トンネルの権限は、Cloudflare Tunnel を実行・管理できるユーザーを決めます。ローカル管理トンネルの権限は、次の 2 つのファイルで制御します。
- アカウント証明書（
cert.pem）は、cloudflaredにログインしたときに Cloudflare アカウントへ発行されます。この証明書は、アカウント内のすべてのトンネルの作成、削除、管理を許可します。保存する場所とマシンは、意図して選んでください。 - トンネルの認証情報ファイル（
<TUNNEL-UUID>.json）は、トンネル作成時にそのトンネルへ発行されます。このファイルでは、そのトンネルの実行だけができ、ほかの操作はできません。そのため管理者は、トンネルを実行するユーザーに認証情報を共有できます。
2 つのファイルの違いと用途は、次の表を参照してください。
| アカウント証明書 | トンネルの認証情報 | |
|---|---|---|
| ファイル名 | cert.pem |
<TUNNEL-UUID>.json |
| 用途 | Cloudflare アカウントに対して cloudflared インスタンスを認証する |
紐づくトンネルを認証する |
| 範囲 | アカウント全体 | トンネル単位 |
| ファイルの種類 | .pem |
.json |
| 保存先 | デフォルトディレクトリ | デフォルトディレクトリ |
| 発行されるコマンド | cloudflared tunnel login |
cloudflared tunnel create <NAME> |
| 有効期間 | 少なくとも 10 年。含まれるサービストークンは 失効 まで有効 | 期限なし |
| 必要な操作 | トンネルの管理（作成、ルーティング、削除、一覧表示など） | トンネルの実行。設定ファイルの作成。 |
トンネルの所有権は、cloudflared の認証時に cert.pem が発行された Cloudflare アカウントに紐づきます。あるアカウントのユーザーがトンネルを作成すると、同じアカウントで cert.pem にアクセスできるほかのユーザーは、そのアカウント内のトンネルを削除、一覧表示、管理できます。
アカウント証明書（cert.pem）には、Cloudflare アカウント内のトンネル管理を cloudflared に許可する API トークンが含まれます。アカウント証明書を失効するには、トンネルに紐づく API トークンを削除します。
- Cloudflare ダッシュボード ↗ にログインし、My Profile > API Tokens を開きます。
- ゾーンとアカウントの Cloudflare Tunnel API Token または Argo Tunnel API Token を探します。
- 三点リーダー > Delete を選びます。
このトークンを削除すると、cloudflared は古い cert.pem ではアカウント内のトンネルを読み取り・編集できなくなります。新しいトークンと cert.pem を生成するには、cloudflared tunnel login を実行します。
アカウントでトンネルを作成、削除、設定するために必要な最小権限:
公開ホスト名へトラフィックをルーティング し、cloudflared login を実行するために追加で必要な権限: