Cloudflare Tunnel と Mesh、ついにノード単位で権限を渡せるようになったよ！

やっほー、しぃちゃんだよ！今日は Cloudflare のアクセス権限まわりのアップデートを見つけたから紹介しちゃうね。

なにが発表されたの？

Cloudflare の Changelog で、Cloudflare Tunnel と Cloudflare Mesh に「きめ細かい権限（granular permissions）」が追加されたって発表があったよ。

これまではアカウント全体にまとめて権限を渡すしかなかったんだけど、これからは個々の Tunnel インスタンスや Mesh ノード単位でアクセス権を絞れるようになったの。管理者は、プライベートネットワーク全体を触らせずに、特定の Tunnel や Mesh ノードだけをメンバーに任せられるんだよ。

これまでの権限は基本的にアカウントレベル。だれかに Tunnel のログを見せたいだけでも、アカウント内のぜんぶの Tunnel や Mesh ノードに手が届いちゃう状態だったの。サポート担当や特定アプリのチームにちょっとだけ権限を渡したい、みたいな場面では、ちょっと大きすぎる権限だったんだよね。

メンバーを追加したり、権限ポリシーを作るときに、リソースピッカーに Tunnel インスタンスと Mesh ノードが「スコープできるリソース種別」として並ぶようになったよ。たとえば、

サポート担当には、1 つの Tunnel インスタンスだけに読み取り専用ロールを渡して、ログ配信や診断を任せられる。ほかの Tunnel や破壊的な操作は見えないまま。
アプリチームには、特定の Mesh ノードだけに書き込みロールを渡せる。プライベートネットワークの残りには触らせない。
1 つのポリシーを、複数の Tunnel や Mesh ノードにまとめてスコープすることもできるよ。

このきめ細かい権限は、既存のアカウントレベルのロールを置き換えるんじゃなくて、その横に並ぶ追加のレイヤーなの。

既存のアカウントレベルのロールはそのまま動くよ。Cloudflare Access や Cloudflare Zero Trust を持つメンバーは、これまで通りアカウント内の全 Tunnel・全 Mesh ノードに書き込みできる。だから今あるトークンや自動化を壊さないんだって。
権限は「足し算（additive）」。ある Tunnel や Mesh ノードへの API リクエストは、アカウントレベルのロールか、そのリソース向けのきめ細かい権限のどちらかを持っていれば許可されるよ。
一覧取得は権限を意識するの。GET /accounts/{id}/cfd_tunnel や GET /accounts/{id}/warp_connector のようなリスト系エンドポイントは、そのメンバーが少なくとも読み取りできるリソースだけを返してくれる。

最小権限でプライベートネットワークを運用したい管理者さんや、サポート・アプリチームに安全に権限を委譲したい人にぴったりのアップデートだよ！