Cloudflare Zero Trust では、Cloudflare One Client またはサードパーティのエンドポイントセキュリティプロバイダーからの追加シグナルに基づく Zero Trust ポリシーを設定できます。デバイスポスチャチェックを設定すると、管理対象または健全なデバイスを持つユーザーだけが、保護対象のアプリケーションやネットワークリソースに接続できます。
セットアップ手順と要件は、デバイスポスチャの属性によって異なります。プロバイダーごとのセットアップガイドは、次のリンクを参照してください。
- Cloudflare One Client チェック は、Cloudflare One Client が実行します。
- サービス間チェック は、サードパーティのデバイスポスチャプロバイダーが実行します。
- Access 連携チェック は、Access アプリケーションでのみ設定できます。これらの属性は Gateway ポリシーでは使えません。
Gateway または Access ポリシーにデバイスポスチャチェックを組み込む前に、Pass / Fail の結果が想定どおりかを確認します。特定デバイスの最新テスト結果を見るには:
- Cloudflare dashboard ↗ で、Zero Trust > Team & Resources > Devices を開きます。
- デバイスを選びます。
- View details を選びます。
- Posture checks タブを選びます。
設定したデバイスポスチャチェックを、Access ポリシー、または Gateway の ネットワーク もしくは HTTP ポリシーで使えます。Access では、有効にしたデバイスポスチャ属性が、利用可能な セレクター の一覧に表示されます。Gateway では、Passed Device Posture Check セレクターを選ぶと属性が表示されます。
Cloudflare One Client と サービス間 のポスチャチェックは、デバイスのポスチャ情報を検出するために、トラフィックが Cloudflare One Client を経由している必要があります。Split Tunnel の設定 で、次のドメインが Cloudflare One Client に含まれるようにします。
- ポスチャチェックが Access ポリシーの一部である場合、Cloudflare Zero Trust への認証に使う IdP。
- ポスチャチェックが Access ポリシーの一部である場合、
<your-team-name>.cloudflareaccess.com。 - Access または Gateway ポリシーで保護しているアプリケーション。
Access は、ポスチャチェックに設定した ポーリング頻度 と同じ間隔で、デバイスポスチャの変化を検出します。
Gateway はネットワークポリシーと HTTP ポリシーをリクエストごとに評価するため、ポスチャ結果のローカルキャッシュを持ち、更新は 5 分ごとです。そのため、Gateway ポリシーにはさらに 5 分の遅延が加わります。たとえば、ポーリング頻度を 10 分に設定した場合、Gateway がデバイス上のポスチャ変化を検出するまで最大 15 分かかることがあります。
flowchart LR accTitle: デバイスポスチャポリシーの適用 A[デバイス] --スケジュール--> B[Cloudflare One Client]--> C((Cloudflare)) --> D[Access ポリシー] C --5 分--> E[キャッシュ] --> F[Gateway ポリシー] A --> G[サービスプロバイダー] --間隔--> C
デフォルトでは、Cloudflare 上のポスチャ結果は、新しいデータで上書きされるまで有効です。API で expiration 時間を指定できます。有効期限は ポーリング頻度 の少なくとも 2 倍にすることを推奨します。たとえば、ポスチャチェックのポーリング頻度が 1 時間なら、有効期限は 2 時間以上に設定します。
デフォルトでは、Cloudflare One Client は 5 分ごとにデバイスの状態変化をポーリングします。ポーリング頻度を変更するには、API で schedule パラメーターを更新します。
サービス間連携 を設定するとき、Cloudflare がサードパーティ API を問い合わせる間隔としてポーリング頻度を選びます。API でポーリング頻度を設定するには、interval パラメーターを使います。