パラメーター

各 Cloudflare One Client（旧 WARP）は、デプロイ方法に関係なく、次のパラメーターセットに対応しています。

フル機能の Cloudflare Zero Trust に必要な項目

ほとんどの Cloudflare Zero Trust 機能を使うには、チーム名を指定する必要があります。チーム名に依存する機能の例は、HTTP ポリシー、Browser Isolation、デバイスポスチャです。

`organization`

クライアントに、組織へのデバイス登録を指示します。登録には IdP または Service Auth による認証が必要です。

値の型: string

値: チーム名。

DNS のみのポリシー適用に必要な項目

このフィールドは、クライアントを DoH 専用モードでデプロイするときに、DNS ポリシーを適用するために使います。

`gateway_unique_id`

クライアントに、すべての DNS クエリを特定の Gateway DNS ロケーションへ送るよう指示します。この値は、チーム名なしでデプロイする場合、または複数の DNS ロケーションがある組織でのみ必要です。DoH サブドメインを指定しない場合は、組織のデフォルト Gateway DNS ロケーションが自動で使われます。

値の型: string

値: DoH サブドメイン。

組織パラメーター

次のパラメーターで、特定の Zero Trust 組織を設定できます。

`allow_managed_deployments`

機能の提供状況

クライアントモード	Zero Trust プラン ↗
すべてのモード	すべてのプラン

システム	提供状況	最小クライアントバージョン
Windows	✅	2026.6.0
macOS	✅	2026.6.0
Linux	❌	—
iOS	❌	—
Android	❌	—
ChromeOS	❌	—

Cloudflare ダッシュボードからプッシュされるクライアントバージョン割り当てのローカルキルスイッチです。ダッシュボードの設定に関係なく、デバイスをダッシュボード管理のバージョン変更から外すときに使います。

デフォルトでは、デバイスはダッシュボードが送る割り当てを適用します。デバイスを対象とする割り当てがなければ、このパラメーターは効果がありません。

値の型: boolean

値:

true — （デフォルト）デバイスは、Cloudflare ダッシュボードで設定されたクライアントバージョン割り当てを適用します。デバイスを対象とする割り当てがなければ、この設定は効果がありません。
false — デバイスはクライアントバージョン割り当てを無視し、ダッシュボードの設定に関係なく、現在インストールされているバージョンのままです。

`auth_client_id`

サービストークンを使って、デバイスを Zero Trust 組織へ登録します。 auth_client_secret パラメーターが必要です。

値の型: string

値: サービストークンの Client ID。

設定例:

<key>auth_client_id</key>
<string>88bf3b6d86161464f6509f7219099e57.access</string>
<key>auth_client_secret</key>
<string>bdd31cbc4dec990953e39163fbbb194c93313ca9f0a6e420346af9d326b1d2a5</string>

`auth_client_secret`

サービストークンを使って、デバイスを Zero Trust 組織へ登録します。 auth_client_id パラメーターが必要です。

値の型: string

値: サービストークンの Client Secret。

`auto_connect`

ユーザーがスイッチをオフにした場合、指定した分数のあとでクライアントが自動でオンに戻します。ホテルや空港の Wi-Fi へログインできる程度の、ごく短い値をおすすめします。auto_connect に値を指定すると、Cloudflare One Client のデフォルト状態は常に Connected になります（初回インストール後や再起動後など）。

値の型: integer

値:

0 — ユーザーが再びオンにするまで、スイッチをオフのままにできます。
1 から 1440 — 指定した分数のあとで、スイッチを自動でオンに戻します。

`display_name`

クライアントを複数組織でデプロイするとき、Cloudflare One Client の GUI で Zero Trust 組織を識別します。configs 配列内に organization パラメーターがある場合は必須です。

値の型: string

値: Cloudflare One Client の GUI でユーザーに表示する組織のニックネーム（例: Test environment）。

`enable_netbt`

NetBIOS over TCP/IP（NetBT）は、一部のまれなシナリオでの名前解決に使う Windows のレガシー機能です。セキュリティ上の理由で、Cloudflare One Client はトンネルインターフェイス上の NetBT をデフォルトで無効にします。NetBT が必要なレガシーアプリケーションにまだ依存している場合は、デフォルトを上書きして NetBT を有効にできます。

値の型: boolean

値:

false — （デフォルト）Cloudflare One Client のトンネルインターフェイスで NetBT を無効にします。
true — Cloudflare One Client のトンネルインターフェイスで NetBT を有効にします。

