証明書を手動でインストールする

デバイスが Cloudflare One Client による証明書インストール に対応していない場合は、Cloudflare 証明書を手動でインストールできます。証明書は システムのキーチェーン と 個別アプリケーションのストア の両方に追加する必要があります。HTTP フィルタリングの対象にする新しいデバイスごとに、これらの手順を実行します。

Zero Trust が検査に使うのは、Available かつ In-Use に設定されたインストール済み証明書だけです。

証明書を手動でインストールするには、次を行います。

1. Cloudflare 証明書をダウンロードし、検証します。
2. オペレーティングシステムの証明書ストアに証明書をインストールします。
3. 対象アプリケーションがオペレーティングシステムの証明書を受け付けない場合は、アプリケーションの証明書ストアにもインストールします。

まず、Cloudflare 証明書を 生成 してダウンロードします。証明書は .pem と .crt の両方の形式で入手できます。アプリケーションによっては特定のファイル種類が必要なので、用途に合ったファイルをダウンロードしてください。

1. Cloudflare ダッシュボード ↗ で、Zero Trust > Traffic policies > Traffic settings を開きます。
2. Certificates を選びます。
3. ダウンロードする証明書を選びます。
4. More actions を選びます。
5. 欲しい形式に応じて、Download .pem または Download .crt（あるいは両方）を選びます。

または、Cloudflare One Client を使って 証明書をダウンロードしてインストールできます。Cloudflare One Client は、証明書をデバイスのシステム証明書ストアの installed_certs/<certificate_id>.pem に追加します。

ダウンロードを検証するには、ターミナルで、ダウンロードした証明書のハッシュが Certificate thumbprint に表示されているサムプリントと一致することを確認します。例:

openssl x509 -noout -fingerprint -sha1 -inform der -in <certificate.crt>

SHA1 Fingerprint=BB:2D:B6:3D:6B:DE:DA:06:4E:CA:CB:40:F6:F2:61:40:B7:10:F0:6C

openssl x509 -noout -fingerprint -sha1 -inform pem -in <certificate.pem>

SHA1 Fingerprint=BB:2D:B6:3D:6B:DE:DA:06:4E:CA:CB:40:F6:F2:61:40:B7:10:F0:6C

openssl x509 -noout -fingerprint -sha256 -inform der -in <certificate.crt>

sha256 Fingerprint=F5:E1:56:C4:89:78:77:AD:79:3A:1E:83:FA:77:83:F1:9C:B0:C6:1B:58:2C:2F:50:11:B3:37:72:7C:62:3D:EF

openssl x509 -noout -fingerprint -sha256 -inform pem -in <certificate.pem>

sha256 Fingerprint=F5:E1:56:C4:89:78:77:AD:79:3A:1E:83:FA:77:83:F1:9C:B0:C6:1B:58:2C:2F:50:11:B3:37:72:7C:62:3D:EF

一部のアプリケーションは .cer 形式の証明書を必要とします。OpenSSL ↗ でダウンロードした証明書を変換できます。

デスクトップデバイスへ Cloudflare 証明書をデプロイする場合は、Cloudflare One Client で証明書をインストールする 方法を使ってください。

モバイルデバイスでは、次の手順による手動インストールが必要です。

macOS では、証明書をインストールするキーチェーンを選べます。キーチェーンごとに、ルート証明書を信頼したときに影響を受けるユーザーが変わります。

macOS に Cloudflare 証明書をインストールするには、Keychain Access アプリケーションまたはターミナルを使えます。どちらの方法でも、.crt 形式の 証明書をダウンロード する必要があります。

sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain <path-to-certificate.crt>

echo | sudo tee -a /etc/ssl/cert.pem < certificate.pem

Windows では証明書のインストール先が 2 つあり、ルート証明書を信頼したときに影響を受けるユーザーが変わります。

1. Cloudflare 証明書をダウンロード します。
2. 証明書ファイルを右クリックします。
3. Open を選びます。セキュリティ警告が出た場合は Open を選んで続行します。
4. Certificate ウィンドウが表示されます。Install Certificate を選びます。
5. ストアの場所を選びます。セキュリティ警告が出た場合は Yes を選んで続行します。
6. 次の画面で Browse を選びます。
7. リストから Trusted Root Certification Authorities ストアを選びます。
8. OK を選び、Finish を選びます。

