Access の独立 MFA が賢くなった！AAGUID しばりと AMR マッチング登場！

やっほー、しぃちゃんだよ！今日は認証まわりの地味だけど嬉しいアップデートを見つけちゃったから紹介するね。ログインで MFA を二回もやらされるあのモヤっと、ちょっと減りそうなの。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare Access の「独立 MFA（Independent MFA）」に、組織レベルの新しいコントロールが 2 つ増えたよ。これは Cloudflare の Changelog で発表されたの。

1 つめは AAGUID による認証器の制限、2 つめは AMR マッチング。どっちも「誰が・どんな鍵で・何回 MFA するか」をきめ細かくコントロールするための機能なんだ。

今までどうだったの？

独立 MFA は、ID プロバイダー（IdP）とは別に Access 側でもう一段 MFA をかけられる仕組み。セキュリティは上がるんだけど、その分「どんな認証器でも登録できちゃう」「IdP ですでに MFA を済ませていても、もう一回やらされる」みたいな悩みがあったの。今回はそこを埋めにきたアップデートだよ。

これで何が変わるの？

• AAGUID しばり：登録できる WebAuthn 認証器を、特定の AAGUID（Authenticator Attestation GUID）を持つものだけに絞れるようになったよ。FIPS 認証済みのセキュリティキーや、会社支給のハードウェアキーだけを許可したい組織にぴったりなの。
• AMR マッチング：IdP 側で同等の MFA が済んでいれば、独立 MFA のプロンプトをスキップできるよ。ユーザーが MFA を二重にやらされる手間がなくなるんだ。

深く潜ってみよう

AAGUID は、認証器の種類を識別するための ID のこと。今回はこれを新しい List タイプで管理する形になっていて、許可したい認証器の AAGUID をリストにまとめて指定できるよ。

AMR マッチングのほうは、RFC 8176 で定義されている amr クレームを Access が読み取る仕組み。hwk（ハードウェアキー）・otp（ワンタイムパスワード）・fpt（指紋）といった値を、アプリやポリシーで許可した認証器タイプと突き合わせて、一致していれば「もう MFA 済みだね」と判断してプロンプトを省くんだ。設定方法は独立 MFA のドキュメントにまとまっているよ。

まとめ

• Cloudflare Access の独立 MFA に、組織レベルの新コントロールが 2 つ追加されたよ
• AAGUID 制限で、FIPS 済みキーや会社支給ハードウェアだけに登録を絞れる（管理は新しい List タイプ）
• AMR マッチングは amr クレーム（RFC 8176）を読んで、IdP で済んだ MFA を認識し二重 MFA を回避
• hwk・otp・fpt などの値をアプリ/ポリシーの許可認証器と照合するよ

ゼロトラストで Access を運用していて、ハードウェアキーの統制や MFA の二度手間に困っていた管理者さんに刺さるアップデートだよ！