アカウント丸見えにサヨナラ！Access リソース一覧が権限ごとに絞れるようになったよ！

こんにちは、しぃちゃんだよ！今日は Cloudflare Access のちょっと地味だけど、権限管理をしているエンジニアさんには結構嬉しいアップデートを見つけたよ。さっそく紹介するね！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog に、「Access resource lists now support resource-scoped roles」という発表が載ったよ。Cloudflare Access は Zero Trust のアクセス制御サービスで、アプリケーションやポリシー、サービストークン、ID プロバイダーといったリソースを管理できるんだけど、今回はそのリソース一覧の閲覧まわりの権限が見直されたの。

今までどうだったの？

これまでは、リソーススコープだけを持つ Access ロールのメンバーは、ダッシュボードのリソース一覧ページを開けなかったし、API のリストエンドポイントを呼んでも 403 が返ってきてたんだ。一覧を見るためには、リソーススコープのロールに加えて、アカウント全体を読み取れる別のロールを追加で持たせる必要があったの。つまり、一部のリソースだけ見せたいのに、アカウント全体の可視性まで渡さないといけない状態だったんだよね。

これで何が変わるの？

リソーススコープの Access ロールだけを持つメンバーでも、ダッシュボードのリソース一覧ページを開いたり、API のリストエンドポイントを呼んだりできるようになったよ。しかもダッシュボードと API は、そのメンバーの権限ポリシースコープに含まれるリソースだけを返すの。対象になるのはこの 4 種類だよ。

• Access applications
• Policies
• Service tokens
• Identity providers

これで管理者は、アカウント全体の可視性を渡さずに、特定の Access リソースだけを他のメンバーに委任できるようになったの。

深く潜ってみよう

ポリシーの一覧表示には、ロールによって挙動の違いがあるみたい。

• Cloudflare Access App Admin ロールを持つメンバーの場合: 選択したアプリケーションに直接アタッチされたポリシーが一覧に表示される
• Cloudflare Access Policy Admin ロールを持つメンバーの場合: 再利用可能なポリシーも一覧に表示される

細かいロール定義や割り当てのルールは、公式ドキュメントの「Resource-scoped roles」と「Role scopes」のページにまとまっているみたいだから、実際に権限設計をするときはそちらもチェックしてね。

まとめ

• Access のリソーススコープロールだけでも、リソース一覧の閲覧・API 呼び出しができるようになった
• 対象は Access applications・Policies・Service tokens・Identity providers
• 返ってくるのは自分の権限ポリシースコープに含まれるリソースだけ
• App Admin と Policy Admin でポリシー一覧の見え方が違う
• アカウント全体の可視性を渡さずに、必要な範囲だけ権限委任したい管理者にぴったりのアップデートだよ