アイデンティティベースのポリシー
Cloudflare Zero Trustを使用すると、ユーザーのアイデンティティレベルまでフィルタリングするSecure Web Gatewayポリシーを作成できます。そのためには、一連のアイデンティティベースのセレクターを使用してDNS、HTTP、またはネットワークポリシーを構築できます。これらのセレクターを使用するには、WARPモードのゲートウェイでZero Trust WARPクライアントを展開する必要があります。
また、デバイスポスチャーチェックからの追加のシグナルに基づいて、アウトバウンドトラフィックをフィルタリングすることもできます。
ユーザーがログインまたは再認証するとき、ゲートウェイはアイデンティティをチェックします。ユーザーのアイデンティティを確認し、定期的に再認証を要求するには、WARPクライアントセッションの期間を強制することができます。
SCIMプロビジョニングをサポートするIdPを使用しない限り、ゲートウェイはユーザーがIdPのグループに追加または削除されたときに、ユーザーがZero Trustインスタンスに再認証するまで検出しません。ユーザーが再認証する方法は2つあります：
- アクセス保護されたアプリケーションからログアウトし、再度ログインする。
- WARPクライアントの設定で、Preferences > Account > Re-Authenticate Sessionを選択します。これによりブラウザウィンドウが開き、ユーザーにログインを促します。
ゲートウェイがポリシーを評価する際に使用するアイデンティティを確認するには、ユーザー登録を確認してください。
ゲートウェイは、SCIMプロビジョニングで構成されたIdPのユーザー名、役職、およびグループメンバーシップの変更を自動的に検出します。SCIMをサポートするIdPには以下が含まれます：
- Microsoft Entra ID (formerly known as Azure AD)
- Okta
詳細については、SCIMプロビジョニングを参照してください。
Extended email addresses (also known as plus addresses) are variants of an existing email address with + or . modifiers. Many email providers, such as Gmail and Outlook, deliver emails intended for an extended address to its original address. For example, providers will deliver emails sent to contact+123@example.com or con.tact@example.com to contact@example.com.
By default, Gateway will either filter only exact matches or all extended variants depending on the type of policy and action used:
DNS policies
| Action | Behavior |
|---|---|
| Allow | Match exact address only |
| Block | Match exact address and all variants |
| Override | Match exact address and all variants |
| Safe Search | Match exact address and all variants |
| YouTube Restricted | Match exact address and all variants |
Network policies
| Action | Behavior |
|---|---|
| Allow | Match exact address only |
| Audit SSH | Match exact address and all variants |
| Block | Match exact address and all variants |
| Network Override | Match exact address only |
HTTP policies
| Action | Behavior |
|---|---|
| Allow | Match exact address only |
| Block | Match exact address and all variants |
| Do Not Inspect | Match exact address only |
| Do Not Isolate | Match exact address only |
| Do Not Scan | Match exact address only |
| Isolate | Match exact address and all variants |
Other policies
| Policy type | Behavior |
|---|---|
| Egress policy | Match exact address only |
| Resolver policy | Match exact address only |
To force Gateway to match all email address variants, go to Settings > Network > Firewall and turn on Match extended email addresses. This setting applies to all firewall, egress, and resolver policies.
SAML属性アサーションから値を指定します。
| UI名 | API例 |
|---|---|
| SAML属性 | identity.saml_attributes == "\"group=finance\"" |
このセレクターを使用して、ユーザーのメールに基づくアイデンティティベースのゲートウェイルールを作成します。
| UI名 | API例値 |
|---|---|
| ユーザーのメール | identity.email == "user-name@company.com" |
このセレクターを使用して、ユーザーがIdPでメンバーとして構成されているIdPグループIDに基づくアイデンティティベースのゲートウェイルールを作成します。
| UI名 | API例 |
|---|---|
| ユーザーグループID | identity.groups.id == "12jf495bhjd7893ml09o" |
このセレクターを使用して、ユーザーがIdPでメンバーとして構成されているIdPグループのメールアドレスに基づくアイデンティティベースのゲートウェイルールを作成します。
| UI名 | API例 |
|---|---|
| ユーザーグループメール | identity.groups.id == "contractors@company.com" |
このセレクターを使用して、ユーザーがIdPでメンバーとして構成されているIdPグループ名に基づくアイデンティティベースのゲートウェイルールを作成します。
| UI名 | API例 |
|---|---|
| ユーザーグループ名 | identity.groups.name == "\"finance\"" |
このセレクターを使用して、特定のユーザーのIdPユーザー名に基づくアイデンティティベースのゲートウェイルールを作成します。
| UI名 | API例 |
|---|---|
| ユーザー名 | identity.name == "user-name" |
Cloudflare Gatewayは、組織のアイデンティティプロバイダー（IdP）と統合できます。IdPユーザーまたはグループのためにゲートウェイポリシーを構築する前に、IdPを認証方法として追加することを確認してください。
IdPはユーザーグループを異なる形式で公開するため、適切なアイデンティティベースのセレクターを選択するために以下のリストを参照してください。
| セレクター | 値 |
|---|---|
| ユーザーグループID | 61503835-b6fe-4630-af88-de551dd59a2 |
値は、AzureグループのオブジェクトIDです。
SCIMでユーザーとグループの同期を有効にした場合、同期されたグループは_ユーザーグループ名_の下に表示されます：
| セレクター | 値 |
|---|---|
| ユーザーグループ名 | SCIM group |
| セレクター | 値 |
|---|---|
| ユーザーグループ名 | Marketing |
| セレクター | 値 |
|---|---|
| ユーザーグループ名 | Marketing |
OktaをOIDCプロバイダーとして追加した場合、ユーザーグループ名セレクターを使用します：
| セレクター | 値 |
|---|---|
| ユーザーグループ名 | Marketing |
Okta OIDC統合は、SCIMを使用したユーザーとグループの同期をサポートしています。
OktaをSAMLプロバイダーとして追加した場合、SAML属性セレクターを使用します：
| セレクター | 属性名 | 属性値 |
|---|---|---|
| SAML属性 | groups | Marketing |
一般的なSAMLプロバイダーの場合、SAML属性セレクターを使用します：
| セレクター | 属性名 | 属性値 |
|---|---|---|
| SAML属性 | department | Marketing |
カスタムOIDCクレームは、ゲートウェイポリシーではサポートされていません。