Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

承認ステータスに基づいてポリシーを設定する

最終更新 Markdown で表示Agent セットアップ

組織内で特定の AI ツールを使う場合は、それらのツールの利用を明示的に許可しつつ、組織内の追加利用を評価し続けるポリシーを作成できます。

すべての AI ツール利用を監視・評価する Gateway ポリシーを作成する

  1. Cloudflare ダッシュボード ↗ で Zero Trust > Traffic policies > Firewall policies を開きます。

  2. HTTP タブで Add a policy を選択します。

  3. ポリシーに名前を付けます。

  4. Traffic で、組織で許可したい AI 向けトラフィックを定義する論理式を組み立てます。

    セレクター 演算子 値
    Application in Artificial Intelligence

  5. Action で Allow を選択します。

  6. Create policy を選択します。

詳細は 未承認のアプリケーションをブロックする を参照してください。

承認済み AI ツールへユーザーをリダイレクトする Gateway ポリシーを作成する

逆に、AI ツールの承認ステータスに応じて特定のアクションを取るポリシーも作れます。たとえば、未承認のアプリケーションから承認済みアプリケーションへユーザーをリダイレクトしたい場合は、カスタムステータスページでユーザーコーチングを提供できます。

ユーザーコーチングは、従業員の行動を変えるための有効な手段です。ステータスページへリダイレクトすると、未承認の AI ツールを使うリスクを理解してもらい、機密データを入力する危険性を伝えられます。

カスタムのユーザーコーチングページを立てるには、Cloudflare Workers が手軽です。Gateway がブロックしたリクエストについて送る情報に基づいて、カスタムステータスページを動的に扱えます。このドキュメントの付録に、この用途向けに作った Cloudflare Worker のサンプルコードがあります。必要に応じてテストして採用できます。

承認済み AI ツールへユーザーをリダイレクトする

  1. Cloudflare ダッシュボード ↗ で Zero Trust > Traffic policies > Firewall policies を開きます。

  2. HTTP タブで Add a policy を選択します。

  3. ポリシーに名前を付けます。

  4. Traffic で、組織で許可したい AI 向けトラフィックを定義する論理式を組み立てます。

    セレクター 演算子 値
    Application in Artificial Intelligence

  5. Action で Block を選択します。

  6. Modify the Gateway block behavior で、ユーザーのリダイレクト方法を決めます。

    • カスタムブロックページへリダイレクトしてユーザーをコーチングする:
      1. Use account-level block setting を選択します。
      2. Add an additional message to your custom block page when traffic matches this policy をオンにし、カスタムメッセージを入力します。
    • 承認済み AI ツールへ自動でリダイレクトする:
      1. Override account setting with URL redirect を選択します。
      2. 代わりに使わせたい承認済みアプリケーションの URL を入力します。

  7. Create policy を選択します。

詳細は ポリシーのブロック動作を設定する を参照してください。

データ損失を防ぐためにプロンプトをキャプチャする

特定の複雑なシナリオで、AI アプリケーション向けの Prompt Capture を有効にするポリシーを作れます。これにより、特定のアプリケーション、ツール種別、または業務委託者や新入社員などのユーザーグループに高度な機能を適用できます。特に、認知やトレーニング不足で未承認アプリケーションを使いやすい層には有効です。

  1. Cloudflare ダッシュボード ↗ で Zero Trust > Traffic policies > Firewall policies を開きます。

  2. HTTP タブで Add a policy を選択します。

  3. ポリシーに名前を付けます。

  4. Traffic で、組織で許可したい AI 向けトラフィックを定義する論理式を組み立てます。

    セレクター 演算子 値
    Application in Artificial Intelligence

  5. Identity で、データ損失防止のためにプロンプトをキャプチャして記録するユーザー ID を定義する論理式を組み立てます。

    セレクター 演算子 API Value
    Application in any(identity.groups.name[*] in {\"contractors\" \"cohort-224\"})

  6. Action で Allow を選択します。

  7. Create policy を選択します。

ChatGPT のワークスペースヘッダーを Gateway で使う

組織が ChatGPT Business ↗ を使っている場合、組織のワークスペース ID の使用を強制する Gateway ポリシーを設定し、ChatGPT 向けトラフィックをアカウントに正しく紐づけられます。これは Gateway の テナント制御 を実装し、ユーザーが特定のアプリケーションとどうやり取りするかを管理できます。

このポリシーを作るには、Gateway ポリシーにカスタム HTTP ヘッダーを追加します。このヘッダー Chatgpt-Allowed-Workspace-Id により、組織固有のワークスペース ID を持つリクエストだけが許可されます。

  1. Cloudflare ダッシュボード ↗ で Zero Trust > Traffic policies > Firewall policies を開きます。

  2. HTTP タブで Add a policy を選択します。

  3. ポリシーに名前を付けます。

  4. Traffic で、許可したいトラフィックを定義する論理式を組み立てます。

    セレクター 演算子 値
    Application in ChatGPT

  5. Action で Allow を選びます。

  6. Untrusted certificate action で Block を選びます。

  7. Add headers to matched requests で Add a header を選択します。

  8. 各フィールドに次の値を追加します。

    • Custom header name: Chatgpt-Allowed-Workspace-Id
    • Custom header value: 組織のワークスペース ID

  9. Create policy を選択します。

詳細は OpenAI のドキュメント ↗ を参照してください。

特定の検査と適用のためにポリシーを並べる

多くのシナリオでは、Gateway は HTTP ポリシーを 上から下の順 で評価します。 そのため、ユーザーの作業を止めずに特定のシナリオでプロンプトをキャプチャし、可視性を得つつ、機密データの損失を包括的に防げます。

たとえば、AI への機密データ共有は防ぎつつ、全ユーザーの AI 利用は許可し、特定の ID 定義ユーザーグループのプロンプトだけキャプチャしたい場合は、ポリシーを次の順に並べます。

  1. 機密データの共有をブロックするポリシーを、このポリシーグループの先頭に置きます。次のポリシーより先に適用されます。

    演算子 セレクター 演算子 値 アクション
    Application in Artificial Intelligence
    And DLP Profile in my-sensitive-data Block

  2. 次に、AI の利用を許可し、特定ユーザーグループのプロンプトキャプチャを指定するポリシーを作成します。

    セレクター 演算子 値
    Application in Artificial Intelligence

  3. Traffic で:

    セレクター 演算子 値
    Application in Artificial Intelligence

  4. Identity で:

    セレクター 演算子 API Value アクション
    User Group Names in any(identity.groups.name[*] in {\"contractors\" \"cohort-224\"}) Allow

この並びにすることで、どのユーザーグループであっても、機密データが AI アプリケーションに送られるケースはブロックされます。Cloudflare が機密データを検出しなければ、対象ユーザーグループ（この場合は contractors と cohort-224）のプロンプトはキャプチャしつつ許可します。同じユーザーグループがプロンプトに機密データを使った場合は、検出してブロックします。

役に立ちましたか？