証明書を管理する

ゾーンレベル および ホスト名ごと の Authenticated Origin Pulls で使う証明書の管理方法は、次のセクションを参照してください。Global AOP は Cloudflare 提供の証明書を使うため、証明書管理は不要です。

Cloudflare は、期限切れになってもクライアント証明書を自動削除しません。対象の証明書に対して Cloudflare API へ削除リクエストを送った場合だけ削除します（ゾーンレベル証明書の削除 または ホスト名レベル証明書の削除）。オリジンが有効なクライアント証明書だけを受け入れる場合、証明書の期限切れ後はリクエストが落ちます。

AOP 証明書の期限切れの 30 日前と 14 日前に知らせるよう、通知 を設定してください。

ゾーンとホスト名の両方で、同時に異なるクライアント証明書を適用するには、ゾーンレベルのカスタム証明書とホスト名ごとのカスタム証明書を組み合わせます。

まず、自分の証明書で ゾーンレベルの AOP を設定します。次に、個別のホスト名 用の専用証明書をアップロードします。指定したホスト名では、ホスト名ごとの証明書がゾーンレベル証明書より優先されます。

1. 新しい証明書をアップロードします。
2. 証明書を一覧し、アップロードした証明書の ID を控えます。
3. 特定のホスト名で Authenticated Origin Pulls を有効にします。手順 2 で控えた ID で、使う証明書を指定します。

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/origin_tls_client_auth/hostnames" \
	--request PUT \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"config": [
				{
						"enabled": true,
						"hostname": "<HOSTNAME>",
						"cert_id": "<CERT_ID>"
				}
		]
	}'

1. 新しい証明書をアップロードします。
2. 新しい証明書が Active かを確認します。
3. 証明書が Active になったら、以前の証明書を削除します。