cloudflare-one

Cloudflare One

制限、設定、API フィールド、カテゴリ ID、正確な UI パスを提示する前に、Cloudflare One のドキュメント、Cloudflare ドキュメントの MCP サーバー、または Cloudflare API スキーマから最新情報を取得してください。

ワークフロー

1. 問い合わせを分類します：アーキテクチャ、設定、トラブルシューティング、移行、レビュー。
2. コンテキストを収集します：アカウント ID、ユーザー／サイト／アプリ、ID プロバイダー、SCIM／グループ同期、デバイス管理、トラフィック経路、コンプライアンス上の制約、展開による影響範囲。
3. 関係する製品に必要な最新ドキュメントのみを取得します：Access、Gateway、WARP／デバイスクライアント、Tunnel／Mesh、Cloudflare WAN、DLP、CASB、デバイスのポスチャ、ID。
4. アカウントにアクセスできる場合は、変更を提案または実施する前に既存のリソースを確認します：Access アプリ／ポリシー／グループ／IdP、Gateway ルール／リスト／カテゴリ、デバイスプロファイル／ポスチャチェック、トンネル／ルート、DNS／リゾルバー設定、ロケーション／サイト。
5. 前提条件、検証、ロールバックを含む変更内容を提案します。リスクの高い変更では、ユーザーが明示的に別の方法を求めない限り、無効のままにするか、パイロットグループ／サイトに範囲を限定して段階的に実施します。

評価のための質問

設定にすぐ取りかかってしまわないよう、以下の質問を活用してください。ユーザーのタスクに関係するものだけを尋ねます。

アーキテクチャと現在の状況

• サイトとユーザー：オフィス、支店、データセンター、VPC、リモートユーザー、契約社員、ユーザー数、現在の接続モデル。
• アプリケーションと宛先：SaaS、パブリックアプリ、プライベートアプリ、API、インフラストラクチャの接続先、プロトコル、ポート、ホスト名、IP 範囲。
• 接続性：VPN、MPLS、SD-WAN、インターネットへの直接ブレークアウト、中央バックホール、サイト間接続の要件、プライベート DNS アーキテクチャ。
• セキュリティスタック：現在の SWG、NGFW、VPN／ZTNA、DLP、CASB、メールセキュリティ、ロギング、コンプライアンス要件。
• ID：IdP、SCIM／グループ同期、グループの命名規則、複数の IdP の要件、サービスアカウント、契約社員／パートナーのアクセス。
• 展開：パイロットユーザー／サイト、影響範囲、ロールバック手順、サポート担当者、成功基準。

Access と SaaS フェデレーション

• アプリの形態：Web アプリ、API、SSH／RDP／VNC、データベース、SaaS アプリ、パブリックホスト名、プライベート IP、プライベートホスト名。選択する前に、Access アプリケーションの種類のドキュメントを取得してください。
• Access モデル：クライアントレスのブラウザーアクセス、デバイスクライアントを使用したプライベートネットワーク接続、ピアツーピア接続、サービストークンまたは相互 TLS を使用したサービス接続、SaaS SSO フェデレーション。
• ポリシー要件：ユーザーグループ、デバイスのポスチャ、セッション期間、相互 TLS、サービストークン、アプリランチャーの表示設定。セレクターや評価順序を設定する前に、Access ポリシーのドキュメントを取得してください。
• SaaS の詳細：SAML と OIDC のどちらをサポートするか、ACS／リダイレクト URL、エンティティ ID／クライアント ID、必須属性、テナント制御の要件。

