カスタム証明書を導入する

1. Cloudflare ダッシュボード ↗ で Zero Trust > Traffic policies > Traffic settings > Certificates を開きます。

2. Upload certificate を選びます。

3. 生成した秘密鍵と SSL 証明書を入力するか、Paste certificate from file を選んでファイルからアップロードします。証明書チェーンをアップロードする場合は、ルート証明書を先頭にして、すべての証明書（ルートと中間）を PEM 形式で貼り付けます。

4. Upload custom certificate を選びます。

   これで、生成したカスタムルート証明書を検査に 使えるようになります。

1. Upload mTLS certificate エンドポイント を使い、証明書と秘密鍵を Cloudflare にアップロードします。証明書は ルート CA または証明書チェーン である必要があり、改行を \n に置き換えた 1 つの文字列としてフォーマットします。

   Required API token permissions

   At least one of the following token permissions is required:

   • Account: SSL and Certificates Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/mtls_certificates" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "example_ca_cert",
   		"certificates": "-----BEGIN CERTIFICATE-----\nXXXXX\n-----END CERTIFICATE-----",
   		"private_key": "-----BEGIN PRIVATE KEY-----\nXXXXX\n-----END PRIVATE KEY-----",
   		"ca": true
   	}'

   応答には証明書の UUID が返ります。例:

   {
     "success": true,
     "errors": [],
     "messages": [],
     "result": {
       "id": "2458ce5a-0c35-4c7f-82c7-8e9487d3ff60",
       "name": "example_ca_cert",
       "issuer": "O=Example Inc.,L=California,ST=San Francisco,C=US",
       "signature": "SHA256WithRSA",
       ...
     }
   }

   証明書チェーンをアップロードする場合、certificates 欄には PEM 形式ですべての証明書を含めます。この欄を整えるには、ルート証明書を先頭にし、続けて中間証明書を連結します。

2. Activate a Zero Trust certificate エンドポイント で、証明書を検査に使える状態にします。これにより、証明書が Cloudflare のグローバルネットワーク全体に導入されます。

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/certificates/$CERTIFICATE_ID/activate" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

   レスポンスは証明書と、pending_deployment の binding ステータスを返します。例:

   {
   	"errors": [],
   	"messages": [],
   	"success": true,
   	"result": {
   		"in_use": false,
   		"id": "f174e90a-fafe-4643-bbbc-4a0ed4fc8415",
   		"certificate": "-----BEGIN CERTIFICATE-----\\n ... \\n-----END CERTIFICATE-----\\n",
   		"issuer_org": "Example Inc.",
   		"issuer_raw": "O=Example Inc.,L=California,ST=San Francisco,C=US",
   		"fingerprint": "E9:19:49:AA:DD:D8:1E:C1:20:2A:D8:22:BF:A5:F8:FC:1A:F7:10:9F:C7:5B:69:AB:0:31:91:8B:61:B4:BF:1C",
   		"binding_status": "pending_deployment",
   		"type": "custom",
   		"updated_at": "2014-01-01T05:20:00.12345Z",
   		"uploaded_on": "2014-01-01T05:20:00.12345Z",
   		"created_at": "2014-01-01T05:20:00.12345Z",
   		"expires_on": "2014-01-01T05:20:00.12345Z"
   	}
   }

3. Get Zero Trust certificate details エンドポイント で、証明書の binding ステータスが available になっていることを確認します。

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/certificates/$CERTIFICATE_ID" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

   {
   	"errors": [],
   	"messages": [],
   	"success": true,
   	"result": {
   		"in_use": false,
   		"id": "f174e90a-fafe-4643-bbbc-4a0ed4fc8415",
   		"certificate": "-----BEGIN CERTIFICATE-----\\n ... \\n-----END CERTIFICATE-----\\n",
   		"issuer_org": "Example Inc.",
   		"issuer_raw": "O=Example Inc.,L=California,ST=San Francisco,C=US",
   		"fingerprint": "E9:19:49:AA:DD:D8:1E:C1:20:2A:D8:22:BF:A5:F8:FC:1A:F7:10:9F:C7:5B:69:AB:0:31:91:8B:61:B4:BF:1C",
   		"binding_status": "available",
   		"type": "custom",
   		"updated_at": "2014-01-01T05:20:00.12345Z",
   		"uploaded_on": "2014-01-01T05:20:00.12345Z",
   		"created_at": "2014-01-01T05:20:00.12345Z",
   		"expires_on": "2014-01-01T05:20:00.12345Z"
   	}
   }

4. （任意）ユーザーのデバイスに証明書がインストールされていることを、Cloudflare One Client または 手動 で確認します。

5. Patch Zero Trust account configuration エンドポイント で、検査に使う証明書を有効にします。例:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/configuration" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"settings": {
				"certificate": {
						"id": "{certificate_id}",
						"in_use": true
				}
		}
	}'

in-use を true にすると、Gateway はカスタムルート証明書と秘密鍵でトラフィックに署名します。カスタム証明書をオフにするか無効にすると、Gateway は Zero Trust アカウント向けに生成された、次に利用可能な Cloudflare 証明書へ戻します。