ルート証明書がインストールされ、使える状態になります。

ルート証明書のインストール先は、Linux ディストリビューションによって異なります。お使いのディストリビューションの手順に従ってください。

1. Safari で、.pem 形式の Cloudflare 証明書をダウンロード します。
2. ファイルを開き、Recents を開きます。
3. ダウンロードした証明書ファイルを見つけて開きます。プロファイルがダウンロードされたことを示すメッセージが表示されます。Close を選びます。
4. 設定を開きます。Apple アカウント情報の下の Profile Downloaded を選びます。または General > VPN & Device Management を開き、Gateway CA - Cloudflare Managed G1 プロファイルを選びます。
5. Install を選びます。iOS デバイスがパスコード保護されている場合は、パスコードの入力を求められます。
6. 証明書の警告が表示されます。Install を選びます。2 回目の確認が出た場合は、もう一度 Install を選びます。
7. Profile Installed 画面が表示されます。Done を選びます。証明書はインストール済みですが、使う前にデバイスで信頼する必要があります。
8. 設定で General > About > Certificate Trust Settings を開きます。インストール済みのルート証明書が Enable full trust for root certificates の下に表示されます。
9. Cloudflare 証明書をオンにします。
10. セキュリティ警告が表示されます。Continue を選びます。

ルート証明書がインストールされ、使える状態になります。

1. Cloudflare 証明書をダウンロード します。
2. 設定で Security > Advanced > Encryption & credentials > Install a certificate を開きます。
3. CA certificate を選びます。
4. Install anyway を選びます。
5. 本人確認をします。
6. インストールする証明書ファイルを選びます。

ルート証明書がインストールされ、使える状態になります。

ChromeOS デバイスは、ルート証明書の保存とデプロイの方法が異なります。証明書は VPN and apps または CA certificate の設定に入ることがあります。デバイスに合った手順に従ってください。

ChromeOS に Cloudflare 証明書を追加したあと、ブラウザーにも証明書をインストール する必要がある場合があります。

一部のアプリケーションはシステム証明書ストアを使わないため、アプリケーションへ直接証明書を追加する必要があります。次のようなアプリケーションでは、このセクションの手順に従い、TLS 復号が正しく動くよう Cloudflare 証明書をアプリケーションへ追加してください。

アプリケーションを更新して Cloudflare 証明書を信頼させないと、アプリケーションは接続を拒否し、信頼されない証明書のエラーが出ます。

次のアプリケーションでは、まず 上記の手順 で Cloudflare 証明書をダウンロードする必要があります。macOS のシステムキーチェーンデータベースファイルのデフォルトパスは /Library/Keychains/System.keychain です。Windows のデフォルトパスは \Cert:\CurrentUser\Root です。

ブラウザーは独自の証明書ストアを使う場合と、オペレーティングシステムの証明書ストアに依存する場合があります。

Chrome 113 より前のバージョンは、macOS と Windows で オペレーティングシステムのルートストア ↗ を使います。macOS と Windows の Chrome 113 以降、および Linux と ChromeOS のすべてのバージョンは、Chrome 内部トラストストア ↗ を使います。

Cloudflare 証明書を Chrome へ手動でインストールするには:

1. .pem 形式の Cloudflare 証明書をダウンロード します。
2. Chrome で Settings > Privacy and security > Security を開きます。
3. Manage certificates を選びます。
4. Authorities を開きます。Import を選びます。
5. ファイルを開くダイアログで、ダウンロードした certificate.pem ファイルを選びます。
6. ダイアログで Trust this certificate for identifying websites、Trust this certificate for identifying email users、Trust this certificate for identifying software makers をオンにします。OK を選びます。
7. 証明書がインストールされ信頼されていることを確認するには、Authorities で探します。

組織向けの Cloudflare 証明書インストールについては、Google の Chrome Enterprise and Education ドキュメント ↗ を参照してください。

