Cloudflare One では、Secure Web Gateway ポリシーで送信トラフィックをユーザーのアイデンティティ単位まで絞り込めます。そのためには、アイデンティティベースのセレクター を使って DNS、HTTP、Network ポリシーを作成します。これらのセレクターを使うには、Cloudflare One Client を Traffic and DNS モード で導入してください。
たとえば、チームごとに異なるセキュリティルールを作れます。業務委託先にはソーシャルメディアをブロックし、マーケティングには許可する、といった使い方です。
デバイスポスチャチェック からの追加シグナルに基づいて、送信トラフィックを絞り込むこともできます。
Gateway は、ユーザーがログインしたとき、または再認証したときにアイデンティティを確認します。ユーザーのアイデンティティを確認し、一定間隔で再認証を求めるには、Cloudflare One Client のセッション期間を強制 できます。
ユーザーが再認証する方法は 2 つあります。
- Access で保護したアプリケーションからログアウトし、再度ログインする。
- Cloudflare One Client で Profile > Account information > Re-authenticate を開き、セッションを再認証する 1。ブラウザーウィンドウが開き、ログインを求められます。
ポリシー評価時に Gateway が使うアイデンティティを確認するには、ユーザーレジストリ を確認してください。
System for Cross-domain Identity Management（SCIM）プロビジョニングを設定した IdP では、Gateway はユーザー名、役職、グループ所属の変更を自動で検出します。詳細は SCIM プロビジョニング を参照してください。
拡張メールアドレス（プラスアドレスとも呼ばれます）は、既存のメールアドレスに + または . の修飾子を付けた派生形です。Gmail や Outlook など多くのメールプロバイダーは、拡張アドレス宛のメールを元のアドレスへ配信します。たとえば、contact+123@example.com または con.tact@example.com 宛のメールは contact@example.com に届きます。
デフォルトでは、Gateway はポリシーの種類とアクションに応じて、完全一致だけをフィルタするか、すべての拡張形式をフィルタします。
DNS ポリシー
| アクション | 動作 |
|---|---|
| Allow | 完全一致のアドレスのみ |
| Block | 完全一致のアドレスとすべての拡張形式 |
| Override | 完全一致のアドレスとすべての拡張形式 |
| Safe Search | 完全一致のアドレスとすべての拡張形式 |
| YouTube Restricted | 完全一致のアドレスとすべての拡張形式 |
Network ポリシー
| アクション | 動作 |
|---|---|
| Allow | 完全一致のアドレスのみ |
| Block | 完全一致のアドレスとすべての拡張形式 |
| Network Override | 完全一致のアドレスのみ |
HTTP ポリシー
| アクション | 動作 |
|---|---|
| Allow | 完全一致のアドレスのみ |
| Block | 完全一致のアドレスとすべての拡張形式 |
| Do Not Inspect | 完全一致のアドレスのみ |
| Do Not Isolate | 完全一致のアドレスのみ |
| Do Not Scan | 完全一致のアドレスのみ |
| Isolate | 完全一致のアドレスとすべての拡張形式 |
その他のポリシー
| ポリシーの種類 | 動作 |
|---|---|
| Egress policy | 完全一致のアドレスのみ |
| Resolver policy | 完全一致のアドレスのみ |
Gateway ですべてのメールアドレス形式に一致させるには、Traffic policies > Traffic settings > Policy settings を開き、Match extended email addresses をオンにします。この設定は、すべてのファイアウォール、Egress、Resolver ポリシーに適用されます。
IdP で設定した カスタム OIDC クレーム の値を指定します。
| UI 名 | API の例 |
|---|---|
| OIDC Claims | any(identity.oidc_claims[*] == "\"department=engineering\"") |
SAML Attribute Assertion の値を指定します。
| UI 名 | API の例 |
|---|---|
| SAML Attributes | identity.saml_attributes == "\"group=finance\"" |
ユーザーのメールアドレスに基づいて、アイデンティティベースの Gateway ポリシーを作成します。
| UI 名 | API の例 |
|---|---|
| User Email | identity.email == "user-name@company.com" |
IdP でユーザーが所属するグループの ID に基づいて、アイデンティティベースの Gateway ポリシーを作成します。
| UI 名 | API の例 |
|---|---|
| User Group IDs | identity.groups.id == "12jf495bhjd7893ml09o" |
IdP でユーザーが所属するグループのメールアドレスに基づいて、アイデンティティベースの Gateway ポリシーを作成します。
| UI 名 | API の例 |
|---|---|
| User Group Email | identity.groups.email == "contractors@company.com" |
IdP でユーザーが所属するグループ名に基づいて、アイデンティティベースの Gateway ポリシーを作成します。
| UI 名 | API の例 |
|---|---|
| User Group Names | identity.groups.name == "\"finance\"" |
IdP 上の特定ユーザーのユーザー名に基づいて、アイデンティティベースの Gateway ポリシーを作成します。
| UI 名 | API の例 |
|---|---|
| User Name | identity.name == "user-name" |
Cloudflare Gateway は、組織の IdP と連携できます。IdP のユーザーまたはグループ向けの Gateway ポリシーを作る前に、認証方法として IdP を追加 してください。
IdP ごとにユーザーグループの形式が異なるため、次の一覧を参照して適切なアイデンティティベースセレクターを選んでください。
| セレクター | 値 |
|---|---|
| User Group IDs | 61503835-b6fe-4630-af88-de551dd59a2 |
値 は Entra グループの Object Id です。
SCIM でユーザーとグループの同期を有効にしている場合、同期されたグループは User Group Names に表示されます。
| セレクター | 値 |
|---|---|
| User Group Names | SCIM group |
| セレクター | 値 |
|---|---|
| User Group Names | Marketing |
| セレクター | 値 |
|---|---|
| User Group Names | Marketing |
Okta を OIDC プロバイダー として追加した場合は、User Group Names セレクターを使います。
| セレクター | 値 |
|---|---|
| User Group Names | Marketing |
Okta の OIDC 連携は、SCIM によるユーザーとグループの同期に対応しています。
Okta を SAML プロバイダー として追加した場合は、SAML Attributes セレクターを使います。
| セレクター | 属性名 | 属性値 |
|---|---|---|
| SAML Attributes | groups |
Marketing |
汎用 SAML プロバイダー では、SAML Attributes セレクターを使います。
| セレクター | 属性名 | 属性値 |
|---|---|---|
| SAML Attributes | department |
Marketing |
汎用 OIDC プロバイダー では、OIDC Claims セレクターを使い、IdP で設定した カスタム OIDC クレーム に基づいてトラフィックを絞り込みます。
| セレクター | クレーム名 | クレーム値 |
|---|---|---|
| OIDC Claims | department |
Engineering |
-
Cloudflare One Client バージョン 2026.1 以前では、Preferences > Account > Re-Authenticate Session を選びます。 ↩