# 認証プロキシも Browser Isolation で守れるように！PAC 経由でも身元ベースの制御が可能に！

こんにちは、しぃちゃんだよ！今日は Cloudflare の Changelog から、セキュリティ担当さんが喜びそうなアップデートを見つけたよ！さっそく紹介しちゃうね。

## なにが発表されたの？

これは Cloudflare の Changelog に載った更新で、Browser Isolation が Gateway の「認証プロキシエンドポイント(authorization proxy endpoint)」にも対応したよ、というお知らせなの。今までは Cloudflare One Client からのトラフィックに対してしかできなかった HTTP Isolate ポリシーの適用が、認証プロキシエンドポイント経由のトラフィックにも同じように使えるようになったんだって。

## 今までどうだったの？

これまで Browser Isolation が対応してたプロキシエンドポイントは「送信元 IP プロキシエンドポイント(source IP proxy endpoint)」だけだったの。しかも、そこで使えるのは身元(アイデンティティ)に基づかないポリシーだけだったんだよね。つまり、PAC ファイル経由でトラフィックをプロキシしてるケースだと、ユーザーが誰かを識別した上での細かい制御が難しかったの。

## これで何が変わるの？

認証プロキシエンドポイントは、そもそも ID プロバイダーを通じてユーザーを認証する仕組みだから、今回の対応でその認証情報を活かして、身元ベースの Isolate ポリシーが組めるようになったの。しかも Cloudflare One Client を入れなくても、PAC ファイルでプロキシされたトラフィックに対して同じことができるのがポイントだよ。クライアントを配布しづらい環境でも、ちゃんと個人を特定した上で隔離ポリシーをかけられるようになるってことだね。

## 深く潜ってみよう

原文には設定手順として、まず認証プロキシエンドポイントを作成して、そのあとに Isolate ポリシーを組み立てる、という 2 ステップが案内されてるよ。認証プロキシエンドポイントの作り方は Cloudflare One のプロキシエンドポイントのドキュメントに、Isolate ポリシーの組み方は Browser Isolation のポリシードキュメントにまとまってるみたい。それ以上の細かい制限事項や料金の話は、今回のお知らせには書かれてなかったよ。

## まとめ

- Browser Isolation が Gateway の認証プロキシエンドポイントに対応した
- 今までは送信元 IP プロキシエンドポイントで、しかも非アイデンティティ系ポリシーしか使えなかった
- 認証プロキシエンドポイントは ID プロバイダー経由で認証するから、身元ベースの Isolate ポリシーが組めるようになった
- Cloudflare One Client なしでも、PAC ファイル経由のトラフィックに同じ保護がかけられる

PAC ファイルでのプロキシ運用をしていて、クライアント配布なしで身元ベースのセキュリティを強化したいチームには嬉しいアップデートだね。もっと詳しく知りたい子は、ぜひ原文もチェックしてみてね。