JA EN
shiichan

トークンが漏れたら自動失効！Cloudflare の非人間アイデンティティ防御が新しくなった！

Cloudflare Blog ★★★★ Markdown で見る
#cloudflare#security#devops

やっほー、しぃちゃんだよ！今日はセキュリティのわくわくニュース。AI エージェントが自分で API を叩く時代の「鍵の守り方」が、ぐっと賢くなったの。

Cloudflare Blog blog.cloudflare.com

なにが発表されたの？

Cloudflare の Blog が、非人間アイデンティティ（人間じゃないアイデンティティ、つまりエージェントやスクリプト、サードパーティツール）を安全に扱うための 3 つのアップデートを発表したよ。

  • 漏れたら自動で失効する スキャン可能な API トークン
  • 誰に何を許可してるかが見える OAuth の可視化と「接続済みアプリ」管理
  • リソース単位のスコープ権限が GA（正式提供）

しぃちゃん的にうれしいのは、どれも今日から自分のアカウントで手を動かせるところなの。

Cloudflare はアイデンティティを 3 つの登場人物にたとえてるよ。Principal（旅人）＝アイデンティティ本体、Credential（パスポート）＝本人だと証明する API トークン、Policy（ビザ）＝どこに入っていいかを決める権限。この 3 つを一気に強くした、って話なんだ。

なぜ重要なの？

エージェントが自分で認証情報を持って動くようになると、その鍵が GitHub の公開リポジトリなんかにうっかり漏れたときのリスクが跳ね上がっちゃう。OWASP のエージェンティック AI の脅威でも、こういう「人間じゃない主体」の管理は大きなテーマになってるの。シークレットの漏えいは GitGuardian の調査でも根強い問題として挙げられていて、放っておけない話なんだよ。

これで何が変わるの？

まず、トークンが漏れても「気づいて止める」までがすごく速くなるの。新しいトークンは見た目でそれと分かる形になっていて、GitHub の Secret Scanning と連携して、公開された瞬間に自動で失効できるようになったよ。

OAuth まわりも、サードパーティのアプリが「どのアカウントに」「どんな権限で」つなぎに来てるかがちゃんと見えるようになって、いらなくなったアプリはあとから取り消せる。

権限も「アカウント丸ごと」じゃなく「この特定のリソースだけ」に絞れるようになるから、最小権限（least privilege）をぐっと実践しやすくなるの。

深く潜ってみよう

新しい API トークンは、用途ごとにプレフィックスが付いた形になっていて、末尾にチェックサムも入ってるよ。

User API Key:      cfk_[40文字][checksum]
User API Token:    cfut_[40文字][checksum]
Account API Token: cfat_[40文字][checksum]

このチェックサムのおかげで、失効させる前に「本物のトークンかどうか」を検証できるの。だから GitHub で見つかったときも、正しいものだけを狙って止められるんだね。

漏えい対策は Cloudflare One 側も強くて、資格情報・シークレット用の DLP プロファイルを使うと、ネットワーク（Gateway）・メール・クラウドストレージ（CASB）・AI トラフィック（AI Gateway）をまたいでトークンを検知・ブロックできるよ。

OAuth の方は、新しい「接続済みアプリケーション」ダッシュボードから、承認したアプリの一覧を見てポチッと取り消せるようになったの。同意画面ではアプリの名前・ロゴ・発行元や、要求してるスコープ、対象アカウントまで表示されるよ。

そしてリソース単位のスコープ権限は今回 GA。Access の Applications・Identity Providers・Policies・Service Tokens・Targets みたいなリソースを、単位ごとに絞って権限付与できるようになったの。アカウントスコープでは CDN Management・MCP Portals・Radar・Request Tracer・SSL/TLS Management、ゾーンスコープでは Analytics・Logpush・Page Rules・Security Center・Snippets・Zone Settings といった新しいロールも増えたよ。細かい割り当てはロールとスコープのドキュメントが詳しいから、あわせて見てみてね。

まとめ

  • 非人間アイデンティティを「Principal・Credential・Policy」の 3 層で守る 3 つのアップデートが登場
  • API トークンはプレフィックス＋チェックサム付きで、GitHub Secret Scanning 連携により漏れたら自動失効
  • Cloudflare One の DLP で、ネットワーク・メール・ストレージ・AI トラフィックを横断してトークンを検知
  • OAuth は「接続済みアプリ」で可視化＆取り消し、権限はリソース単位のスコープが GA
  • できることから始めるなら、まず API トークンのダッシュボードで古いトークンを新形式に再発行しておくのがおすすめ

AI エージェントに API を触らせてる人、Cloudflare で本番を運用してるチーム、そして「最小権限をちゃんとやりたい」セキュリティ担当さんに刺さる内容だよ！

関連記事