インフラストラクチャアプリケーションを追加する

1. Cloudflare ダッシュボード ↗ で、Zero Trust > Access controls > Targets を開きます。
2. Add a target を選びます。
3. Target hostname に、ターゲット の分かりやすい名前を入力します。サーバーのホスト名（例: production-server）の使用を推奨します。ターゲットホスト名は一意である必要はなく、複数ターゲットで再利用できます。ホスト名は Access アプリケーションが保護するターゲットの定義に使い、DNS の名前解決には使いません。

   ホスト名の形式制限

   • 大文字小文字を区別しない
   • 253 文字以内
   • 英数字、-、. のみ（スペースは不可）
   • 先頭と末尾は英数字
4. IP addresses に、ターゲットリソースの IPv4 または IPv6 アドレス（あるいは両方）を入力します。完全な IP アドレスを入力するまで、ドロップダウンは候補を出しません。

5. ドロップダウンで、リソースがある IP アドレスと 仮想ネットワーク を選びます。この IP アドレスと仮想ネットワークの組み合わせは、このターゲットに割り当てられ、設計上ほかのターゲットでは再利用できません。
6. （任意）Tags で、ターゲットを整理するキーと値のタグを追加します。たとえば environment、team、region でターゲットをグループ化し、あとから ターゲット条件 で一致させます。各タグキーは、1 つのターゲットに 1 回だけ使えます。たとえば、1 つのターゲットに environment:production または environment:staging は付けられますが、両方は付けられません。
7. Add target を選びます。

Infrastructure Access Targets エンドポイントへ POST リクエストを送ります。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/infrastructure/targets" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"hostname": "infra-access-target",
		"ip": {
				"ipv4": {
						"ip_addr": "187.26.29.249",
						"virtual_network_id": "c77b744e-acc8-428f-9257-6878c046ed55"
				},
				"ipv6": {
						"ip_addr": "64c0:64e8:f0b4:8dbf:7104:72b0:ec8f:f5e0",
						"virtual_network_id": "c77b744e-acc8-428f-9257-6878c046ed55"
				}
		},
		"tags": {
				"environment": "production",
				"team": "platform"
		}
	}'

tags フィールドは任意です。タグの管理には Resource Tagging を使います。各キーは、ターゲットごとに 1 回だけ使えます。

1. cloudflare_api_token ↗ に、次の権限を追加します。

   • Zero Trust Write

2. cloudflare_zero_trust_infrastructure_access_target ↗ リソースを設定します。

   resource "cloudflare_zero_trust_infrastructure_access_target" "infra-ssh-target" {
   	account_id = var.cloudflare_account_id
   		hostname   = "infra-access-target"
   		ip = {
   			ipv4 = {
   				ip_addr = "187.26.29.249"
   				virtual_network_id = "c77b744e-acc8-428f-9257-6878c046ed55"
   			}
   			ipv6 = {
   				ip_addr = "64c0:64e8:f0b4:8dbf:7104:72b0:ec8f:f5e0"
   				virtual_network_id = "c77b744e-acc8-428f-9257-6878c046ed55"
   			}
   		}
   }

   Terraform でタグを管理するには、cloudflare_resource_tag ↗ リソースを使います。

Cloudflare ダッシュボード ↗ で、Zero Trust > Access controls > Targets を開きます。フィルターと並べ替えのコントロールで、タグのキーまたは値により一覧を絞り込みます。

タグでターゲットをフィルターするには、1 つ以上の tag クエリパラメーターを追加します。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/infrastructure/targets?tag=environment:production&tag=team:platform" \
  -H "Authorization: Bearer $API_TOKEN"

各フィルターでは、タグキーと値の間に : を使います。tag パラメーターを複数追加すると、Cloudflare は AND ロジックを適用します。

タグキーで並べ替えるには、order と direction パラメーターを使います。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/infrastructure/targets?order=tag:environment&direction=asc" \
  -H "Authorization: Bearer $API_TOKEN"

