クライアント証明書を作成する

Cloudflare の公開鍵基盤（PKI）を使い、Cloudflare 管理の CA が発行するクライアント証明書を作成します。その後、mTLS の仕組みに沿って mTLS の設定を完了できます。

クォータと上限

デフォルトでは、各ゾーンで Cloudflare 管理の CA が発行する 有効なクライアント証明書は 100 件まで です。この上限に数えられるのは有効な証明書だけです。証明書を失効すると、枠はすぐ空きます。

プラン	デフォルト上限	引き上げ
Free、Pro、Business	ゾーンあたり 100	不可
Enterprise（API Shield あり）	ゾーンあたり 100,000	可（アカウントチーム経由）

上限に達すると、API はエラー 1445 とメッセージ Hit maximum certificate allocation: 100 certificates per zone are allowed を返します。引き上げを希望する場合は、アカウントチームに連絡してください。引き上げには、API Shield 付きの Enterprise プランが必要です。

Cloudflare ダッシュボードでクライアント証明書を作成する手順は次のとおりです。

Client Certificates ページを開きます。
Client Certificates を開く ↗
Add Certificate を選択します。デフォルトの Certificate Authority は Cloudflare 管理の CA です。
必須項目を入力します。次のいずれかを選べます。

Cloudflare で秘密鍵と証明書署名要求（CSR）を生成する。
自分の秘密鍵と CSR を使う。この選択肢ではクライアント証明書にラベルを付けることもできます。
OpenSSL コマンドの例

自分で CSR を生成して使う場合は、次のようなコマンドを実行できます。
```
openssl req -new -newkey rsa:2048 -nodes -keyout client1.key -out client1.csr -subj '/C=GB/ST=London/L=London/O=Organization/CN=CommonName'
```

Certificate Validity の値を選び、Continue を選択します。
証明書と秘密鍵を必ずコピーしてください。作成後は再表示されません。
（任意）mTLS を有効にするホスト名を指定します。

このフォームでホスト名を関連付けるときは、完全修飾ドメイン名（FQDN）形式にし、いま操作しているゾーンに存在するホスト名にしてください。たとえばゾーンが example.com の場合、host.example.com は指定できますが、host.example.net は指定できません。
Save を選択して確定します。

次のステップ

クライアント証明書を作成したら、クライアントデバイスにインストールし、クライアントからの証明書を要求する各ホスト名で mTLS を有効にするようにしてください。

さらに詳しい背景は Cloudflare での mTLS 学習パスを参照してください。