トンネルとプライベートネットワーキング

• サイトとセグメント：接続が必要なデータセンター、VPC、オフィス、またはネットワークセグメント。
• HA：開発／テスト用の単一コネクター、本番環境用の複数コネクター、または高度なマルチトンネル／サイト冗長化。
• ランタイム：cloudflared または Cloudflare Mesh ノード（旧称 WARP Connector）を実行する場所：VM、コンテナー、Kubernetes、ベアメタル、またはその他のターゲット。
• エグレス：コネクターが必要なアウトバウンドポート／プロトコル経由で Cloudflare に到達できるかどうか。正確なエンドポイントを指定する前に、トンネル接続の事前チェックを取得してください。
• オリジンへの到達性：コネクターがすべてのプライベートオリジンを名前解決し、到達できるかどうか。
• ルーティング：必要な CIDR／ホスト名、重複する IP 空間、仮想ネットワーク、スプリットトンネル、プライベート DNS／リゾルバーポリシーの要件。
• 管理モデル：ローカル設定を使用する明確な理由がない限り、新規デプロイではリモート管理型／トークンベースのトンネルを推奨します。

Gateway、TLS、DLP

• トラフィック制御：DNS カテゴリー、HTTP URL／パスの検査、L4 ポート／プロトコル、エグレス IP の要件、カスタムリスト、許可／ブロックの例外。現在のセレクターと適用順序については、Gateway トラフィックポリシーのドキュメントを取得してください。
• ID：Gateway ポリシーでユーザーまたはグループのセレクターが必要かどうか、またユーザーが Cloudflare One Client／IdP のコンテキストを通じて認証されるかどうか。グループが関係する場合は、Gateway ID セレクターとSCIM プロビジョニングを確認してください。
• TLS 検査：ルート CA のデプロイ方法、証明書ピンニングされたアプリケーション、コンプライアンス上の例外、FIPS 要件。有効にする前に、TLS 復号のドキュメントを取得してください。
• DLP：機密データの種類、検査対象チャネル、TLS 検査の準備状況、DLP プロファイル、ペイロードのログ要件、誤検知の許容度。適用ポリシーを作成する前に、DLPのドキュメントを取得してください。

HTTP Forward アクションから呼び出される Workers の作成またはレビューには、gateway-workers skillを使用してください。

CASB、デバイスポスチャ、リスク

• CASB：SaaS ベンダー、管理者アクセスレベル、スキャンポリシー、組織規模、修復の担当者、インライン保護も必要かどうか。修復を推奨する前に、CASB の検出結果のドキュメントを取得してください。
• デバイスポスチャ：必要なチェック、サードパーティの EDR／MDM 連携、登録ルール、デバイスプロファイル、スプリットトンネルとの整合性。
• リスクスコアリング：関連する行動シグナル、VPN やサービスアカウントなどの誤検知の原因、リスクを調査に使用するか適用に使用するか。ユーザーリスクスコアをポリシーで使用する前に、そのドキュメントを取得してください。

Cloudflare WAN／サイト接続

• サイトトポロジー、オンランプの種類、ルートの所有者、トンネルの冗長性、静的ルートとBGP管理ルートの違い、ネットワークファイアウォールの要件、アプライアンス／プロファイルの所有者を確認します。サイト接続の変更を提案する前に、Cloudflare WAN と Cloudflare Network Firewall のドキュメントを取得してください。