`enable_pmtud`

Path MTU Discovery（PMTUD）を使うと、Cloudflare One Client は現在のネットワークで送信できる最大パケットサイズを調べ、接続パフォーマンスを最適化できます。

値の型: boolean

値:

false — （デフォルト）PMTUD を無効にします。
true — Cloudflare One Client のトンネルインターフェイスで PMTUD を有効にします。

`enable_post_quantum`

機能の提供状況

クライアントモード	Zero Trust プラン ↗
Traffic and DNS モード Traffic only モード	すべてのプラン

システム	提供状況	最小 WARP バージョン
Windows	✅	2025.5.735.1
macOS	✅	2025.5.735.1
Linux	✅	2025.5.735.1
iOS	✅	1.10
Android	✅	2.4
ChromeOS	✅	2.4

Cloudflare One Client は耐量子暗号を使い、デバイスから Cloudflare ネットワークへの接続を保護します。耐量子暗号には MASQUE プロトコルが必要で、MASQUE を使うすべてのデバイスでデフォルトで有効です。

値の型: boolean

値:

false — 耐量子鍵合意を無効にします。
true — WARP トンネルを通るすべてのトラフィックで耐量子鍵合意を有効にします。

`environment`

機能の提供状況

クライアントモード	Zero Trust プラン ↗
すべてのモード	すべてのプラン

システム	提供状況	最小 WARP バージョン
Windows	✅	2025.9.558.0
macOS	✅	2025.9.558.0
Linux	✅	2025.9.558.0
iOS	✅	1.12.0
Android	✅	2.5.1
ChromeOS	✅	2.5.1

Cloudflare One Client を、Cloudflare の FedRAMP High 認定環境へ接続するよう設定します。

値の型: string

値:

normal — （デフォルト）Cloudflare One Client は標準の API エンドポイント、IP、ドメイン（<ACCOUNT_ID>.cloudflare-gateway.com など）へ接続し、世界中の Cloudflare データセンターへトラフィックを転送します。
fedramp_high — Cloudflare One Client は FedRAMP 専用の API エンドポイント、IP、ドメイン（<ACCOUNT_ID>.fed.cloudflare-gateway.com など）へ接続します。トラフィックは処理のため FedRAMP High 準拠のデータセンターへ転送されます。FedRAMP High 環境を設定するには、ファイアウォールで FedRAMP 専用のエンドポイント、IP、ドメインを許可する必要があります。

同じ組織に複数の設定を使う場合、すべての設定で同じ environment 値を指定する必要があります。1 つの組織を通常環境と FedRAMP High 環境の両方で運用することはできません。

バージョン 2026.5.0 以降では、organization_configs を使い、設定エントリごとに繰り返さず、組織ごとに environment を 1 回設定します。

<dict>
  <key>organization_configs</key>
  <dict>
    <key>mycompany-gov</key>
    <dict>
      <key>environment</key>
      <string>fedramp_high</string>
    </dict>
  </dict>
  <key>configs</key>
  <array>
    <dict>
      <key>organization</key>
      <string>mycompany-gov</string>
      <key>display_name</key>
      <string>Production</string>
    </dict>
    <dict>
      <key>organization</key>
      <string>mycompany-gov</string>
      <key>display_name</key>
      <string>Staging</string>
    </dict>
    <dict>
      <key>organization</key>
      <string>test-org</string>
      <key>display_name</key>
      <string>Test</string>
      <key>environment</key>
      <string>normal</string>
    </dict>
  </array>
</dict>

それ以前のバージョンでは、その組織の各設定に environment を明示的に含める必要があります。

<dict>
  <key>configs</key>
  <array>
    <dict>
      <key>organization</key>
      <string>mycompany-gov</string>
      <key>display_name</key>
      <string>Production</string>
      <key>environment</key>
      <string>fedramp_high</string>
    </dict>
    <dict>
      <key>organization</key>
      <string>mycompany-gov</string>
      <key>display_name</key>
      <string>Staging</string>
      <key>environment</key>
      <string>fedramp_high</string>
    </dict>
    <dict>
      <key>organization</key>
      <string>test-org</string>
      <key>display_name</key>
      <string>Test</string>
      <key>environment</key>
      <string>normal</string>
    </dict>
  </array>
</dict>

`external_emergency_signal_fingerprint`

Cloudflare One Client が external_emergency_signal_url の HTTPS エンドポイントを検証するために使う SHA-256 フィンガープリントです。このフィンガープリントの取り出し方は External Emergency Disconnect を参照してください。

