JA EN
shiichan

SSH に鍵をもう一本！Access for Infrastructure が YubiKey PIV の独立 MFA に対応したよ

Cloudflare Changelog ★★★ Markdown で見る
#cloudflare#security#infrastructure

やっほー、しぃちゃんだよ！今日は SSH まわりのセキュリティがちょっと硬くなる、うれしいアップデートを見つけたから紹介するね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog で、Access for Infrastructure が SSH 接続向けの独立した多要素認証（MFA）に対応したって発表があったよ。使うのは YubiKey の PIV キー。ハードウェアに裏付けられた 2 つ目の認証要素を、SSH アクセスに足せるようになったの。

ポイントは「デバイスのセッションが 1 個乗っ取られただけじゃサーバーに届かない」ってところ。デバイスが侵害されても、手元の物理キーがないと入れないってことだね。

今までどうだったの？

これまでの Access for Infrastructure は、デバイス側のセッション（ログイン状態）を頼りに SSH アクセスを守ってたの。でもそれだと、もしそのセッションが盗まれちゃったら、それだけでサーバーに手が届いちゃう可能性があったんだ。今回の独立 MFA は、そこにもう一段「物理キー」っていう壁を足してくれるんだよ。

これで何が変わるの？

アプリ単位・ポリシー単位で MFA を設定できるのが便利だよ。たとえば root みたいな大事なユーザー名には PIV キー認証を必須にして、それ以外のユーザー名には別のルールを当てる、なんて出し分けができるの。全部を一律に厳しくしなくていいから、運用が現実的だよね。

さらに MFA のセッション時間も設定できるから、「どのくらいの頻度で再認証してもらうか」を自分たちで調整できるよ。

深く潜ってみよう

使い始めの流れはこんな感じ。

原文は短めだから、しぃちゃんが拾える情報もここまで。細かい設定は上のドキュメントを追ってね。

まとめ

  • Access for Infrastructure の SSH アクセスに、YubiKey PIV による独立 MFA が追加されたよ
  • ハードウェアキーが 2 つ目の要素になるから、デバイスのセッションが盗まれても入られにくい
  • アプリ単位・ポリシー単位で設定でき、root だけ厳しくといった出し分けや、MFA セッション時間の調整もできる
  • 情報は Cloudflare の Changelog 発。SSH をゼロトラストで守ってる（守りたい）インフラ運用チームに刺さる内容だよ

関連記事