Cloudflare 証明書を Firefox へ手動でインストールするには:

1. .pem 形式の Cloudflare 証明書をダウンロード します。
2. Firefox で Settings > Privacy & Security を開きます。
3. Security で Certificates > View Certificates を選びます。
4. Authorities で Import を選びます。
5. ファイルを開くダイアログで、ダウンロードした certificate.pem ファイルを選びます。
6. ダイアログで Trust this CA to identify websites と Trust this CA to identify email users をオンにします。OK を選びます。
7. 証明書がインストールされ信頼されていることを確認するには、Cloudflare の下の表で探します。

組織向けの Cloudflare 証明書インストールについては、この Mozilla サポート記事 ↗ を参照してください。

Zero Trust は、複数の モバイルデバイス管理（MDM）ソフトウェアパートナー と連携し、デバイスへ Cloudflare One Client をデプロイできます。

Microsoft Intune で Cloudflare 証明書をアップロードしてデプロイするには:

1. Cloudflare 証明書をダウンロードし、DER 形式の .cer ファイルへ変換します。
2. Microsoft Intune で、変換した証明書を使って 信頼済み証明書プロファイルを作成 ↗ します。

詳細は Microsoft のドキュメント ↗ を参照してください。

Jamf Pro で Cloudflare 証明書をアップロードしてデプロイするには:

1. Cloudflare 証明書をダウンロードし、DER 形式の .cer ファイルへ変換します。
2. Jamf Pro で、コンピューター構成プロファイルを作る場合は Computers > Configuration Profiles を開き、モバイルデバイス構成プロファイルを作る場合は Devices > Configuration Profiles を開きます。New を選びます。
3. プロファイルの名前と説明を追加します。
4. Jamf に証明書を自動インストールさせるかセルフサービスでインストールさせるか、およびデバイス上の 1 人のユーザー向けかすべてのユーザー向けかを選びます。
5. Add > Certificate を選びます。証明書ファイルを選びます。
6. Allow export from keychain のチェックを外します。
7. Scope を選び、証明書をデプロイするデバイスまたはグループを選びます。
8. Save を選びます。

詳細は Jamf Pro のドキュメント ↗ を参照してください。

Kandji で Cloudflare 証明書をアップロードしてデプロイするには:

1. .crt 形式の Cloudflare 証明書をダウンロード します。
2. Kandji で、証明書を PKCS #1 形式の証明書として アップロード ↗ します。

Hexnode で Cloudflare 証明書をアップロードしてデプロイするには:

1. .pem 形式の Cloudflare 証明書をダウンロード します。
2. Hexnode で、macOS ↗、iOS ↗、Android ↗ デバイスへの証明書追加手順に従います。

JumpCloud で Cloudflare 証明書をアップロードしてデプロイするには:

1. .pem 形式の Cloudflare 証明書をダウンロード します。
2. JumpCloud で 証明書をアップロード ↗ します。
3. デバイスへ証明書をデプロイする 条件付きアクセスポリシーを設定 ↗ します。

プログラミング言語のランタイムは、独自の証明書ストアを持つか、言語固有の証明書管理ツールを使うことが多いです。

インストールされている Python のバージョンと設定によっては、python または python3 コマンドが必要です。仮想環境 ↗ を使う場合は、各仮想環境で次の手順を繰り返してください。

Java は、インストールや Java を含むアプリケーションごとに、複数の証明書キーストアを持つことがあります。Java Virtual Machine（JVM）のインストールによっては、インスタンスごとに証明書をインストールする必要があります。各 Java アプリケーションを、証明書を使って信頼するよう手動で設定する必要がある場合もあります。

システム JVM に Cloudflare ルート証明書をインストールするには、お使いのオペレーティングシステムの手順に従ってください。これらの手順では .pem 証明書のダウンロード が必要です。

RubyGems で Cloudflare ルート証明書を信頼するには、お使いのオペレーティングシステムの手順に従ってください。これらの手順では .pem 証明書のダウンロード が必要です。