並べ替えパラメーターも order=tag:<key> の形で : を使います。並べ替え対象のタグフィールドを指定するためです。

1. Cloudflare dashboard ↗ で Zero Trust > Access controls > Applications を開きます。

2. Create new application を選びます。

3. Infrastructure を選びます。

4. アプリケーションに任意の名前を入力します。

5. Target criteria で、このアプリケーションが対象とするターゲットを選びます。hostname、タグ、またはその両方でターゲットを照合します。いずれかの値に一致させる場合は include を使います。すべての値に一致させる場合は require を使います。一致するターゲットを除外する場合は exclude を使います。

6. サーバーへの接続に使う Protocol と Port を入力します。

7. （任意）プロトコルが複数のポートで動く場合は、Add new target criteria を選び、同じターゲット条件とプロトコルを別のポート番号で再設定します。

8. Next を選びます。

9. ターゲットを保護するために、接続できる人と接続方法を定義するポリシーを設定します。

   1. ポリシーに任意の名前を入力します。

   2. ターゲットに到達できるユーザーに一致するルールを作成します。詳細は Access ポリシー を参照し、インフラストラクチャポリシーのセレクター の一覧を確認します。

   3. Connection context で、次の設定を行います。

      • SSH user: ユーザーがログインできる UNIX ユーザー名を入力します（例: root または ec2-user）。
      • Allow users to log in as their email alias: （任意）選択すると、ポリシー定義に一致するユーザーは、小文字化したメールアドレスのプレフィックスでターゲットにアクセスできます。たとえば [email protected] は jdoe としてログインできます。

10. Add application を選びます。

Access applications エンドポイントに POST リクエストを送ります。

次の例は、include、require、exclude を使う演算子ベースのターゲット条件形式です。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Example infrastructure app",
		"type": "infrastructure",
		"target_criteria": [
				{
						"port": 22,
						"protocol": "SSH",
						"include": {
								"target_attributes": {
										"hostname": [
												"infra-access-target"
										]
								},
								"tags": {
										"environment": [
												"production",
												"staging"
										]
								}
						},
						"require": {
								"tags": {
										"team": [
												"platform"
										]
								}
						},
						"exclude": {
								"tags": {
										"lifecycle": [
												"decommissioned"
										]
								}
						}
				}
		],
		"policies": [
				{
						"name": "Allow a specific email",
						"decision": "allow",
						"include": [
								{
										"email": {
												"email": "[email protected]"
										}
								}
						],
						"connection_rules": {
								"ssh": {
										"usernames": [
												"root",
												"ec2-user"
										]
								}
						}
				}
		]
	}'

ターゲット条件の形式の詳細は Target criteria を参照してください。

1. cloudflare_api_token ↗ に次の権限を追加します。

   • Access: Apps and Policies Write

2. cloudflare_zero_trust_access_application ↗ リソースを使って、インフラストラクチャアプリケーションを作成します。

   resource "cloudflare_zero_trust_access_application" "infra-app" {
   	account_id = var.cloudflare_account_id
   	name       = "Example infrastructure app"
   	type       = "infrastructure"
   
   	target_criteria {
   		port     = 22
   		protocol = "SSH"
   		target_attributes {
   			name = "hostname"
   			values = ["infra-access-target"]
   		}
   	}
   }

   タグでターゲットを照合するには、tags セレクター付きの include、require、または exclude ブロックを定義します。

3. cloudflare_zero_trust_access_policy ↗ リソースを使って、アプリケーションにインフラストラクチャポリシーを追加します。

   resource "cloudflare_zero_trust_access_policy" "infra-app-policy" {
   	application_id = cloudflare_zero_trust_access_application.infra-app.id
   	account_id = var.cloudflare_account_id
   	name       = "Allow a specific email"
   	decision   = "allow"
   	precedence = 1
   
   	include {
   		email = ["[email protected]"]
   	}
   
   	connection_rules {
   		ssh {
   			usernames = ["root", "ec2-user"]
   		}
   	}
   }