クライアントセッション

クライアントセッションは、Cloudflare One Client（旧称 WARP）の利用中に、ユーザーが ID プロバイダー（IdP）で再認証する頻度を制御します。単一のグローバルセッションタイムアウトを強制する従来の VPN と異なり、Cloudflare One ではアプリケーションごと、またはポリシーごとにセッションタイムアウトを設定できます。セッションタイムアウトは、Access アプリケーション向け、または Gateway ポリシーの一部として設定できます。

ユーザーが保護されたアプリケーションまたは Web サイトにアクセスすると、Cloudflare はデバイスクライアントのセッション期間を、設定済みのセッションタイムアウトと照合します。セッションの期限が切れている場合、Cloudflare One Client への登録に使った ID プロバイダー（IdP）での再認証が求められます。

Cloudflare One Client がユーザーにセッションの再認証を求めます。

注: この画像のラベルは、以前の製品名を反映している場合があります。

デバイスクライアントのセッション期間は、再認証のきっかけに関係なく、ユーザーが IdP で再認証するたびにゼロにリセットされます。

前提条件

IdP および <your-team-name>.cloudflareaccess.com へのトラフィックが、Cloudflare One Client 経由で到達できることを確認します。

Gateway でクライアントセッションを設定する

Allow アクションを持つ Gateway の Network ポリシーおよび HTTP ポリシーに、デバイスクライアントのセッションタイムアウトを適用できます。セッションタイムアウトを指定しない場合、デバイスクライアントセッションの有効期間はデフォルトで無制限です。

セッションタイムアウトは Gateway の DNS ポリシーには影響しません。ユーザーの再認証が必要な状態でも、DNS ポリシーは有効なままです。

Gateway ポリシーにセッションタイムアウトを設定する手順は次のとおりです。

Cloudflare ダッシュボード ↗ で Zero Trust > Traffic policies > Firewall policies を開きます。Network または HTTP を選びます。
ポリシーを追加し、Allow アクションを選びます。既存の Allow ポリシーを選ぶこともできます。
Step 4 - Configure policy settings で、Enforce Cloudflare One Client session duration の横にある Edit を選びます。
セッションの有効期限を 1h30m0s 形式で入力して保存します。
ポリシーを保存します。

cloudflare_api_token ↗ に次の権限を追加します。
- Zero Trust Write
Allow アクションを持つ Network（l4）または HTTP（http）ポリシーを選びます。

ポリシーの rule_settings ↗ で、check_session 引数を使い、セッションタイムアウトを有効にして設定します。

resource "cloudflare_zero_trust_gateway_policy" "network_allow_wiki_IPs" {
	name        = "Company Wiki Network policy"
	enabled     = true
	account_id  = var.cloudflare_account_id
	description = "Managed by Terraform - Allow employees to access company wiki IPs."
	precedence  = 103
	action      = "allow"
	filters     = ["l4"]
	traffic     = "net.dst.ip in ${"$"}${cloudflare_zero_trust_list.wiki_IPs.id}"
	identity    = "identity.email matches \".*@example.com\""

	rule_settings = {
		check_session = {
			enforce = true
			duration = "1h30m0s"
		}
	}
}

このポリシーで保護するアプリケーションに、セッションチェックが有効になります。ポリシーの定義外のアプリケーションには、ユーザーは引き続きアクセスできます。

Access でクライアントセッションを設定するベータ

ユーザーがデバイスクライアントセッションを使って Access アプリケーションにログインできるようにできます。Authenticate with Cloudflare One Client は、Allow または Block ポリシーで保護された Access アプリケーションでのみサポートされます。

Access アプリケーション向けにデバイスクライアントセッションを設定する手順は次のとおりです。

Cloudflare ダッシュボード ↗ で Zero Trust > Access controls > Access settings を開きます。
Authenticate with Cloudflare One Client を有効にします。
Session duration で、最大 90 日までのセッションタイムアウト値を選びます。このタイムアウトは、Authenticate with Cloudflare One Client が有効なすべての Access アプリケーションに適用されます。

（任意）既存および新規のすべてのアプリケーションで Authenticate with Cloudflare One Client をデフォルトで有効にするには、Apply to all Access applications を選択します。このデフォルト設定は、Access アプリケーションの作成または変更時に、アプリケーション単位で上書きできます。
Save を選択します。

ユーザーは Cloudflare One Client で一度認証すれば、設定した期間、Access アプリケーションにアクセスできます。セッションタイマーは、ユーザーが Cloudflare One Client への登録に使った IdP で再認証するとリセットされます。

IdP でのユーザー操作を必須にする

ユーザーが IdP とアクティブなブラウザーセッションを持っている場合、Cloudflare One Client は既存のブラウザ Cookie を使って再認証し、資格情報の再入力は求められません。この動作を上書きして、IdP での明示的なユーザー操作を必須にできます。

対応 IdP

Microsoft Entra ID

手動で再認証する

Cloudflare Access のセッションを手動で更新し、アイデンティティプロバイダー（IdP）からグループ情報を取り込むには、ブラウザーで次の URL を開き、チーム名を入れます。

https://<your-team-name>.cloudflareaccess.com/cdn-cgi/access/refresh-identity

再認証すると、セッション期間がリセットされ、組織の IdP から最新のグループ情報を取得します。

制限事項

デバイスあたり 1 ユーザーのみ — デバイスがすでにユーザー A で登録されている場合、ユーザー B はそのデバイスの再認証フローではログインできません。デバイス登録を別のユーザーに切り替えるには、ユーザー A が先に Zero Trust からログアウトするか（Allow device to leave organization が有効な場合）、管理者が Team & Resources > Devices から登録を取り消します。その後、ユーザー B は正しく登録できます。
アクティブな接続は終了しません — SSH や RDP などのアクティブなセッションは、タイムアウトを超えても接続されたままです。
Binding Cookie は非対応です - Binding Cookie が有効な Access アプリケーションでは、Authenticate with Cloudflare One Client は動作しません。