Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

非推奨 - バージョン 1

最終更新 Markdown で表示Agent セットアップ

SSL for SaaS の最初のバージョンは、2021年9月1日に非推奨になります。

なぜ SSL for SaaS が変わるのですか？

SSL for SaaS v1 では、カスタムホスト名のトラフィックは、SSL for SaaS を有効にしたゾーンに割り当てられた IP アドレスをもとにオリジンへプロキシされます。この IP ベースのルーティングには複雑さがあり、お客様はダウンタイムなしで変更できませんでした。

SSL for SaaS v2 では、IP ベースのルーティングとその問題を取り除きます。トラフィックは、SaaS ゾーンのカスタムホスト名をもとにオリジンへプロキシされます。そのため、カスタムホスト名の作成後、SSL 証明書の検証に加えて、ホスト名検証 のステップが必要になります。検証済みのホスト名だけがオリジンへプロキシされるため、SSL for SaaS v1 よりセキュリティが向上します。

必要な対応

サービスが止まらないように、新しいカスタムホスト名ごとに、所有権の追加チェックを行ってください。所有権の確認方法は TXT、HTTP、CNAME の 3 つです。Cloudflare のエッジがトラフィックをプロキシする前にカスタムホスト名を検証するには、事前検証として TXT と HTTP を使います。

推奨する検証方法

TXT または HTTP の検証方法を使うと、移行中のダウンタイムを避けやすくなります。CNAME 検証 を選ぶと、ドメインが バックオフスケジュール に遅れることがあります。

DNS TXT レコード

API で TXT 方法を使ってカスタムホスト名を作成すると、所有権検証用の TXT ownership_verification レコードが返されます。お客様はこのレコードを DNS に追加します。TXT レコードが追加されると、Cloudflare の SSL/TLS アプリの Custom Hostnames タブで、カスタムホスト名は Active になります。

HTTP トークン

API で HTTP 方法を使ってカスタムホスト名を作成すると、HTTP の ownership_verification トークンが返されます。HTTP 検証は、HTTPS 対応のカスタムドメインを多数運用している組織で主に使います。オリジンの Web サーバーから HTTP トークンを配信すると、ドメインのトラフィックを Cloudflare 経由でプロキシする前にホスト名を検証できます。

Cloudflare は User-Agent: Cloudflare Custom Hostname Verification を付けて、http_url へ GET リクエストを送ります。

Cloudflare 経由でトラフィックをプロキシしていないホスト名を検証した場合、HTTP トークンが確認されると、Cloudflare の SSL/TLS アプリ（Custom Hostnames タブ）でカスタムホスト名は Active になります。

ホスト名がすでに Cloudflare 経由でトラフィックをプロキシしている場合、HTTP 検証だけでは不十分です。DNS ベースの検証が完了したときに、ホスト名は Active になります。

その他の検証方法

CNAME 検証 も使えますが、TXT または HTTP の検証方法を推奨します。

CNAME 検証

カスタムホスト名が、SSL for SaaS ドメインに設定したフォールバックレコードを指す CNAME レコードだと Cloudflare が検出したときにも、検証できます。いちばん簡単な方法ですが、エラーのリスクは上がります。CNAME レコードはトラフィックも Cloudflare のエッジへ向けるため、カスタムホスト名の検証や SSL 証明書の発行が終わる前に、トラフィックがエッジへ届くことがあります。

カスタムホスト名の作成プロセスにホスト名検証のステップを追加してテストしたら、アカウントチームに連絡し、SSL for SaaS v1 ゾーンの移行日を調整してください。アカウントチームは、既存のカスタムホスト名をダウンタイムなしで検証できるよう対応します。

BYOIP または Apex Proxying を使っている場合

BYOIP アドレスと、Apex Proxying 用に設定した IP アドレスは、カスタムホスト名の DNS A レコードのターゲットとして使うと、ホスト名検証を完了できます。

SSL for SaaS の新バージョンで使える機能

SSL for SaaS v2 の機能は SSL for SaaS v1 と同等です。ただし、Cloudflare のエッジで特定の anycast IP アドレスを使う要件と、SSL for SaaS ゾーンで Cloudflare の Universal SSL を使う要件はなくなります。

移行中に何が起きますか？

ゾーンの移行が始まると、Cloudflare はすべてのカスタムホスト名にホスト名検証を求めます。DNS CNAME レコードで Cloudflare へプロキシしている既存のカスタムホスト名は、自動で再検証され、ダウンタイムなしで新バージョンへ移行します。移行開始後に作成したカスタムホスト名は、上記のいずれかの方法でホスト名検証を完了する必要があります。

移行前

移行の前に、次を実施してください。

  1. 検証方法をテストするため、テストゾーンを用意し、アカウントチームに SSL for SaaS v2 の有効化を依頼します。
  2. アカウントチームが事前移行ツールを実行するまで待ちます。このツールはホスト名を次のいずれかのステータスに分類します。
    • test_pending: 検証中、または検証できず、再検証待ちに戻された状態です。カスタムホスト名は 25 回再キューされたあと、test_failed に移ります。
    • test_active: CNAME 検証に合格しました
    • test_active_apex: Apex Proxy 検証に合格しました
    • test_blocked: 禁止ゾーンに属するホスト名のため、移行中にブロックされます。禁止されているカスタムホスト名を確認し、移行を進めるにはアカウントチームに連絡してください。
    • test_failed: ホスト名検証に 25 回失敗しました
  3. アカウントチームが実行した事前移行ツールの結果を、次のいずれかの方法で確認します。
    • API: https://api.cloudflare.com/client/v4/zones/{zone_tag}/custom_hostnames?hostname_status={status}
    • CSV ファイル（アカウントチームから提供）
    • Cloudflare ダッシュボード: ダッシュボードで SSL 移行ステータスを確認する
  4. 移行を承認します。アカウントチームが、SSL for SaaS ゾーンごとの移行ウィンドウを調整します。

移行中

移行が始まり、ある程度進んだあと、Cloudflare は移行に失敗したカスタムホスト名の一覧を作成し、移行完了の承認を求めます。承認すると移行は完了し、そのゾーンでは SSL for SaaS v1 が無効になり、ホスト名検証が終わっていないカスタムホスト名は機能しなくなります。

移行にかかる時間は、カスタムホスト名の数によって変わります。たとえば、ゾーンのカスタムホスト名が 10,000 未満なら、移行開始から約 1 時間で一覧を作成できます。カスタムホスト名が数百万あるゾーンでは、移行に失敗したホスト名の特定に最大 24 時間かかることがあります。

アカウントチームが移行完了の承認を求めたら、速やかに対応してください。残りのカスタムホスト名を検証できる期間は 2 週間 です。期限を過ぎると、系統的に削除されます。

移行の時期

移行プロセスは 2021年3月31日に始まり、最終的な非推奨日である 2021年9月1日まで続きます。

2021年3月31日より前に移行を始めたい場合は、アカウントチームに連絡してください。プロセスを早めるよう調整します。連絡がない場合は、アカウントチームから移行ウィンドウの案内があります。2021年9月1日 のサポート終了日までにゾーンを移行します。

追加の質問

質問がある場合は、アカウントチームまたは SaaSv2@cloudflare.com に連絡してください。

役に立ちましたか？