独立 MFA

1. Cloudflare ダッシュボード ↗ で、Zero Trust > Access controls > Access settings を開きます。
2. Allow multi-factor authentication (MFA) の下で、組織で許可する MFA 方式 を選択します。
3. Authentication duration を設定します。この値は、ユーザーが再度 MFA を求められずに Access にログインできる期間を決めます。必要な認証器の有効な MFA セッションがない場合、ユーザーは IdP 認証に加えて MFA を完了する必要があります。
4. （任意）ユーザーに MFA を二重で求めないようにするには、Use identity provider MFA を有効にできます。認証時にアイデンティティプロバイダーから渡された AMR 値を確認し、その AMR 値が許可された MFA 方式を満たす場合、設定した期間は MFA を求めません。
5. （任意）MFA 方式と認証期間をすべての Access アプリケーションに適用するには、Apply global MFA settings by default を選択します。個別のアプリケーションとポリシーでは、グローバル MFA 設定を上書き できます。
6. Save を選択します。

1. 既存の Zero Trust 組織設定を取得します。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Revoke
   • Access: Organizations, Identity Providers, and Groups Write
   • Access: Organizations, Identity Providers, and Groups Read

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. PUT リクエストを送り、組織の MFA 設定を更新します。既存の設定を上書きしないよう、PUT リクエストの本文には、直前の GET リクエストで返されたすべてのフィールドを含めてください。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request PUT \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"auth_domain": "your-team-name.cloudflareaccess.com",
   		"name": "Your Team Name",
   		"mfa_config": {
   				"allowed_authenticators": [
   						"totp",
   						"biometrics",
   						"security_key"
   				],
   				"session_duration": "24h"
   		},
   		"mfa_required_for_all_apps": false
   	}'

   allowed_authenticators には、次のうち 1 つ以上を含む配列を指定します。

   • totp — 認証アプリ（時間ベースのワンタイムパスワード）。
   • biometrics — 生体認証（Touch ID、Face ID、Windows Hello）。
   • security_key — セキュリティキー（WebAuthn 対応のハードウェアキー）。
   • piv_key — PIV キー（YubiKey）。
   • ssh_fido2_key — インフラストラクチャアプリケーションへの SSH 接続用 FIDO2 キー。

   piv_key と ssh_fido2_key は、インフラストラクチャアプリケーションへの SSH 接続にのみ適用されます。組織レベルで許可しても、これらの MFA 方式はインフラストラクチャアプリケーションにだけ適用され、他のアプリケーションタイプでは使えません。

   session_duration には期間文字列を指定します（例: 30m、1h、24h）。アクセスのたびに MFA を求める場合は 0m を使います。

1. Cloudflare ダッシュボード ↗ で、Zero Trust > Resources > Lists を開きます。
2. Create new list を選択します。
3. List name（例: Approved security keys）と、任意の説明を入力します。
4. List type を MFA AAGUIDs に設定します。
5. AAGUID エントリを 1 つ以上追加します。
   • 定義済みの AAGUID を追加するには、Known authenticators リストから認証器を選びます。
   • カスタム AAGUID を追加するには、次のフィールドを入力します。
     • MFA AAGUIDs — 認証器の AAGUID。ダッシュなしの 32 文字の 16 進数形式です（例: 8c39ee867f9a4a959ba3f6b097e5c2ee）。
     • Description — 認証器の名前とモデルなど、任意のラベルです。
6. Save を選択します。

リストを作成するには POST リクエストを送ります。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/lists" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Approved security keys",
		"description": "AAGUIDs for MFA enrollment",
		"type": "AAGUID",
		"items": [
				{
						"value": "8c39ee867f9a4a959ba3f6b097e5c2ee",
						"description": "YubiKey Bio Series - FIDO Edition (Enterprise Profile)"
				}
		]
	}'

レスポンスには、リストの id（UUID）が含まれます。組織の MFA 設定にリストを割り当てるときに、この ID を使います。

1. Cloudflare ダッシュボード ↗ で、Zero Trust > Access controls > Access settings を開きます。
2. Allow multi-factor authentication (MFA) の下で、Limit MFA to specific authentication methods を開きます。
3. 既存の AAGUID リスト を選択します。
4. Save を選択します。