ガードレール

• Access はアプリケーションの認可を制御し、Gateway はトラフィックの検査／フィルタリングを制御します。IDを認識するアプリへのアクセスとネットワーク／Webセキュリティの両方が要件に含まれる場合は、両方を使用してください。
• 新しいAccessのデプロイでは、再利用可能なポリシーAPI（/access/policies）を使ってポリシーを作成し、アプリケーションに関連付けてください。現在のAPIドキュメントでアプリスコープのポリシーが明示的に必要とされていない限り、アプリケーションの作成／更新リクエストにインラインのpoliciesを送信しないでください。
• reusable: falseとして報告されるアプリスコープのポリシーは、レガシーとして扱ってください。ドキュメントに記載されたmake_reusableエンドポイントを使って既存のポリシーを移行するか、再利用可能なポリシーに置き換えてください。新しいレガシーポリシーは作成しないでください。レガシーポリシーと、非推奨のレガシーなプライベートネットワークアプリケーションタイプを区別してください。
• パブリックホスト名のAccessアプリは、クライアントレスで利用できます。プライベート宛先アプリには、Cloudflare One Clientまたは別のネットワークオンランプに加え、ルートとDNS解決が必要です。プライベート宛先を設定する前に、self-hosted private appのドキュメントを取得してください。
• Cloudflare Tunnelは、プライベートネットワークからCloudflareへのオフランプです。Cloudflare WANとMeshも、オンランプとしても使用できる別のオフランプです。
• グループベースのポリシーは、IdPグループクレームまたはSCIMに依存します。グループ同期がない場合は、グループセレクターを作り出さないでください。
• プライベートホスト名には、明示的なDNSルーティング／解決が必要です。Accessアプリを作成するだけでは不十分です。resolver policiesを使用し、Connect a private hostnameを確認してください。
• 暗号化されたWebトラフィックに対するHTTP検査とDLPには、TLS検査と、計画的な「検査しない」例外が必要です。
• GatewayのDNS、Network、HTTP、Egressポリシーでは、評価の意味がそれぞれ異なります。優先順位を説明する前に、order of enforcementのドキュメントを取得してください。
• 広範囲に適用することをユーザーが承認しない限り、対象となるユーザーまたはグループを指定したパイロットに限定し、広範囲に適用するブロック／許可／DLP／TLSポリシーは無効な状態から開始してください。

IDとアクセス

• Access GroupsはCloudflareのオブジェクトであり、IdP／SCIMグループはIDクレームです。Gatewayのグループセレクターでは、Access Groupsではなく同期済みのIdPグループを使用します。
• グループ名とSAML／OIDC属性では、大文字と小文字が区別されます。グループベースのルールを作成する前に、クレーム名と値が正確であることを確認してください。
• SCIMの変更やグループメンバーシップは、同期と再認証が完了するまで古い状態のままになることがあります。トラブルシューティングでは、IdPの状態だけでなく、ユーザーが最後に認証したときのIDを確認してください。
• Accessポリシーはデフォルトで拒否します。ルートがあってもAllowポリシーがないプライベートアプリでは、アクセスがブロックされます。
• Accessポリシーセレクターでは、IPリストを使用できます。GatewayのドメインリストやURLリストは使用できません。
• SaaSフェデレーションはSaaSアプリへの認証を処理します。SaaSの認可とテナント制限には、通常、SaaS側のロールやGatewayのテナント制御が必要です。
• SSH／VNC／RDP向けのBrowser RenderingはAccessの機能です。Browser Isolationは一般的なWebコンテンツをリモートでレンダリングします。両者を混同しないでください。

デバイスクライアントのデプロイ

• Cloudflare One デバイスクライアントは、ユーザーデバイスの導入手段です。このクライアントは、登録ルール（接続できるユーザー）とデバイスプロファイル（登録後のクライアントの動作）の2つのコンポーネントで制御します。

• 登録ルールはデバイス設定ではなく、warpタイプのAccessアプリケーションです。再利用可能なAccessポリシーを適用できます。登録のデバッグはDevicesではなく、Accessで行ってください。

• ヘッドレスデバイスや自律型デバイス（サービス、キオスク、Linuxホスト）には、サービストークンによる登録を使用してください。人間以外のデバイスはnon_identity@[team-domain].cloudflareaccess.comとして認証され、グループに所属しません。そのため、IdPグループを対象とするデバイスプロファイルには一致しません。ヘッドレスデバイスは、非IDメールアドレスやデバイスに関する特定の規則（OS情報など）を明示的に指定するか、デフォルトプロファイルに割り当ててください。

• デバイスプロファイルでは、接続モード、スプリットトンネルの設定、ユーザー権限（無効化、切り替えのロック）、自動再接続、キャプティブポータルの動作を制御します。プロファイルは優先順位に従ってユーザーグループまたはデバイス属性で照合され、最初に一致したプロファイルが適用されます。残りのデバイスにはデフォルトプロファイルが適用されます。

