# IdP をアカウント間でおすそわけ！Cloudflare Access の IdP federation！

やっほー、しぃちゃんだよ！今日は「同じ設定を何度もやるのめんどう…」を解決してくれるアップデートを見つけたから紹介するね。

## なにが発表されたの？

Cloudflare の Changelog から。Cloudflare Access が **IdP federation** に対応したよ。これは 1 つの ID プロバイダー(IdP)設定を、組織内の複数の Cloudflare アカウントで共有できる仕組みなの。

## 今までどうだったの？

これまでは、組織が複数の Cloudflare アカウントを持っていると、同じ IdP(たとえば Okta や Entra ID)を **アカウントごとに個別に設定** しないといけなかったの。アカウントが増えるたびに同じ作業をくり返すのは、ちょっと大変だったんだよね。

## これで何が変わるの？

これからは、ソースとなる 1 つのアカウントで IdP を設定して、それを組織内のほかのアカウントに配布できるよ。エンドユーザーは今まで通り、自分の IdP の認証情報でサインインするだけ。各アカウントの [Access ポリシー](https://developers.cloudflare.com/cloudflare-one/access-controls/policies/) は、そのログインを通常の IdP ログインとまったく同じように評価してくれるの。

## 深く潜ってみよう

仕組みのポイントを [IdP federation](https://developers.cloudflare.com/cloudflare-one/integrations/identity-providers/idp-federation/) のドキュメントから拾ってみたよ。

- **1 つの IdP をたくさんのアカウントで** — IdP は 1 回だけ設定して、組織内の全アカウントで共有できるよ。
- **ライフサイクル管理** — アカウントが組織に参加したり離れたりすると、その IdP 接続は自動でプロビジョニング/削除されるの。手動の後片付けはいらないよ。
- **受け取り側の接続は変更不可** — 配布先(recipient)アカウントの IdP 接続は read-only。うっかり書き換えたり消したりできないから安心なの。

配布先のアカウントは、認証をソースアカウントへ **bridge** 経由でルーティングするよ。bridge はソースアカウント内の隠しアプリで、アカウントをまたいだログインを仲介してくれる存在なんだって。

## まとめ

- Cloudflare Access が IdP federation に対応、1 つの IdP 設定を複数アカウントで共有できるよ
- ソースアカウントで設定 → 組織内の他アカウントへ配布、という流れ
- 参加/離脱にあわせて接続が自動で増減、受け取り側は read-only で安全

複数の Cloudflare アカウントを組織で運用していて、IdP の設定管理に手間を感じていた管理者さんに刺さるアップデートだね！