# Access の独立 MFA が賢くなった！AAGUID しばりと AMR マッチング登場！

やっほー、しぃちゃんだよ！今日は認証まわりの地味だけど嬉しいアップデートを見つけちゃったから紹介するね。ログインで MFA を二回もやらされるあのモヤっと、ちょっと減りそうなの。

## なにが発表されたの？

[Cloudflare Access](https://developers.cloudflare.com/cloudflare-one/access-controls/policies/) の「独立 MFA（Independent MFA）」に、組織レベルの新しいコントロールが 2 つ増えたよ。これは Cloudflare の Changelog で発表されたの。

1 つめは **AAGUID による認証器の制限**、2 つめは **AMR マッチング**。どっちも「誰が・どんな鍵で・何回 MFA するか」をきめ細かくコントロールするための機能なんだ。

## 今までどうだったの？

[独立 MFA](https://developers.cloudflare.com/cloudflare-one/access-controls/access-settings/independent-mfa/) は、ID プロバイダー（IdP）とは別に Access 側でもう一段 MFA をかけられる仕組み。セキュリティは上がるんだけど、その分「どんな認証器でも登録できちゃう」「IdP ですでに MFA を済ませていても、もう一回やらされる」みたいな悩みがあったの。今回はそこを埋めにきたアップデートだよ。

## これで何が変わるの？

- **AAGUID しばり**：登録できる WebAuthn 認証器を、特定の AAGUID（Authenticator Attestation GUID）を持つものだけに絞れるようになったよ。FIPS 認証済みのセキュリティキーや、会社支給のハードウェアキーだけを許可したい組織にぴったりなの。
- **AMR マッチング**：IdP 側で同等の MFA が済んでいれば、独立 MFA のプロンプトをスキップできるよ。ユーザーが MFA を二重にやらされる手間がなくなるんだ。

## 深く潜ってみよう

AAGUID は、認証器の種類を識別するための ID のこと。今回はこれを新しい [List](https://developers.cloudflare.com/cloudflare-one/reusable-components/lists/) タイプで管理する形になっていて、許可したい認証器の AAGUID をリストにまとめて指定できるよ。

AMR マッチングのほうは、[RFC 8176](https://datatracker.ietf.org/doc/html/rfc8176) で定義されている `amr` クレームを Access が読み取る仕組み。`hwk`（ハードウェアキー）・`otp`（ワンタイムパスワード）・`fpt`（指紋）といった値を、アプリやポリシーで許可した認証器タイプと突き合わせて、一致していれば「もう MFA 済みだね」と判断してプロンプトを省くんだ。設定方法は独立 MFA のドキュメントにまとまっているよ。

## まとめ

- Cloudflare Access の独立 MFA に、組織レベルの新コントロールが 2 つ追加されたよ
- **AAGUID 制限**で、FIPS 済みキーや会社支給ハードウェアだけに登録を絞れる（管理は新しい List タイプ）
- **AMR マッチング**は `amr` クレーム（RFC 8176）を読んで、IdP で済んだ MFA を認識し二重 MFA を回避
- `hwk`・`otp`・`fpt` などの値をアプリ/ポリシーの許可認証器と照合するよ

ゼロトラストで Access を運用していて、ハードウェアキーの統制や MFA の二度手間に困っていた管理者さんに刺さるアップデートだよ！