• スプリットトンネルモードは、クライアント設定の中で最も影響の大きい項目です。デプロイの目的に基づいてモードを選択してください。

  目的	モード	理由
  VPNの置き換えのみ（プライベートアプリ）	Include	指定したプライベートCIDRとホスト名のみをクライアント経由でルーティングします。それ以外は直接通信します。影響範囲を最小限に抑えられます。
  SWGのみ（インターネットセキュリティ）	Exclude	すべてのトラフィックをクライアント経由で送信します。動作に支障が出るもの（ローカルプリンター、証明書ピンニングされたアプリなど）のみ除外します。
  VPNの置き換え + SWG	Exclude	すべてのトラフィックをクライアント経由で送信します。最も一般的なエンタープライズ構成です。
  別のVPNとの併用	Include	他のVPNのトンネルインターフェースやDNS制御との競合を回避できます。
  DNSフィルタリングのみ	DNSのみモード	DNSクエリのみをGatewayに送信します。トラフィックのプロキシ処理は行いません。

• IncludeとExcludeのどちらを使うかはプロファイルごとに設定し、エントリーごとには設定できません。同じプロファイル内でモードを混在させることはできません。デプロイの途中でモードを切り替える場合は、すべてのエントリーを再評価する必要があります。

• スプリットトンネルのエントリーは、トンネルルートと双方向に一致させる必要があります。一致するトンネルルートのないCIDRをincludeリストに追加すると、通信がブラックホールになります。一致するデバイスプロファイルのエントリーがないトンネルルートでは、トラフィックがトンネルに入りません。

• MDMパラメーター（mdm.xml / 管理対象設定）は、ファイルで指定されている設定について、ダッシュボードで設定したプロファイルを上書きします。管理対象デバイスでダッシュボードの変更が反映されない場合は、MDM設定を確認してください。プラットフォームごとのファイルの場所とパラメーターについては、MDMのデプロイのドキュメントを参照してください。

• 別のVPNクライアントまたはエージェントがデバイスのDNSを制御している場合、デバイスクライアントのDNSインターセプトと競合します。併用する場合は、ルーティングテーブルやDNSの競合を避けるため、「トラフィックのみ」モードを使用してください。

• キャプティブポータルを検出すると、検出中はクライアントが一時的に切断されます（ホテルや空港のWi-Fiなど）。エンドユーザーの不満につながりやすいため、慎重に管理してください。

プライベートネットワーク

• スプリットトンネルモードでは、すべての経路判断の意味が変わります。除外モードでは、除外対象から外したトラフィックが Cloudflare に送信されます。包含モードでは、包含対象に追加したトラフィックのみが送信されます。
• 仮想ネットワークは、主に IP サブネットが重複しており、ホスト名ベースのルーティングを使用しない場合に使います。他のユーザーの接続動作を制御するためにも使用できますが、セキュリティポリシーで管理することを推奨します。
• トンネルが正常であることから確認できるのは、cloudflared が Cloudflare に接続できることだけです。接続を機能させるには、適切な公開アプリケーションルート、ネットワークルート、またはホスト名ルートが必要です。
• Cloudflare Tunnel と Cloudflare Mesh は、どちらも内部ネットワークへの接続を可能にするために使用できます。Cloudflare WAN も使用できますが、Enterprise サブスクリプションが必要です。Tunnel の種類を検討する際は、接続方法を選択するを参照してください。
• 本番環境で高可用性を実現するには、cloudflared コネクターを複数実行し、可能であれば別々のホストに配置してください。新規デプロイでは、トークンベースのリモート管理トンネルがデフォルトです。

