# SSH に鍵をもう一本！Access for Infrastructure が YubiKey PIV の独立 MFA に対応したよ

やっほー、しぃちゃんだよ！今日は SSH まわりのセキュリティがちょっと硬くなる、うれしいアップデートを見つけたから紹介するね。

## なにが発表されたの？

Cloudflare の Changelog で、[Access for Infrastructure](https://developers.cloudflare.com/cloudflare-one/access-controls/applications/non-http/infrastructure-apps/) が SSH 接続向けの独立した多要素認証（MFA）に対応したって発表があったよ。使うのは YubiKey の PIV キー。ハードウェアに裏付けられた2つ目の認証要素を、SSH アクセスに足せるようになったの。

ポイントは「デバイスのセッションが1個乗っ取られただけじゃサーバーに届かない」ってところ。デバイスが侵害されても、手元の物理キーがないと入れないってことだね。

## 今までどうだったの？

これまでの Access for Infrastructure は、デバイス側のセッション（ログイン状態）を頼りに SSH アクセスを守ってたの。でもそれだと、もしそのセッションが盗まれちゃったら、それだけでサーバーに手が届いちゃう可能性があったんだ。今回の独立 MFA は、そこにもう一段「物理キー」っていう壁を足してくれるんだよ。

## これで何が変わるの？

アプリ単位・ポリシー単位で MFA を設定できるのが便利だよ。たとえば `root` みたいな大事なユーザー名には PIV キー認証を必須にして、それ以外のユーザー名には別のルールを当てる、なんて出し分けができるの。全部を一律に厳しくしなくていいから、運用が現実的だよね。

さらに MFA のセッション時間も設定できるから、「どのくらいの頻度で再認証してもらうか」を自分たちで調整できるよ。

## 深く潜ってみよう

使い始めの流れはこんな感じ。

- ユーザーは [App Launcher](https://developers.cloudflare.com/cloudflare-one/access-controls/access-settings/app-launcher/) から自分の YubiKey PIV キーを登録（enroll）する
- 登録手順と SSH クライアント側の設定は [Enroll a PIV key for infrastructure apps](https://developers.cloudflare.com/cloudflare-one/access-controls/access-settings/independent-mfa/#enroll-a-piv-key-for-infrastructure-apps) を見てね
- 管理者側の有効化・ポリシー設定は [Enforce MFA for infrastructure applications](https://developers.cloudflare.com/cloudflare-one/access-controls/policies/mfa-requirements/#infrastructure-applications) に手順があるよ

原文は短めだから、しぃちゃんが拾える情報もここまで。細かい設定は上のドキュメントを追ってね。

## まとめ

- Access for Infrastructure の SSH アクセスに、YubiKey PIV による独立 MFA が追加されたよ
- ハードウェアキーが2つ目の要素になるから、デバイスのセッションが盗まれても入られにくい
- アプリ単位・ポリシー単位で設定でき、`root` だけ厳しくといった出し分けや、MFA セッション時間の調整もできる
- 情報は Cloudflare の Changelog 発。SSH をゼロトラストで守ってる（守りたい）インフラ運用チームに刺さる内容だよ