ハードウェア保護の登録

ハードウェア保護の登録は、デバイス登録を、デバイスハードウェアに保存されたエクスポートできない秘密鍵に紐づけます。Cloudflare One Client はこの鍵を使い、API リクエストがその登録を作成したデバイスから来ていることを証明します。

デフォルトでは、Cloudflare One Client は API トークンをデバイスのキーストアに保存します。攻撃者がそのトークンを取り出すと、別のデバイスから再利用できます。ハードウェア保護の登録は、デバイスハードウェアから出ない鍵で各 API リクエストを認証することで、このトークン抽出を防ぎます。

ハードウェア保護の登録を有効にする前に、次の点に注意してください。

• 再登録が必要です。 設定のオン / オフを切り替えると、既存の登録は無効になり、対象デバイスは再度登録する必要があります。Cloudflare One Client は、ハードウェア保護の登録と通常の登録の間で登録を移行しません。
• 組織レイヤーで設定します。 organization_configs に hardware_backed_registration を設定し、組織のすべての構成に一貫して適用します。
• 証明書には有効期限があります。 ハードウェア保護の証明書の有効期間は 90 日です。長期休暇などで証明書の期限切れまでオフラインだったデバイスは、再度登録する必要があります。

ハードウェア保護の登録が有効なとき、Cloudflare One Client は デバイス登録 のあいだに次の手順を実行します。

1. クライアントは、デバイス上のハードウェアセキュリティモジュールで、エクスポートできない鍵ペアを生成します。
2. クライアントはその鍵の証明書署名要求（CSR）を作成し、登録リクエストと一緒に送信します。
3. Cloudflare はその鍵向けのクライアント証明書を発行し、クライアントへ返します。
4. クライアントは以降のすべての API リクエストを 相互 TLS（mTLS） で認証し、ハードウェア保護の鍵で TLS ハンドシェイクに署名します。

Cloudflare は、登録に保存されている証明書と照合して各リクエストを検証します。一致する証明書を提示しないリクエストは拒否されます。秘密鍵はデバイスから取り出せないため、抽出した API トークンだけでは、別のデバイスから有効な API リクエストを送れません。

クライアントは期限切れの前に証明書を自動更新します。既存のハードウェア保護の鍵を再利用するため、登録は維持されます。

ハードウェア保護の登録は、各デスクトッププラットフォームで利用できるセキュリティハードウェアを使います。

対応するセキュリティモジュールがないデバイスは、ハードウェア保護の登録を完了できません。

ハードウェア保護の登録は、デフォルトではオフです。有効にするには、MDM 構成 の organization_configs レイヤーで、hardware_backed_registration パラメーターを true に設定します。

次の例は、example-team 組織でハードウェア保護の登録を有効にします。

<dict>
  <key>organization_configs</key>
  <dict>
    <key>example-team</key>
    <dict>
      <key>hardware_backed_registration</key>
      <true/>
    </dict>
  </dict>
  <key>configs</key>
  <array>
    <dict>
      <key>organization</key>
      <string>example-team</string>
      <key>display_name</key>
      <string>Example team</string>
    </dict>
  </array>
</dict>

ハードウェア保護の登録は、Windows、macOS、Linux のみで利用できます。モバイルプラットフォーム（iOS、Android、ChromeOS）には対応していません。この機能は、アイデンティティプロバイダー または サービストークン を使う Zero Trust 登録にだけ適用されます。コンシューマー登録には対応していません。