値の型: string

値: HTTPS サーバー証明書の SHA-256 フィンガープリント（例: DD4F4806C57A5BBAF1AA5B080F0541DA75DB468D0A1FE731310149500CCD8662）

`external_emergency_signal_interval`

Cloudflare One Client が External Emergency Disconnect シグナルのために external_emergency_signal_url をポーリングする間隔です。

値の型: integer

値: ポーリング間隔（秒）。最小 30、デフォルト 300

`external_emergency_signal_url`

Cloudflare One Client が External Emergency Disconnect シグナルをポーリングする HTTPS エンドポイントです。

値の型: string

値: https://192.0.2.1:3333/status/disconnect

URL は https:// を使い、ホストはドメインではなく IPv4 または IPv6 アドレスである必要があります。

`hardware_backed_registration`

機能の提供状況

クライアントモード	Zero Trust プラン ↗
すべてのモード	すべてのプラン

システム	提供状況	最小 WARP バージョン
Windows	✅	2026.6.0
macOS	✅	2026.6.0
Linux	✅	2026.6.0
iOS	❌	N/A
Android	❌	N/A
ChromeOS	❌	N/A

登録を、デバイスハードウェア（Secure Enclave または TPM 2.0）に保存されるエクスポート不可の鍵に紐づけ、API リクエストを mTLS で認証します。詳細はハードウェア裏付け登録を参照してください。

値の型: boolean

値:

false — （デフォルト）Cloudflare One Client は API トークンをデバイスのキーストアに保存します。
true — Cloudflare One Client は登録時にハードウェア裏付けの鍵を生成し、以降の API 呼び出しに mTLS を使います。

`local_emergency_signal_enabled`

Local Emergency Disconnect を有効にします。有効にすると、Cloudflare One Client はデバイス上の固定パスの JSON ファイルを監視し、緊急切断シグナルを受け取ります。

値の型: boolean

値:

false — （デフォルト）ローカルシグナルファイルの監視は無効です。
true — クライアントはローカルシグナルファイルを監視し、緊急切断に使います。

`onboarding`

アプリケーションの初回起動時に、プライバシーポリシーの確認を求めるオンボーディング画面の表示を制御します。

値の型: boolean

値:

false — 画面を非表示にします。
true — （デフォルト）画面を表示します。

`override_api_endpoint`

Cloudflare One Client がクライアントオーケストレーション API との通信に使う IP アドレスを上書きします。このパラメーターを設定する場合は、新しい IP が通るよう組織のファイアウォールを更新してください。

この機能は、Cloudflare China のローカルネットワークパートナー、またはネットワークトラフィックの完全性を維持できるそのほかのサードパーティネットワークパートナー向けです。ほとんどの IT 管理者はこの設定を使うべきではありません。すべての API トラフィックが新しい IP へリダイレクトされます。

値の型: string

値: 1.2.3.4 — すべてのクライアントオーケストレーション API 呼び出しを 1.2.3.4 へリダイレクトします。

文字列は有効な IPv4 または IPv6 アドレスである必要があります。そうでない場合、Cloudflare One Client は MDM ファイル全体の解析に失敗します。

`override_doh_endpoint`

Cloudflare One Client が DNS over HTTPS（DoH）で DNS クエリを解決するときに使う IP アドレスを上書きします。このパラメーターを設定する場合は、新しい IP が通るよう組織のファイアウォールを更新してください。

この機能は、Cloudflare China のローカルネットワークパートナー、またはネットワークトラフィックの完全性を維持できるそのほかのサードパーティネットワークパートナー向けです。ほとんどの IT 管理者はこの設定を使うべきではありません。すべての DoH トラフィックが新しい IP へリダイレクトされます。

値の型: string

値: 1.2.3.4 — すべての DNS over HTTPS ルックアップを 1.2.3.4 へリダイレクトします。

文字列は有効な IPv4 または IPv6 アドレスである必要があります。そうでない場合、Cloudflare One Client は MDM ファイル全体の解析に失敗します。

`override_warp_endpoint`

Cloudflare One Client が Cloudflare のエッジへトラフィックを送るときに使う IP アドレスと UDP ポートを上書きします。このパラメーターを設定する場合は、新しい IP が通るよう組織のファイアウォールを更新してください。

この機能は、Cloudflare China のローカルネットワークパートナー、またはネットワークトラフィックの完全性を維持できるそのほかのサードパーティネットワークパートナー向けです。ほとんどの IT 管理者はこの設定を使うべきではありません。すべての Cloudflare One Client トラフィックが新しい IP へリダイレクトされます。