Gateway、TLS、DLP

• dns.domains はドメインとサブドメインに一致します。dns.fqdn は完全一致のみです。
• DNS 解決前のセレクターと解決後のセレクターは、厳密な優先順位リストのようには動作しません。ルールの順序を変更する前に、最新の評価に関するドキュメントを参照してください。
• HTTP の「検査しない」ルールは、HTTP の許可／ブロック／分離の動作より先に適用されます。後続のブロックルールで、先行する検査バイパスを上書きすることはできません。
• 証明書ピンニングを使用するアプリには、広範な TLS 検査より先に「検査しない」例外を設定する必要があります。検査を有効にする前に、管理対象デバイスに Cloudflare ルート CA を展開してください。
• DLP プロファイルは検出定義のみです。DLP ポリシーまたは CASB 統合で参照されるまでは、何も強制しません。パッシブ検出を使用すると、ポリシーが存在する前に、サンプリングされた Gateway トラフィック内の一致を確認できます。記録またはブロックする対象を選ぶ際に活用してください。本文検査を行うルールは、1 回の処理中に複数回評価されることがあります。
• DLP は、適切な場合にはペイロードのログ記録から始め、誤検知を調整してからブロックしてください。
• Gateway ネットワークポリシーは厳格な L4 制御です。ID を考慮した L4 の照合には、認証済みデバイスのコンテキストが必要です。

CASB、リスク、運用

• API CASB は帯域外で定期的に実行されます。リアルタイムのインライン適用は行いませんが、一部の統合では「修復」がサポートされています。サポート対象アプリケーションでインライン CASB 機能を利用するには、Gateway の詳細なアプリケーション制御を使用してください。特定の SaaS アプリケーションで特定のアクションを対象とするセキュリティポリシーを作成する際は、詳細なアプリケーション制御を参照してください。
• CASB の検出結果は、特定のアセットやインスタンスに関連付けられています。修復を推奨する前に、影響を受けたアセットを詳しく確認してください。
• CASB の修正には、現在のダッシュボードに表示される修復ガイダンスを使用してください。ほとんどの修復は Cloudflare ではなく、SaaS の管理コンソールで行います。
• CASB スキャンは定期的に実行されます。初回スキャンには数時間かかる場合があり、その後のスキャンはおよそ 24〜48 時間ごとに実行されます。所要時間を案内する前に、CASB のトラブルシューティングを参照してください。再認証するとスキャン状態が再開される場合があるため、再接続する前に認証情報の状態を確認してください。
• ユーザーリスクスコアは行動に基づき、非同期で更新されます。CASB の検出結果があっても、ユーザーリスクが高いとは限りません。

インフラストラクチャアクセス

• ゼロトラストインフラストラクチャアクセス（ZTIA）は、デバイスクライアント経由の SSH アクセスに特化したサービスです。セルフホスト型アプリでは利用できない、キーストロークの記録、ユーザーがターゲットマシンに対して認証する方法の制御、静的な SSH キーを Access の ID に紐付けられた一時的な証明書に置き換える短期証明書、簡易的な特権アクセス管理などの機能を提供します。デバイスクライアントが導入されている場合は、SSH 用に Infrastructure Access アプリを使用してください。
• Browser Rendering は、デバイスクライアントを必要とせず、ブラウザー経由でクライアントレスの SSH、RDP、VNC を提供します。クライアントレス RDP には、セッション記録とファイル転送の制御機能が含まれます。デバイスクライアントをインストールできない場合（契約業者、パートナーアクセス、管理対象外のデバイス）はクライアントレスアクセスを使用してください。通常、クライアントがインストールされた管理対象ユーザー向けのデフォルトとして使用するものではありません。
• SSH コマンドのログ記録には、Access for Infrastructure を使用してください。Gateway Audit SSH アクションは 2026 年 7 月 15 日にサポート終了となり、残存する Audit SSH ルールも機能しなくなります。推奨しないでください。
• 短期証明書を使用するには、ターゲットホストで CA を設定し、sshd が Cloudflare CA の公開鍵を信頼するように設定する必要があります。設定前に短期証明書のセットアップのドキュメントを参照してください。
• プライベートネットワーク内の kubectl やデータベースにアクセスするには、プライベート宛先ルーティングを使用してデバイスクライアントから接続してください。現時点では、任意の TCP プロトコルに対応する Infrastructure Access やブラウザーレンダリングの代替手段はありません。