Rust のパッケージマネージャー Cargo は、ほとんどのプラットフォームでデフォルトでシステム証明書ストアを使います。ただし、明示的な設定が必要な場合もあります。

[http]
cainfo = "C:\\Users\\<username>\\Downloads\\certificate.pem"

[http]
cainfo = "/path/to/certificate.pem"

開発ツールとパッケージマネージャーは、安全なパッケージダウンロードとリポジトリアクセスのために証明書設定が必要なことが多いです。

git config --global http.sslcainfo [PATH_TO_CLOUDFLARE_CERT]

1. .pem 形式の Cloudflare 証明書をダウンロード します。
2. cafile 設定を Cloudflare 証明書へ向けます。

   npm config set cafile [PATH_TO_CLOUDFLARE_CERT.pem]

一部のシステムでは、パス / エクスポートリストに次を設定する必要があります。

export NODE_EXTRA_CA_CERTS='[PATH_TO_CLOUDFLARE_CERT.pem]'

次のコマンドは、composer.json 内の cafile ↗ 設定を Cloudflare ルート証明書へ向けます。.pem 形式の 証明書をダウンロード してください。

composer config cafile [PATH_TO_CLOUDFLARE_CERT.pem]

または、composer.json ファイルの config キーの下へ手動で追加できます。

Docker コンテナで使う証明書をインストールするには:

1. .pem 形式の Cloudflare 証明書をダウンロード します。

2. Docker プロジェクトに証明書用ディレクトリを作成します。

   cd docker-project
   mkdir certs
   mv /path/to/downloaded/certificate.pem certs/

3. 証明書がディレクトリへ正しく移動したことを確認します。プロジェクトは次の構成になります。

   docker-project/
   ├── Dockerfile
   └── certs/
       └── certificate.pem

4. Docker イメージへ証明書を追加します。

   ビルド時にインストールするよう、Dockerfile へ証明書を追加するには:

   1. Dockerfile へ証明書のインストール手順を追加します。例:

      FROM registry.access.redhat.com/ubi9/ubi:latest
      # Or FROM centos:7 or FROM fedora:38
      
      # Install necessary certificates package
      RUN dnf install -y ca-certificates
      
      # Copy and add Cloudflare root certificate
      COPY certs/certificate.pem /etc/pki/ca-trust/source/anchors/certificate.crt
      RUN update-ca-trust extract

      FROM debian:12
      # Or FROM ubuntu:22.04
      
      # Install necessary certificates package
      RUN apt-get update && apt-get install -y ca-certificates
      
      # Copy and add Cloudflare root certificate
      COPY certs/certificate.pem /usr/local/share/ca-certificates/certificate.crt
      RUN update-ca-certificates

      FROM alpine:3.18
      
      # Install necessary certificates package
      RUN apk add --no-cache ca-certificates
      
      # Copy and add Cloudflare root certificate
      COPY certs/certificate.pem /usr/local/share/ca-certificates/certificate.crt
      RUN update-ca-certificates

   2. Docker イメージをビルドします。

      docker build -t <your-container-name> .

   3. 証明書がインストールされたことを確認します。

      docker run --rm your-image-name sh -c "cat /etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem | grep Cloudflare"

      docker run --rm your-image-name sh -c "cat /etc/ssl/certs/certificate.pem"

   実行時にインストールするよう、Docker Compose ファイルへ証明書を追加するには:

   1. docker-compose.yml ファイルへ証明書のインストール手順を追加します。例:

      version: '3'
      services:
      	redhat-app:
      		image: registry.access.redhat.com/ubi9/ubi:latest
       		volumes:
       			- certs/certificate.pem:/etc/pki/ca-trust/source/anchors/certificate.pem
       		entrypoint: /bin/sh -c "dnf install -y ca-certificates && update-ca-trust extract && app start"

      version: '3'
      services:
      	debian-app:
      		image: debian:12
       		volumes:
       			- certs/certificate.pem:/usr/local/share/ca-certificates/certificate.crt
       		entrypoint: /bin/sh -c "apt-get update && apt-get install -y ca-certificates && update-ca-certificates && app start"

      version: '3'
      services:
      	alpine-app:
      		image: alpine:3.18
       		volumes:
       			- certs/certificate.pem:/usr/local/share/ca-certificates/certificate.pem
       		entrypoint: /bin/sh -c "apk add --no-cache ca-certificates && update-ca-certificates && app start"

