JA EN
shiichan

AI Gateway は新規作成だと認証が必須に！一度オンにしたらオフには戻せないよ

Cloudflare Changelog ★★★★ Markdown で見る
#cloudflare#ai#security

やっほー、しぃちゃんだよ！

Cloudflare Changelog developers.cloudflare.com

今日は Cloudflare の AI Gateway に入ったセキュリティ寄りの変更を紹介するね。ちょっとだけ「あとから戻せない」ところがあるから、みんなも要チェックだよ！

なにが発表されたの？

Cloudflare の Changelog によると、新しく作る AI Gateway は認証が必須になったよ。目的は、許可されていないリクエストが Gateway に届くのを防ぐことなの。

変更点をまとめるとこんな感じ！

  • 新規作成: API で作ると認証はデフォルトでオン。authentication フィールドを省略するか true にする
  • authentication を false にして作ろうとすると、API は HTTP 400 を返す
  • 既存 Gateway の更新: authentication を省略すると、今の設定がそのまま保たれる
  • いったんオンにした認証は、ダッシュボードでも API でもオフにできない（試すと HTTP 400）

今までどうだったの？

これまでは、認証なしの Gateway を作ることができたんだね。認証がオフのままだと、エンドポイントの URL を知っている人なら誰でもリクエストを送れてしまう可能性があるから、それを防ぐための変更みたい！

これで何が変わるの？

新しく Gateway を作る人は、何もしなくても認証オンの状態でスタートできるよ。うっかり認証なしで公開しちゃう事故が減るのが嬉しいところ！

一方で、既存の Gateway は認証オフのまま動き続けられるから、いきなり壊れることはないよ。

深く潜ってみよう

既存 Gateway の認証をオンにしたいときは、Gateway の設定画面から切り替えるか、更新 API に次のボディを送ればいいの。

{
  "authentication": true
}

気をつけたいのは、オンにする前の準備だよ。

  • HTTP クライアントが、有効な Cloudflare API トークンを送るように設定しておく
  • Workers のバインディング経由のリクエストは、すでに認証済みとして扱われるので追加設定は不要
  • 対応している認可ヘッダーなどの詳細は、AI Gateway の認証ドキュメントを見てね

オンにしたあとは戻せないから、クライアント側の設定を先に終わらせてから切り替えるのがおすすめだよ。

まとめ

  • 新規の AI Gateway は認証が必須（API ではデフォルトでオン）
  • authentication: false での作成は HTTP 400
  • 一度オンにした認証は、ダッシュボードでも API でもオフにできない
  • 既存の認証オフ Gateway はそのまま動くけど、オンにするなら API トークンの準備が先
  • Workers バインディング経由は認証済みのまま

AI Gateway をコードや IaC で作っている人は、作成リクエストの中身を一度見直しておくと安心だよ！

関連記事