、DNS 解決が必要です。プライベート宛先を構成する前に セルフホスト型プライベートアプリ のドキュメントを取得します。
- Cloudflare Tunnel はプライベートネットワークから Cloudflare へのオフランプです。Cloudflare WAN と Mesh は他のオフランプであり、オンランプにもなります。
- グループベースのポリシーは、IdP グループクレームまたは SCIM に依存します。グループ同期がない場合は、グループセレクターを創作しないでください。
- プライベートホスト名には明示的な DNS ルーティング/解決が必要です。Access アプリを作成するだけでは不十分です。リゾルバーポリシー を使用し、プライベートホスト名の接続 を確認します。
- 暗号化された Web トラフィックの HTTP 検査と DLP には、TLS 検査と計画された Do Not Inspect 例外が必要です。
- Gateway DNS、ネットワーク、HTTP、出力ポリシーは異なる評価セマンティクスを持ちます。優先順位を説明する前に 適用順序 のドキュメントを取得します。
- ブロック/許可/DLP/TLS ポリシーは、ユーザーがより広範なロールアウトを承認しない限り、特定のターゲットユーザーまたはグループに限定したパイロットで無効状態から開始します。
ID とアクセス
- Access Groups は Cloudflare オブジェクトであり、IdP/SCIM グループは ID クレームです。Gateway グループセレクターは、Access Groups ではなく同期された IdP グループを使用します。
- グループ名と SAML/OIDC 属性は大文字と小文字を区別します。グループベースのルールを作成する前に、正確なクレーム名と値を確認します。
- SCIM の変更とグループメンバーシップは、同期と再認証が完了するまで古い可能性があります。IdP の状態だけでなく、ユーザーの最後に認証された ID を使用してトラブルシューティングします。
- Access ポリシーはデフォルト拒否です。ルートがあっても許可ポリシーがないプライベートアプリは、アクセスをブロックします。
- Access ポリシーセレクターは IP リストを使用できますが、Gateway ドメインまたは URL リストは使用できません。
- SaaS フェデレーションは SaaS アプリへの認証を処理します。SaaS 認可とテナント制限には、通常、SaaS 側のロールや Gateway テナント制御が必要です。
- SSH/VNC/RDP のブラウザレンダリングは Access の機能です。ブラウザ分離は、一般的な Web コンテンツをリモートでレンダリングします。これらを混同しないでください。
デバイスクライアントのデプロイメント
-
Cloudflare One デバイスクライアント は、ユーザーデバイスへのオンランプです。2 つのコンポーネントが制御します: 登録ルール (誰が接続できるか) と デバイスプロファイル (登録後のクライアントの動作)。
-
登録ルールは、タイプ
warpの Access アプリケーションであり、デバイス設定ではありません。再利用可能な Access ポリシーを受け入れます。登録のデバッグは Device ではなく Access で探します。 -
ヘッドレスまたは自律型デバイス (サービス、キオスク、Linux ホスト) の場合は、サービス トークン登録を使用します。非人間デバイスは
non_identity@[team-domain].cloudflareaccess.comとして認証され、グループメンバーシップはありません - IdP グループをターゲットにしたデバイスプロファイルはそれらに一致しません。非 ID メールアドレス、デバイスに関する特定の規則 (OS 情報など) を使用してヘッドレスデバイスを明示的にターゲットにするか、デフォルトプロファイルにフォールバックさせます。 -
デバイスプロファイルは、接続モード、スプリットトンネル 構成、ユーザー権限 (無効化、スイッチロック)、自動再接続、キャプティブポータル動作を制御します。プロファイルは、優先順位順にユーザーグループまたはデバイス属性によって照合されます。最初に一致したものが優先され、デフォルトプロファイルが残りをキャッチします。
-
スプリットトンネルモードは、最も影響力の大きい単一のクライアント設定です。デプロイメントの目的に基づいてモードを選択します:
目標 モード 根拠 VPN 置き換えのみ (プライベートアプリ) Include 指定されたプライベート CIDR とホスト名のみをクライアント経由でルーティングします。それ以外はすべて直接接続されます。影響範囲を最小限に抑えます。 SWG のみ (インターネットセキュリティ) Exclude すべてのトラフィックがクライアントを通過します。問題が発生するもの (ローカルプリンター、証明書ピン留めアプリ) のみを除外します。 VPN 置き換え + SWG Exclude すべてのトラフィックがクライアントを通過します。最も一般的なエンタープライズ構成です。 別の VPN との共存 Include 他の VPN のトンネルインターフェイスおよび DNS 制御との競合を回避します。 DNS フィルタリングのみ DNS のみモード DNS クエリのみが Gateway に送られます。トラフィックのプロキシは行われません。 -
Include と Exclude はプロファイル単位であり、エントリ単位ではありません。同じプロファイル内でモードを混在させることはできません。デプロイメント中にモードを切り替えるには、すべてのエントリを再評価する必要があります。
-
スプリットトンネルエントリは、トンネルルートと双方向で整合している必要があります。一致するトンネルルートのないインクルードリスト内の CIDR はブラックホールを引き起こします。一致するデバイスプロファイルエントリのないトンネルルートは、トラフィックがトンネルに入らないことを意味します。
-
MDM パラメータ (
mdm.xml/ 管理設定) は、ファイルで指定された設定について、ダッシュボードで構成されたプロファイル設定をオーバーライドします。ダッシュボードの変更が管理デバイスに反映されていないように見える場合は、MDM 構成を確認します。プラットフォーム固有のファイルの場所とパラメータについては MDM デプロイメント のドキュメントを取得します。 -
別の VPN クライアントまたはエージェントがデバイスの DNS を制御している場合、デバイスクライアントの DNS インターセプトが競合します。共存シナリオでは、