   2. コンテナを実行します。

      docker-compose up

   3. 証明書がインストールされたことを確認します。

      docker exec -it <container-name> sh -c "cat /etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem | grep Cloudflare"

      docker exec -it <container-name> sh -c "cat /etc/ssl/certs/ca-certificates.crt | grep Cloudflare"

コマンドラインツールは通常システム証明書ストアを使いますが、固有の設定が必要な場合があります。

デフォルトでは、cURL はオペレーティングシステムのネイティブ証明書ストアを使います。デフォルト証明書を強制するには、コマンドに --ca-native フラグを追加します。例:

curl --ca-native https://example.com

デフォルトでは、GNU Wget はオペレーティングシステムのネイティブ証明書ストアを使います。デフォルト証明書を強制するには、コマンドに --ca-certificate フラグを追加します。

wget --ca-certificate=[PATH_TO_CLOUDFLARE_CERT.pem] https://example.com

ca_certificate = [PATH_TO_CLOUDFLARE_CERT.pem]

統合開発環境は、独自の JVM または証明書ストアを使うことが多いです。

Android Studio は独自の JVM と証明書ストアを使います。Cloudflare ルート証明書をインストールするには:

1. Cloudflare 証明書をダウンロード します。

2. Android Studio インストールの java.home 値を確認します。

   1. Android Studio で Help > About を開きます（macOS では Android Studio > About Android Studio）。
   2. ダイアログに表示される JRE パスをコピーします。例:

      /Applications/Android Studio.app/Contents/jbr/Contents/Home

3. Android Studio の JVM へ Cloudflare 証明書を追加します。

Android Studio 内の Gradle ビルドでは、Gradle JVM の場所に対しても同じ手順を行い、証明書を信頼させる必要がある場合があります。

JetBrains 製品へ Cloudflare ルート証明書をインストールするには、次のリンクを参照してください。

• AppCode ↗
• CLion ↗
• DataGrip ↗
• DataSpell ↗
• GoLand ↗
• IntelliJ IDEA ↗
• PhpStorm ↗
• PyCharm ↗
• Rider ↗
• WebStorm ↗

Eclipse IDE for Java Developers へ Cloudflare ルート証明書をインストールするには、Eclipse が使う Java 仮想マシン（JVM）へ証明書を追加します。

1. Cloudflare 証明書をダウンロード します。

2. Eclipse インストールの java.home 値を確認します。

   1. Eclipse で Eclipse > About Eclipse を開きます（Windows と Linux では Help > About Eclipse IDE）。
   2. Installation Details を選び、Configuration を開きます。
   3. java.home を検索し、値を確認します。例:

   *** System properties:
   java.home=/Users/<username>/.p2/pool/plugins/org.eclipse.justj.openjdk.hotspot.jre.full.macosx.aarch64_17.0.8.v20230831-1047/jre

   4. java.home= のあとのフルパスをコピーします。

3. Eclipse の JVM へ Cloudflare 証明書を追加します。

keytool で Eclipse へ証明書を追加する方法の詳細は、IBM のドキュメント ↗ を参照してください。

クラウドサービスプロバイダーとインフラストラクチャツールは、API アクセスとリソース管理のために証明書設定が必要なことが多いです。

次のコマンドは、Google Cloud SDK が Cloudflare 証明書を使うよう設定します。Google Cloud SDK の設定の詳細は Google Cloud のドキュメント ↗ を参照してください。

1. curl の cacert バンドルを取得します。

   curl --remote-name https://curl.se/ca/cacert.pem

2. .pem 形式の Cloudflare 証明書をダウンロード します。

3. 証明書を 1 つの .pem ファイルへ結合します。

   cat cacert.pem certificate.pem > ~/ca.pem

4. Google Cloud が結合した .pem を使うよう設定します。

   gcloud config set core/custom_ca_certs_file ~/ca.pem

Google Cloud SDK と Kaniko を使う場合は、Kaniko の CA ストア ↗ に Cloudflare 証明書をインストールする必要があります。詳細は gcloud のドキュメント ↗ を参照してください。