値の型: string

値: 203.0.113.0:500 — すべての Cloudflare One Client トラフィックを 203.0.113.0 のポート 500 へリダイレクトします。

文字列は有効な IPv4 または IPv6 ソケットアドレス（IP アドレスとポート番号）である必要があります。そうでない場合、Cloudflare One Client は MDM ファイル全体の解析に失敗します。

`service_mode`

クライアントの動作モードを選べます。

値の型: string

値:

warp — （デフォルト）Traffic and DNS モード。
1dot1 — DNS only モード。
proxy — Local proxy モード。proxy_port パラメーターで localhost の SOCKS プロキシポート（0〜66535）を指定します。例:
```
<key>service_mode</key>
<string>proxy</string>
<key>proxy_port</key>
<integer>44444</integer>
```
postureonly — Posture only モード。
tunnelonly - Traffic only モード。

`support_url`

MDM で Cloudflare One Client をデプロイすると、アプリ内の Send Feedback ボタンはデフォルトで無効です。このパラメーターでボタンを再有効化し、フィードバックの送り先を組織にできます。

値の型: string

値:

https://<support.example.com> — https:// リンクで社内ヘルプサイトを開きます。
mailto:<yoursupport@example.com> — mailto: リンクでデフォルトのメールクライアントを開きます。

`switch_locked`

ユーザーがクライアントのスイッチをオフにし、Cloudflare One Client を切断できるかどうかを制御します。

値の型: boolean

値:

false — （デフォルト）ユーザーは任意でスイッチをオン/オフできます。スイッチがオフのとき、特定のデバイスポスチャチェックを使う Access 保護サイトへは到達できません。
true — ユーザーはスイッチをオフにできません。Cloudflare One Client は自動で接続済み状態で起動します。

新規デプロイでは、auto_connect パラメーターを少なくとも 0 で含める必要があります。オフ状態でデプロイされ、ユーザーが手動で有効にできない状態を防げます。

`unique_client_id`

デバイス UUID ポスチャチェック用に、デバイスへ一意の識別子を割り当てます。

値の型: string

値: デバイスの UUID（例: 496c6124-db89-4735-bc4e-7f759109a6f1）。

`use_in_app_webview`

Zero Trust 認証に、デフォルトのシステムブラウザーではなくアプリ内 WebView を使います。Always-on VPN と Lockdown モードが有効な場合にこの設定が必要です。

値の型: boolean

値:

false — （デフォルト）Zero Trust 認証にデフォルトのシステムブラウザーを使います。
true — Zero Trust 認証にアプリ内 WebView を使います。

`warp_tunnel_protocol`

デバイスから Cloudflare Gateway へ IP トラフィックを送るプロトコルを設定します。詳細はデバイストンネルプロトコルを参照してください。

値の型: string

値:

masque — （デフォルト）MASQUE ↗ プロトコル
wireguard — WireGuard ↗ プロトコル

トップレベルパラメーター

トップレベルパラメーターは、Cloudflare One Client がデバイス登録を管理する方法を決めます。

`configs`

ユーザーが Cloudflare One Client の GUI で Zero Trust 組織を切り替えできるようにします。組織が 1 つだけでも、multi_user や pre_login などのほかのトップレベルパラメーターを使う場合は configs 配列が必要です。

値の型: array

値: 1 つ以上の Zero Trust 組織を含む配列。

`multi_user`

Windows デバイスで複数ユーザーの登録を有効にします。

値の型: boolean

値:

false — （デフォルト）デバイスごとに Cloudflare One Client の登録は 1 つだけ保存されます。ユーザーが Cloudflare One Client にログインしたあと、その設定と ID がデバイスからのすべてのトラフィックに適用されます。
true — 各 Windows ユーザーが独自の Cloudflare One Client 登録を持ちます。詳細は Windows デバイス上の複数ユーザーを参照してください。

`organization_configs`

機能の提供状況

クライアントモード	Zero Trust プラン ↗
すべてのモード	すべてのプラン

システム	提供状況	最小 WARP バージョン
Windows	✅	2026.5.0
macOS	✅	2026.5.0
Linux	✅	2026.5.0
iOS	❌	N/A
Android	❌	N/A
ChromeOS	❌	N/A

特定の組織のすべての configs エントリに適用する組織全体の設定を定義します。個別の設定エントリ内の競合する値を上書きします。

値の型: dict

値: 各キーが組織名（チーム名）、各値が組織全体の設定の dict である dict。

対応する設定:

キー	説明
`environment`	この組織に属するすべての設定で `environment` の値を上書きします。
`hardware_backed_registration`	この組織に属するすべての設定で `hardware_backed_registration` の値を上書きします。

同じ組織に複数の設定があり、すべてで同じ environment 値を強制したいときに organization_configs を使います。その組織の個別 configs エントリに設定した environment 値は、organization_configs で指定した値で上書きされます。

test-org に 2 つの設定（Production と Staging）があり、どちらも organization_configs で fedramp_high が強制される設定例:

<dict>
  <key>organization_configs</key>
  <dict>
    <key>test-org</key>
    <dict>
      <key>environment</key>
      <string>fedramp_high</string>
    </dict>
  </dict>
  <key>configs</key>
  <array>
    <dict>
      <key>organization</key>
      <string>test-org</string>
      <key>display_name</key>
      <string>Production</string>
    </dict>
    <dict>
      <key>organization</key>
      <string>test-org</string>
      <key>display_name</key>
      <string>Staging</string>
    </dict>
  </array>
</dict>

`pre_login`

ユーザーが最初の Windows ログインを完了する前に、サービストークンで Cloudflare One Client を接続できます。詳細は Windows ログイン前に Cloudflare One Client を接続するを参照してください。

アプリ単位 VPN パラメーター（Android）

アプリ単位 VPN ↗ パラメーターでは、WARP トンネル経由でトラフィックを送れる Android アプリを選べます。管理者は、管理対象デバイスまたはワークプロファイルへ Android アプリをデプロイできる任意の MDM ツールで、これらのパラメーターを設定できます。

`app_identifier`

Google Play Store 上のアプリを一意に識別する、アプリケーションのパッケージ名 / バンドル識別子です。このアプリケーションは Cloudflare One Client サービス経由でトンネリングされます。

値の型: string

値: アプリ識別子は、そのアプリの Play Store URL の ID クエリパラメーターにあります。例: https://play.google.com/store/apps/details?id=com.cloudflare.cloudflareoneagent の場合、Cloudflare One Agent アプリのアプリ識別子は com.cloudflare.cloudflareoneagent です。

`is_browser`

省略可能なプロパティです。is_browser は、再認証や Gateway のブロック通知など特定の機能で、Cloudflare One Agent アプリケーションがデフォルトブラウザーの代わりに開くブラウザーを決めるのに役立ちます。必要な場合、管理者は自動検出に頼らず、対象の tunneled_app がブラウザーであることを明示してください。

値の型: boolean

値: 値が true の場合、app_identifier で定義したアプリケーションをブラウザーとして扱います。デフォルト値は false で、is_browser は省略可能なプロパティです。

Traffic and DNS モードはクライアントバージョン 2025.2.664.0 以下で対応します。バージョン 2025.4.589.1 以降では、すべての DoH トラフィックが WARP トンネル内を通るため、このパラメーターは Traffic and DNS モードに適用されません。 ↩

パラメーター

フル機能の Cloudflare Zero Trust に必要な項目

organization

DNS のみのポリシー適用に必要な項目

gateway_unique_id

組織パラメーター

allow_managed_deployments

auth_client_id

auth_client_secret

auto_connect

display_name

enable_netbt

enable_pmtud

enable_post_quantum

environment

external_emergency_signal_fingerprint

external_emergency_signal_interval

external_emergency_signal_url

hardware_backed_registration

local_emergency_signal_enabled

onboarding

override_api_endpoint

override_doh_endpoint

override_warp_endpoint

service_mode

support_url

switch_locked

unique_client_id

use_in_app_webview

warp_tunnel_protocol

トップレベルパラメーター

configs

multi_user

organization_configs

pre_login

アプリ単位 VPN パラメーター（Android）

app_identifier

is_browser

Footnotes

`organization`

`gateway_unique_id`

`allow_managed_deployments`

`auth_client_id`

`auth_client_secret`

`auto_connect`

`display_name`

`enable_netbt`

`enable_pmtud`

`enable_post_quantum`

`environment`

`external_emergency_signal_fingerprint`

`external_emergency_signal_interval`

`external_emergency_signal_url`

`hardware_backed_registration`

`local_emergency_signal_enabled`

`onboarding`

`override_api_endpoint`

`override_doh_endpoint`

`override_warp_endpoint`

`service_mode`

`support_url`

`switch_locked`

`unique_client_id`

`use_in_app_webview`

`warp_tunnel_protocol`

`configs`

`multi_user`

`organization_configs`

`pre_login`

`app_identifier`

`is_browser`