保存後、リストに含まれる AAGUID の認証器だけを登録できます。リスト外で以前に登録したセキュリティキーや生体認証は、管理者が削除 するまで使い続けられます。リスト外で以前に登録した FIDO2 キーは、次回の接続から使えなくなります。制限を外すには、AAGUID リストの設定を解除します。

1. 既存の Zero Trust 組織設定を取得します。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Revoke
   • Access: Organizations, Identity Providers, and Groups Write
   • Access: Organizations, Identity Providers, and Groups Read

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. リストを割り当てる PUT リクエストを送ります。既存の設定を上書きしないよう、PUT リクエストの本文には、直前の GET リクエストで返されたすべてのフィールドを含めてください。mfa_config.required_aaguids に AAGUID リストの ID を設定します。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request PUT \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"auth_domain": "your-team-name.cloudflareaccess.com",
   		"name": "Your Team Name",
   		"mfa_config": {
   				"allowed_authenticators": [
   						"security_key",
   						"totp",
   						"biometrics"
   				],
   				"session_duration": "24h",
   				"required_aaguids": "05ddacda-5131-41ab-9eeb-6763f8dce3be"
   		}
   	}'

   制限を外すには、required_aaguids を null に設定します。

1. Cloudflare ダッシュボード ↗ で、Zero Trust > Access controls > Access settings を開きます。
2. Allow multi-factor authentication (MFA) の下で、Use identity provider MFA をオンにします。
3. Authentication Method Reference (AMR) matching duration の下で、成功した IdP MFA の有効期間を設定します。この期間中、ユーザーは追加の MFA プロンプトなしで Access にログインできます。カスタム期間（デフォルトは 24 時間）を設定するか、ログインのたびに 有効な AMR 値 を確認できます。
4. Save を選択します。

1. 既存の Zero Trust 組織設定を取得します。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Revoke
   • Access: Organizations, Identity Providers, and Groups Write
   • Access: Organizations, Identity Providers, and Groups Read

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. PUT リクエストを送り、組織の AMR マッチング設定を更新します。既存の設定を上書きしないよう、PUT リクエストの本文には、直前の GET リクエストで返されたすべてのフィールドを含めてください。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request PUT \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"auth_domain": "your-team-name.cloudflareaccess.com",
   		"name": "Your Team Name",
   		"mfa_config": {
   				"allowed_authenticators": [
   						"totp",
   						"biometrics",
   						"security_key"
   				],
   				"session_duration": "24h",
   				"amr_matching_enabled": true,
   				"amr_session_duration": "1h"
   		}
   	}'

1. Cloudflare ダッシュボード ↗ で、Zero Trust > Access controls > Access settings を開きます。
2. Allow multi-factor authentication (MFA) の下で、Apply global MFA settings by default をオフにします。
3. すべての MFA 方式（Biometrics、Security key、Authenticator application）をオフにします。

MFA 設定の更新でエラーになる場合は、すべてのアプリケーションとポリシーからカスタム MFA 設定を削除したことを確認してください。

1. 既存の Zero Trust 組織設定を取得します。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Revoke
   • Access: Organizations, Identity Providers, and Groups Write
   • Access: Organizations, Identity Providers, and Groups Read

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. 空の allowed_authenticators 配列を含む PUT リクエストを送ります。既存の設定を上書きしないよう、PUT リクエストの本文には、直前の GET リクエストで返されたすべてのフィールドを含めてください。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request PUT \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"auth_domain": "your-team-name.cloudflareaccess.com",
   		"name": "Your Team Name",
   		"mfa_config": {
   				"allowed_authenticators": []
   		}
   	}'

1. Cloudflare ダッシュボード ↗ で、Zero Trust > Team & Resources > Users を開きます。
2. 認証器を削除するユーザーを選択します。
3. MFA devices の下で認証器を探し、Delete を選択します。

ユーザーは、MFA が必要なアプリケーションへ次回アクセスするときに、新しい認証器を登録する必要があります。

特定の認証器を削除するには DELETE リクエストを送ります。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/users/$USER_ID/mfa_authenticators/$AUTHENTICATOR_ID" \
	--request DELETE \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

パラメーター:

• user_id — ユーザーの UUID。Team & Resources > Users のユーザー詳細で確認できます。
• authenticator_id — 認証器の一意の識別子。