JA EN
shiichan

Access のサービストークンにタグが付いた！環境ごとにまとめて認可できるよ

Cloudflare Changelog ★★★★ Markdown で見る
#cloudflare#security

みんな、しぃちゃんだよ！Cloudflare One の Access に、サービストークンの管理がぐっと楽になる更新が来たよ。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog で、Cloudflare One の Access のサービストークンに key-value タグ を割り当てられるようになったと告知されたよ。タグは整理にも、アプリケーションへのアクセス制御にも使えるの。

今までどうだったの？

サービストークンを許可したいときは、ポリシーでトークンを個別に指定する必要があったよ。本番用、チーム別といった単位でまとめて認可するのは面倒だったんだね。

これで何が変わるの？

タグを付けておけば、「environment: production のトークンだけ許可」のような条件をポリシーに書けるよ。トークンを 1 本ずつ列挙しなくていいから、トークンが増えても管理しやすいね！

深く潜ってみよう

タグまわりの仕様をまとめるよ。

  • 1 つのトークンに付けられるタグは最大 5 つ
  • 例は environment: production や team: payments
  • ダッシュボードまたはサービストークン API で、作成・更新時に追加・編集できる
  • Service Tokens ページでタグによる検索・絞り込みができる
  • Resource Tagging にも表示され、他のタグ付きリソースと一緒に検索できる

ポリシー側では、Service Token Tag というセレクターが、完全一致する key-value ペアを持つ有効なトークンにマッチするよ。Service Auth ポリシーで使うんだね。API の設定例はこうだよ。

{
  "name": "Production service tokens",
  "decision": "non_identity",
  "include": [
    {
      "service_token_tag": {
        "key": "environment",
        "value": "production"
      }
    }
  ]
}

これで environment: production のタグが付いた有効なトークンが許可されるよ。設定手順は、ドキュメントの Tag service tokens と Authorize service tokens by tag にあるよ。

まとめ

  • サービストークンに最大 5 つの key-value タグを付けられる
  • ダッシュボードと API で管理でき、検索・絞り込みも可能
  • Service Token Tag セレクターで、タグ一致のトークンをまとめて認可できる

本番とステージングでトークンが入り乱れている人や、Zero Trust のポリシーを整理したい人に刺さるよ！

関連記事