HTTPS トラフィック検査、Data Loss Prevention、アンチウイルススキャン、Access for Infrastructure、Browser Isolation などの高度なセキュリティ機能では、ユーザーがデバイスにルート証明書をインストールして信頼する必要があります。Cloudflare が提供する証明書をインストールする（デフォルト）か、独自のカスタム証明書を生成して Cloudflare にアップロードできます。
Zero Trust はアカウントごとに 一意のルート CA を生成 し、Cloudflare のグローバルネットワークにデプロイします。Enterprise ユーザーは、独自の カスタム証明書 をアップロードしてデプロイできます。
Zero Trust は、デプロイステータスに基づいて、証明書が検査に使える状態かを示します。
| デプロイステータス | 説明 |
|---|---|
| Inactive | 証明書は Cloudflare で生成済み、またはアップロード済みですが、グローバルネットワークにはデプロイされていません。 |
| Pending | 証明書の有効化または無効化が進行中です。 |
| Available | 証明書は Cloudflare のグローバルネットワークにデプロイされ、オンにできる状態です。Cloudflare One Client がユーザーのデバイスに証明書をインストールします。 |
| Available and In-Use | 証明書はオンです。Gateway はこの証明書を検査に使います。 |
Zero Trust 組織向けに新しい Cloudflare ルート証明書を生成するには:
- Cloudflare dashboard ↗ で、Zero Trust > Traffic policies > Traffic settings を開きます。
- Certificates を選びます。
- Generate certificate を選びます。
- 証明書の有効期限までの期間を選びます。5 年後の期限切れを推奨します。または Custom を選び、日数を入力します。
- Generate certificate を選びます。
Create Zero Trust certificate エンドポイントに POST リクエストを送ります。
curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/certificates" \
--request POST \
--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"API は、新しい証明書の ID と内容を返します。
証明書は一覧に Inactive として表示されます。生成した証明書をダウンロードするには、その証明書を選び、Download .pem または Download .crt（あるいは両方）を選びます。証明書をデプロイして検査に使うには、証明書を有効化 する必要があります。
各 Zero Trust アカウントが新しいルート証明書を生成できる回数は、1 日あたり最大 3 回です。
Zero Trust で証明書を生成またはアップロードしたあと、有効化する必要があります。有効化すると証明書が Cloudflare ネットワークにデプロイされ、ステータスが Available になります。同時に利用可能な証明書は最大 10 件です。
ルート証明書を有効化するには:
- Cloudflare dashboard ↗ で、Zero Trust > Traffic policies > Traffic settings を開きます。
- Certificates を選びます。
- 有効化する証明書を選びます。
- Activate を選びます。
Activate a Zero Trust certificate エンドポイントに POST リクエストを送ります。
curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/certificates/$CERTIFICATE_ID/activate" \
--request POST \
--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"デプロイ中、証明書のステータスは Pending になります。ステータスが Available になったら、Cloudflare One Client または 手動 でユーザーのデバイスにインストールできます。
証明書をデプロイしてインストールしたあと、検査で使うためにオンにできます。
- Cloudflare dashboard ↗ で、Zero Trust > Traffic policies > Traffic settings を開きます。
- Certificates を選びます。
- オンにする証明書を選びます。
- Basic information で Confirm and turn on certificate を選びます。
Update Zero Trust account configuration エンドポイントに PUT リクエストを送ります。例:
curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/configuration" \
--request PUT \
--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
--json '{
"settings": {
"certificate": {
"id": "{certificate_id}",
"in_use": true
}
}
}'複数の証明書を Available にできますが、検査でオンにできる証明書は一度に 1 つだけです。証明書を In-Use にすると、ほかの使用中証明書は Available のみになり、再度オンにするまで検査には使われません。