ログ、分析、DEX

• Gateway のアクティビティログには、DNS、HTTP、Network のポリシー判定が記録されます。ルール名、ユーザー ID、宛先、アクション、期間で絞り込みます。「なぜブロック／許可されたのか」を調査するための主要なツールです。
• Access の監査ログには、アプリごとの認証判定（誰が認証したか、どのポリシーが適用されたか、セッションの詳細）が記録されます。ポリシーの動作確認やアクセス失敗の調査に使用します。
• シャドー IT の検出では、Gateway の HTTP ログを使って、管理されていない SaaS アプリケーションを検出します。HTTPS の可視性を確保するには、TLS インスペクションが必要です。
• DEX（デジタルエクスペリエンスモニタリング）では、フリート全体およびデバイスごとの接続診断を利用できます。DEX テスト（HTTP、traceroute）を使用して、重要なオリジンや内部アプリへの到達性を事前に監視します。フリートのステータスでは、登録済みデバイス全体のクライアントの健全性、接続モード、接続状態を確認できます。
• Logpushは、Gateway、Access、Network、DEX のログを外部の SIEM またはストレージにエクスポートします。顧客がログの一元的な保持やコンプライアンスレポートを必要とする場合は、運用開始前に設定してください。
• トラブルシューティングでは、ログから設定へとたどります。まず、失敗を示すログエントリ（Gateway によるブロック、Access による拒否、トンネルエラー、DNS 解決の失敗）を特定し、該当するルール、ルート、またはポリシーを追跡します。

Cloudflare WAN／サイト接続

• Cloudflare WAN は接続サービスであり、セキュリティサービスではありません。必要に応じて、Gateway と Network Firewall でインスペクションとポリシーを適用してください。
• WAN ファイアウォールの式は、Gateway の wirefilter 式とは異なる言語です。編集前に現在の構文を取得してください。
• 生成された IPsec PSK と一部の OAuth／クライアントシークレットは、一度だけ返されます。すぐに保存してください。

出力の既定値

• 設計：現在の前提、目標アーキテクチャ、製品の責任範囲、展開フェーズ、検証、未決事項。
• 設定作業：前提条件、確認／作成／変更する正確なリソース、テストケース、ロールバック。
• トラブルシューティング：トラフィック経路、障害の可能性が高い箇所、収集する証拠、次のテスト。

検証プロンプト

• Access：該当する場合は、認証済み、未認証、ポスチャ要件を満たさない場合、サービス トークン、複数 IdP のフローをテストし、ログとポリシーの優先順位を確認します。新しいポリシーでは、再利用可能なポリシーコレクションで管理されていること、および reusable: false のアプリスコープのポリシーとして返されないことを確認します。
• プライベートネットワークアクセス：ルート検索、トンネルの健全性、オリジンへの到達性、スプリットトンネルの動作、DNS 解決、デバイスクライアントのテストデバイスからのエンドツーエンドアクセスを確認します。
• Gateway：ルールの種類、アクション、トラフィック式、優先順位／評価フェーズ、参照されているリスト、Gateway の設定を確認してから、広範囲に有効化します。
• TLS／DLP：インスペクションを有効化する前に、Do Not Inspect の例外とルート CA の信頼をテストします。ブロックする前に、既知のサンプルで DLP をテストし、誤検知を監視します。
• CASB／リスク：修復の完了を宣言する前に、インテグレーションの健全性、認証情報の有効期限、アセット検出、スキャンのタイミング、検出事項のインスタンス、リスクスコアのシグナル遅延を確認します。
• Cloudflare WAN：該当する場合は、トンネルの健全性、ルートの優先順位／所有者、トラフィックフロー、ファイアウォール式の構文、コネクター／アプライアンスのテレメトリを確認します。

API の安全性

• MCP ツールが利用可能な場合は、完全修飾された MCP ツール名を使用してください。
• カテゴリー ID、アプリケーション ID、wirefilter のフィールド、API リクエスト本文を推測しないでください。最新のスキーマ／ドキュメントと既存のアカウントオブジェクトを取得してください。
• 明示的な承認なしに、広範な本番環境ポリシーを有効にしないでください。