Access for SaaS は、SaaS アプリに追加の認証レイヤーを加えるアイデンティティプロキシとして機能します。
Access for SaaS は、SAML などの標準プロトコルで SaaS アプリと直接連携し、ユーザーアクセスの主要な適用ポイントになります。Access は選択した ID プロバイダー（IdP）を呼び出し、ユーザーとデバイスに関する追加のセキュリティシグナルを使ってポリシーを判断します。Access for SaaS のメリットは次のとおりです。
- 管理対象デバイスと非管理対象デバイスの両方で、ユーザー体験を簡素化できます。
- デバイスポスチャやエンドポイント制御など、特定の条件を求めるベースラインポリシーを適用できます。
- 業務委託先向けに、別のアクセス方法を用意できます。
- 複数の SSO ベンダーを同時に設定したり、ベンダーを自由に切り替えたりでき、単一ベンダーへの依存を減らせます。
Access for SaaS を App Launcher と組み合わせると、組織のフロントドアを完全に置き換えられます。
一部またはすべての SaaS アプリで Access for SaaS を使えない場合でも、管理対象デバイスの強固なセキュリティ制御と Clientless Web Isolation の組み合わせで、ほぼ同じ結果を得られます。既存の SSO プロバイダーを使い、Cloudflare と SaaS アプリケーションの関係を強化できます。
専用 egress IP を使うと、世界各地で明示的な egress ロケーションを設定し、これらの IP を SSO プロバイダーと共有できます。この Zero Trust のアプローチでは、SSO プロバイダーへの認証時に、Cloudflare One Client または Browser Isolation への登録など、Cloudflare 側の要件をすべて満たす必要があります。専用 egress IP を SSO 内の制御に使うと、Cloudflare 経由でプロキシされることが保証されるため、セキュリティポリシーと検査の対象になるユーザーに基づいてポリシーを設定できます。
専用 egress IP と同様に、多くの IdP は汎用の多要素認証（MFA）をサポートしています。IdP の汎用 MFA を Cloudflare のセキュリティポリシーと組み合わせ、第 2 要素を Cloudflare Access ポリシーにできます。このポリシーは、Access for SaaS で利用できるすべてのセキュリティシグナルを確認できます。この方法では、ユーザートラフィックデータが Cloudflare に届き、細かいセキュリティポリシーの対象にならない限り SaaS アプリケーションへアクセスできません。