Cloudflare One Client で証明書をインストールする

Cloudflare One Client は、Windows、macOS、Debian/Ubuntu Linux デバイスへ、Cloudflare 証明書または カスタムルート証明書 を自動インストールできます。モバイルデバイスと Red Hat 系システムでは、証明書を手動でインストール する必要があります。

この証明書は、暗号化された Web サイトへ HTTP ポリシーを適用する、カスタムの ブロックページ を表示する、などのために必要です。

組織のデバイスへルート証明書をインストールするよう Cloudflare One Client を設定するには:

1. （任意）カスタムルート証明書を Cloudflare へ アップロード します。
2. Cloudflare ダッシュボード ↗ で Zero Trust > Team & Resources > Devices > Management を開きます。
3. Global Cloudflare One Client settings で Install CA to system certificate store をオンにします。
4. デバイスに Cloudflare One Client を インストール します。
5. デバイスを Zero Trust 組織に 登録 します。
6. （任意）デバイスが macOS Big Sur 以降の場合は、証明書を手動で信頼 します。

Cloudflare One Client は、Available に設定された証明書 をダウンロードします。ダウンロード後、Cloudflare One Client は証明書をデバイスのシステム証明書ストアの installed_certs/<certificate_id>.pem に追加し、内容を installed_cert.pem ファイルへ追記します。installed_cert.pem を参照するスクリプトがある場合は、代わりに installed_certs/ ディレクトリ内の個別ファイルを使うことを推奨します。installed_certs.pem は 2025-06-31 までに非推奨になります。

Cloudflare One Client は、個別のアプリケーションへ証明書をインストールしません。システム証明書ストアではなく独自の証明書ストアを使うアプリケーションには、証明書を手動で追加 する必要があります。

Cloudflare One Client で証明書をインストールしたあと、デバイスのシステム証明書ストアを開いて、インストールが成功したことを確認できます。

macOS でインストール済み証明書にアクセスするには:

1. キーチェーンアクセスを開きます。
2. System Keychains で System > Certificates を開きます。
3. 証明書を開きます。デフォルトの Cloudflare 証明書名は Gateway CA - Cloudflare Managed G1 です。
4. 証明書がすべてのユーザーに信頼されている場合、キーチェーンアクセスは This certificate is marked as trusted for all users と表示します。

Cloudflare One Client は、スクリプトやツールから参照できるように、証明書を /Library/Application Support/Cloudflare/installed_cert.pem にも配置します。

macOS Big Sur 以降では、Cloudflare One Client が証明書を自動で信頼することはできません。証明書を手動で信頼するには:

1. キーチェーンアクセスで 証明書を探して開きます。
2. Trust を開きます。
3. When using this certificate を Always Trust にします。
4. （任意）Zero Trust への接続をリセットするために、デバイスを再起動します。

または、モバイルデバイス管理（MDM）を設定し、組織のすべてのデバイスで証明書を自動的に信頼させることもできます。

Windows でインストール済み証明書にアクセスするには:

1. スタートメニューを開き、Run を選びます。
2. certlm.msc を入力します。
3. Trusted Root Certification Authority > Certificates を開きます。デフォルトの Cloudflare 証明書名は Gateway CA - Cloudflare Managed G1 です。

Cloudflare One Client は、スクリプトやツールから参照できるように、証明書を %PROGRAMDATA%\Cloudflare\installed_cert.pem にも配置します。

Debian 系 Linux ディストリビューションでは、証明書は /usr/local/share/ca-certificates に保存されます。デフォルトでインストールされる Cloudflare 証明書名は managed-warp.pem です。Cloudflare One Client は、ルート証明書として使うシンボリックリンク managed-warp.crt を作成します。システムが managed-warp.crt を使っていない場合は、次のコマンドでシステムストアを更新します。

1. カスタム CA 証明書の一覧を更新します。

   sudo update-ca-certificates

2. システム証明書ストアへ移動します。

   cd /usr/local/share/ca-certificates

3. システムに managed-warp.pem ファイルと managed-warp.crt シンボリックリンクの両方があることを確認します。例:

   ls -l

   lrwxrwxrwx 1 root root   49 Jan  3 21:46 managed-warp.crt -> /usr/local/share/ca-certificates/managed-warp.pem
   -rw-r--r-- 1 root root 1139 Jan  3 21:46 managed-warp.pem

Cloudflare One Client は、スクリプトやツールから参照できるように、証明書を /var/lib/cloudflare-warp/installed_cert.pem にも配置します。

証明書が Cloudflare One Client によってインストールされた場合、Cloudflare One で検査用の別の証明書をオンにしたとき、Install CA to system certificate store をオフにしたとき、または Cloudflare One Client をアンインストール したときに自動で削除されます。Cloudflare One Client は、手動でインストールした証明書（サードパーティアプリケーションに追加した証明書など）は削除しません。

証明書を手動で削除するには、オペレーティングシステムまたはサードパーティアプリケーションの手順を参照してください。