クライアント証明書

クライアント証明書のデバイスポスチャ属性は、デバイスに、信頼された証明書で署名された有効なクライアント証明書があるかどうかを確認します。信頼された証明書は Cloudflare にアップロードし、ポスチャチェックルールの一部として指定します。クライアント証明書のポスチャチェックは、Gateway と Access のポリシーで使い、ユーザーが管理対象デバイスから接続していることを確認できます。

• デバイス向けのクライアント証明書を発行する CA。Cloudflare One Client は証明書の信頼チェーンを評価しません。発行元の証明書である必要があります。

• デバイスに Cloudflare One Client が導入 されていること。

• デバイスにクライアント証明書が インストールされ、信頼されている こと。

1. Upload mTLS certificate エンドポイント を使い、証明書と秘密鍵を Cloudflare にアップロードします。証明書は 署名証明書 である必要があり、改行を \n に置き換えた 1 つの文字列としてフォーマットします。秘密鍵が必要になるのは、このカスタム証明書を Gateway の HTTPS 検査に使う場合だけです。

   Required API token permissions

   At least one of the following token permissions is required:

   • Account: SSL and Certificates Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/mtls_certificates" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "example_ca_cert",
   		"certificates": "-----BEGIN CERTIFICATE-----\nXXXXX\n-----END CERTIFICATE-----",
   		"private_key": "-----BEGIN PRIVATE KEY-----\nXXXXX\n-----END PRIVATE KEY-----",
   		"ca": true
   	}'

   応答には証明書の UUID が返ります。例:

   {
     "success": true,
     "errors": [],
     "messages": [],
     "result": {
       "id": "2458ce5a-0c35-4c7f-82c7-8e9487d3ff60",
       "name": "example_ca_cert",
       "issuer": "O=Example Inc.,L=California,ST=San Francisco,C=US",
       "signature": "SHA256WithRSA",
       ...
     }
   }

2. Cloudflare ダッシュボード ↗ で Zero Trust > Reusable components > Posture checks を開きます。

3. Cloudflare One Client checks を開き、Add a check を選びます。

4. Client certificate を選びます。

5. 次の情報の入力を求められます。

   1. Name: このデバイスポスチャチェックの一意な名前を入力します。

   2. Operating system: オペレーティングシステムを選びます。

   3. OS locations: クライアント証明書がインストールされている場所を指定します。

      Windows

      • Local machine trust store
      • User trust store

      macOS

      • System keychain

      Linux

      • NSSDB (/etc/pki/nssdb) - カスタムの場所を検索するには、証明書と秘密鍵の絶対パスを入力します（例: /usr/local/mycompany/certs/client.pem と /usr/local/mycompany/certs/client_key.pem）。証明書と 秘密鍵は PEM 形式である必要があります。別々のファイルでも、同じファイルでも構いません。

   4. Certificate ID: 署名証明書の UUID を入力します。

   5. Common name: （任意）クライアント証明書の Common Name（CN）を確認するには、任意で ${serial_number} と ${hostname} 変数を含む文字列を入力します（例: ${serial_number}_mycompany）。Cloudflare One Client は、大文字小文字を区別しない完全一致を検索します。コモンネームを指定しない場合、Cloudflare One Client は証明書のコモンネーム欄を無視します。

   6. Check for Extended Key Usage: （任意）クライアント証明書に 1 つ以上の属性が設定されているかどうかを確認します。対応する値は Client authentication（1.3.6.1.5.5.7.3.2）および / または Email（1.3.6.1.5.5.7.3.4）です。

   7. Check for private key: （推奨）有効にすると、WARP はクライアント証明書に紐づく秘密鍵がデバイスにあることを確認します。

   8. Subject Alternative Name: （任意）クライアント証明書の Subject Alternative Name（SAN）を確認するには、任意で ${serial_number} と ${hostname} 変数を含む文字列を入力します（例: ${serial_number}_mycompany）。Cloudflare One Client は、大文字小文字を区別しない完全一致を検索します。ポスチャチェックには複数の SAN を追加できます。チェックに合格するには、証明書がいずれか 1 つの SAN に一致すれば十分です。

6. Save を選びます。

次に、Insights > Logs > Posture logs を開き、クライアント証明書チェックが想定どおりの結果を返していることを確認します。

次のコマンドで、クライアント証明書がデバイスに正しくインストールされ、信頼されているかを確認できます。

Get-ChildItem Cert:\LocalMachine\My\ | where{$_.Subject -like "*<COMMON_NAME>*"}

Get-ChildItem Cert:\CurrentUser\My\ | where{$_.Subject -like "*<COMMON_NAME>*"}

/usr/bin/security find-certificate -c "<COMMON_NAME>" -p /Library/Keychains/System.keychain

certutil -L -d /etc/pki/nssdb

Certificate Nickname                                         Trust Attributes
                                                             SSL,S/MIME,JAR/XPI

meow                                                         CTu,Cu,Cu
noPrivateKey                                                 CT,,

certutil -L -d /etc/pki/nssdb -n meow

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 236 (0xec)
        Signature Algorithm: PKCS #1 SHA-256 With RSA Encryption
        Issuer: "CN=123456.mycompany"
        Validity:
            Not Before: Tue Jul 02 17:20:40 2024
            Not After : Sun Jul 02 17:20:40 2034
        Subject: "CN=123456.mycompany"
        Subject Public Key Info:
            Public Key Algorithm: PKCS #1 RSA Encryption
            RSA Public Key:
                Modulus:
                    <redacted>
                Exponent: 65537 (0x10001)
    Signature Algorithm: PKCS #1 SHA-256 With RSA Encryption
    Signature:
        <redacted>
    Fingerprint (SHA-256):
        <redacted>
    Fingerprint (SHA1):
        <redacted>

    Mozilla-CA-Policy: false (attribute missing)
    Certificate Trust Flags:
        SSL Flags:
            Valid CA
            Trusted CA
            User
            Trusted Client CA
        Email Flags:
            Valid CA
            Trusted CA
            User
        Object Signing Flags:
            Valid CA
            Trusted CA
            User

ポスチャチェックに合格するには、アップロードした署名証明書で検証できる証明書が、出力に表示される必要があります。