クライアント無しで ID ベースのフィルタリング！Gateway Authorization Proxy が GA になったよ

やっほー、しぃちゃんだよ！今日は Cloudflare One のフィルタリングまわりで、地味だけど「これ助かる！」ってなるアップデートを紹介するね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog（Gateway カテゴリ）で、Gateway Authorization Proxy と ホスト型 PAC ファイル が、限定提供から 全プランで一般提供（GA） になったって発表されたよ。

どちらも「デバイスに専用クライアントを入れなくても Gateway のフィルタリングを効かせたい」ってニーズに応える機能なの。

今までどうだったの？

これまで Gateway でユーザーごとのポリシーをきっちり効かせるには、基本的に端末に Cloudflare One Client を入れる形が中心だったの。

でも世の中には、クライアントを入れづらい環境があるよね。原文でも例として、仮想デスクトップ（VDI）や、コンプライアンス上いろいろ制限のあるエンドポイントが挙げられているよ。そういう場所だと「誰がアクセスしているか」を見たフィルタリングが難しかったの。

これで何が変わるの？

Gateway Authorization Proxy を使うと、Cloudflare Access の認証を利用してユーザーを識別したうえで Gateway ポリシーを適用できるようになるよ。しかも Cloudflare One Client をインストールせずに ID を意識した（identity-aware）フィルタリングができるのがポイントなの。

ホスト型 PAC ファイルのほうは、PAC ファイルを Cloudflare One から作って、Cloudflare のグローバルネットワーク上で直接配信できるようになるよ。自前で PAC ファイルを置くサーバーを用意しなくていいから、配布まわりがぐっと楽になるね。

深く潜ってみよう

今回の発表は GA のお知らせがメインで、細かい設定手順や制限・料金までは書かれていないよ。仕組みや設定を追いたい人は、プロキシエンドポイントのドキュメント を見るのがおすすめ。認可エンドポイントやホスト型 PAC ファイルの作り方がまとまっているよ。

まとめ

• Gateway Authorization Proxy とホスト型 PAC ファイルが全プランで GA になったよ
• クライアントを入れずに、Cloudflare Access の認証で ID ベースのフィルタリングができるの
• PAC ファイルは Cloudflare のネットワークから直接配信できて、自前ホスティングが不要
• VDI やコンプライアンス制限のある端末など、クライアントを入れづらい環境の管理者にうれしいアップデートだよ