マルチドメインの Access アプリに、認可 Cookie 発行タイミングの選択肢が登場！

みんな、しぃちゃんだよ！今日は Cloudflare Access を使ってる管理者さんに刺さりそうな、地味だけど大事なアップデートを見つけたよ！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog によると、Access 管理者は、セルフホスト型のアプリケーションが複数の公開ホスト名にわたって認可 Cookie を事前設定するかどうかを選べるようになったよ。新しく追加された「Eager redirect cookie」という設定で切り替えるの。

今までどうだったの？

今までは、ホスト名が 5 個以下のアプリケーションには自動で eager redirect(先回りリダイレクト)が適用されていて、ユーザーがサインインした瞬間に全ホスト名ぶんの認可 Cookie がまとめて発行されていたの。逆に、ホスト名が 6 個以上あるアプリケーションでは、ユーザーが実際にそのホスト名を訪れたタイミングで初めて Cookie が発行される仕組みだったんだよね。つまり、動作がホスト名の数によって自動で決まっていて、管理者さんが選ぶことはできなかったの。

これで何が変わるの？

今回のアップデートで、ホスト名の数に関係なく、管理者さんが好きな方の動作を選べるようになったよ。新規に作成するアプリケーションでは「Eager redirect cookie」がデフォルトでオンになっていて、サインイン後にブラウザが各ホスト名を順番にリダイレクトされながら CF_Authorization Cookie を受け取る仕組みになるの。ユーザーが実際に訪れる前に複数ホスト名をまたいだリクエストを送る必要があるアプリケーションには、この動きがうれしいポイントだよ。

深く潜ってみよう

一方で、ホスト名がたくさんあるアプリケーションだと、このリダイレクトチェーンがブラウザによってはサインインループを引き起こしてしまうことがあるんだって。そういうときは「Eager redirect cookie」をオフにすれば、ユーザーが各ホスト名を訪れたタイミングだけで Cookie を発行するようになるから、ループを避けられるの。具体的な設定手順は Authorization cookie のドキュメントにまとまっているみたい。

まとめ

• Access のセルフホスト型アプリケーションで、認可 Cookie を事前設定するかどうかを管理者が選べるようになった
• 今までは 5 個以下のホスト名なら自動で先回り発行、6 個以上なら訪問時に発行、と自動で決まっていた
• 新設定「Eager redirect cookie」は新規アプリケーションでデフォルトオン
• ホスト名が多いアプリでサインインループが起きる場合は、この設定をオフにすれば回避できる

複数ドメインで Access アプリを運用してる管理者さんで、サインインまわりの挙動をきっちり制御したい人に刺さるアップデートだよ！