Google Apps Manager（GAM）は独自の証明書ストアを使います。GAM へ Cloudflare 証明書を追加する方法は GAM のドキュメント ↗ を参照してください。

証明書の場所を恒久的に設定するには:

1. .pem 形式の Cloudflare 証明書をダウンロード します。

2. AWS 設定ファイル ↗ を探して開きます。

3. ca_bundle 設定 ↗ に証明書の場所を指定します。例:

   [default]
   region = us-west-1
   
   +ca_bundle = /path/to/certificate.pem

4. ターミナルを再起動します。

証明書の場所を環境変数として設定するには:

1. .pem 形式の Cloudflare 証明書をダウンロード します。
2. ターミナルで、オペレーティングシステムに応じて AWS_CA_BUNDLE 環境変数 ↗ を証明書の場所へ設定します。
3. ターミナルを再起動します。

証明書の場所を恒久的に設定するには:

1. .pem 形式の Cloudflare 証明書をダウンロード します。
2. オペレーティングシステムに応じて、REQUESTS_CA_BUNDLE 環境変数を証明書へ向けます。

export REQUESTS_CA_BUNDLE="$HOME/Downloads/certificate.pem"

[System.Environment]::SetEnvironmentVariable('REQUESTS_CA_BUNDLE', "$HOME\Downloads\certificate.pem", 'User')

3. ターミナルを再起動します。

1 つのコマンドだけ証明書の場所を設定するには:

1. .pem 形式の Cloudflare 証明書をダウンロード します。

2. コマンド実行時に REQUESTS_CA_BUNDLE 環境変数を設定します。

   REQUESTS_CA_BUNDLE=/path/to/certificate.pem az <command>

詳細は Azure CLI のドキュメント ↗ を参照してください。

Python 向け AWS SDK の Boto3 は、いくつかの方法で Cloudflare 証明書を使うよう設定できます。

環境変数で証明書の場所を設定するには:

1. .pem 形式の Cloudflare 証明書をダウンロード します。
2. オペレーティングシステムに応じて AWS_CA_BUNDLE 環境変数を設定します。

export AWS_CA_BUNDLE="$HOME/Downloads/certificate.pem"

[System.Environment]::SetEnvironmentVariable('AWS_CA_BUNDLE', "$HOME\Downloads\certificate.pem", 'User')

3. ターミナルを再起動します。

AWS 設定で証明書の場所を恒久的に設定するには:

1. .pem 形式の Cloudflare 証明書をダウンロード します。

2. AWS 設定ファイル ↗ を探して開きます。

3. ca_bundle 設定 ↗ に証明書の場所を指定します。例:

   [default]
   region = us-west-1
   
   +ca_bundle = /path/to/certificate.pem

Python コード内で証明書を直接指定するには:

1. .pem 形式の Cloudflare 証明書をダウンロード します。

2. Boto3 のクライアントまたはリソースを作るときに、証明書パスを渡します。

   import boto3
   
   client = boto3.client(
       's3',
       verify='/path/to/certificate.pem'
   )

詳細は Boto3 のドキュメント ↗ を参照してください。

エンタープライズ向けデスクトップアプリケーションや専用ツールは、カスタムの証明書設定が必要な場合があります。

Google Drive デスクトップアプリケーションで Cloudflare ルート証明書を信頼するには、お使いのオペレーティングシステムの手順に従ってください。これらの手順では .pem 証明書のダウンロード が必要です。

defaults read /Library/Preferences/com.google.drivefs.settings

Get-ItemProperty -Path "HKLM:\SOFTWARE\Google\DriveFS" | Select-Object TrustedRootCertsFile

詳細は、TrustedRootCertsFile 設定に関する Google のドキュメント ↗ を参照してください。

Minikube で Cloudflare ルート証明書を信頼するには、x509: certificate signed by unknown authority ↗ を参照してください。