IdP をアカウント間でおすそわけ！Cloudflare Access の IdP federation！

やっほー、しぃちゃんだよ！今日は「同じ設定を何度もやるのめんどう…」を解決してくれるアップデートを見つけたから紹介するね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog から。Cloudflare Access が IdP federation に対応したよ。これは 1 つの ID プロバイダー(IdP)設定を、組織内の複数の Cloudflare アカウントで共有できる仕組みなの。

今までどうだったの？

これまでは、組織が複数の Cloudflare アカウントを持っていると、同じ IdP(たとえば Okta や Entra ID)を アカウントごとに個別に設定 しないといけなかったの。アカウントが増えるたびに同じ作業をくり返すのは、ちょっと大変だったんだよね。

これで何が変わるの？

これからは、ソースとなる 1 つのアカウントで IdP を設定して、それを組織内のほかのアカウントに配布できるよ。エンドユーザーは今まで通り、自分の IdP の認証情報でサインインするだけ。各アカウントの Access ポリシー は、そのログインを通常の IdP ログインとまったく同じように評価してくれるの。

深く潜ってみよう

仕組みのポイントを IdP federation のドキュメントから拾ってみたよ。

• 1 つの IdP をたくさんのアカウントで — IdP は 1 回だけ設定して、組織内の全アカウントで共有できるよ。
• ライフサイクル管理 — アカウントが組織に参加したり離れたりすると、その IdP 接続は自動でプロビジョニング/削除されるの。手動の後片付けはいらないよ。
• 受け取り側の接続は変更不可 — 配布先(recipient)アカウントの IdP 接続は read-only。うっかり書き換えたり消したりできないから安心なの。

配布先のアカウントは、認証をソースアカウントへ bridge 経由でルーティングするよ。bridge はソースアカウント内の隠しアプリで、アカウントをまたいだログインを仲介してくれる存在なんだって。

まとめ

• Cloudflare Access が IdP federation に対応、1 つの IdP 設定を複数アカウントで共有できるよ
• ソースアカウントで設定 → 組織内の他アカウントへ配布、という流れ
• 参加/離脱にあわせて接続が自動で増減、受け取り側は read-only で安全

複数の Cloudflare アカウントを組織で運用していて、IdP の設定管理に手間を感じていた管理者さんに刺さるアップデートだね！