Cloudflare Organizations

Gateway では、Cloudflare Organizations を使い、Organization 内のアカウント間で設定を共有し、特定のポリシーを適用できます。Organizations を使う階層型 Gateway ポリシーは、DNS、ネットワーク、HTTP、リゾルバーポリシーに対応します。

Tenant API を使う DNS 専用のデプロイについては Tenant API を参照してください。

始める

Cloudflare Organizations のセットアップは Organization を作成するを参照してください。Organization のアカウントをプロビジョニングして設定したら、Gateway ポリシーを作成できます。

アカウントの種類

Cloudflare Organizations 内の Zero Trust アカウントには、ソースアカウントと受信側アカウントがあります。

階層型ポリシー構成では、最上位のソースアカウントが受信側アカウントと Gateway ポリシーを共有できます。受信側アカウントは、ソースアカウントの管理下にありながら、必要に応じてポリシーを追加できます。Organization のオーナーは、ソースアカウントとは別に、受信側アカウント向けのカスタムブロックページも設定できます。Gateway は、Organization 内の受信側アカウントごとに一意のルート CA を自動生成します。

各受信側アカウントには、デフォルトの Zero Trust アカウント制限が適用されます。

Gateway は、受信側アカウントのポリシーより先にソースアカウントのポリシーを評価します。共有ポリシーは受信側アカウントで常に優先されます。受信側アカウントは共有ポリシーを迂回、変更、並べ替えできず、自身のポリシーを共有ポリシーより上に移動することもできません。ソースアカウントで共有ポリシーの相対優先度を更新すると、約 2 分以内に受信側アカウントへ反映されます。

受信側アカウントのトラフィックと、対応するポリシー、ログ、設定は、その受信側アカウント内に閉じます。Organization のオーナーは受信側アカウントのログをアカウント単位で確認できます。Logpush ジョブはアカウントごとに個別設定が必要です。ペイロードログ付きの DLP ポリシーを使う場合、各受信側アカウントは自身の暗号化公開鍵を設定する必要があります。

flowchart TD
%% Accessibility
 accTitle: 階層型アカウント構成での Gateway ポリシーの動作
 accDescr: Cloudflare Organizations を使う階層型アカウント構成で、Gateway がポリシーを適用する優先順位を示すフローチャートです。

%% Flowchart
 subgraph s1["ソースアカウント"]
        n1["マルウェアをブロック"]
        n2["スパイウェアをブロック"]
        n3["DNS トンネルをブロック"]
  end
 subgraph s2["受信側アカウント A"]
        n5["マルウェアをブロック"]
        n6["スパイウェアをブロック"]
        n4["ソーシャルメディアをブロック"]
  end
 subgraph s3["受信側アカウント B"]
        n8["マルウェアをブロック"]
        n9["スパイウェアをブロック"]
        n10["DNS トンネルをブロック"]
        n7["インスタントメッセージをブロック"]
  end
    n1 ~~~ n2
    n2 ~~~ n3
    s1 -- ポリシーを共有 --> s2 & s3

    n1@{ shape: rect}
    n2@{ shape: rect}
    n3@{ shape: rect}
    n4@{ shape: rect}
    n5@{ shape: rect}
    n6@{ shape: rect}
    n7@{ shape: rect}
    n8@{ shape: rect}
    n9@{ shape: rect}
    n10@{ shape: rect}
     n1:::Sky
     n2:::Sky
     n3:::Peach
     n4:::Forest
     n5:::Sky
     n6:::Sky
     n7:::Forest
     n8:::Sky
     n9:::Sky
     n10:::Peach
    classDef Sky stroke-width:1px, stroke-dasharray:none, stroke:#374D7C, fill:#E2EBFF, color:#374D7C
    classDef Peach stroke-width:1px, stroke-dasharray:none, stroke:#FBB35A, fill:#FFEFDB, color:#8F632D
    classDef Forest stroke-width:1px, stroke-dasharray:none, stroke:#2D6A4F, fill:#D8F3DC, color:#2D6A4F

上の図では次のとおりです。

青のポリシー（マルウェアをブロック と スパイウェアをブロック）はソースアカウントから共有されます。
オレンジのポリシー（DNS トンネルをブロック）は共有されません。
緑のポリシー（ソーシャルメディアをブロック と インスタントメッセージをブロック）は受信側アカウントでローカルに作成されます。

制限事項

Organizations を使う階層型ポリシーには、次の制限があります。

エグレスポリシーはアカウント間で共有できません。
ソースアカウントは、デバイスポスチャセレクター、Detected protocol セレクター、または Quarantine アクションを使うポリシーを共有できません。ソースアカウントと受信側アカウントは、Organization の共有とは別に、これらのセレクターとアクションを使うポリシーを作成して適用できます。
ポリシーは Organization 内でのみ共有できます。下位 Organization への共有はサポートされていません。

ポリシーを管理する

Cloudflare Organization のソースアカウントで、階層型ポリシーの作成、設定、共有ができます。

ポリシーを共有する

ソースアカウントから受信側アカウントへ Gateway ポリシーを共有するには:

Cloudflare ダッシュボード ↗ で、Zero Trust > Traffic policies > Firewall policies を開きます。
共有するポリシーの種類を選びます。リゾルバーポリシーを共有する場合は、Traffic policies > Resolver policies を開きます。
リストから共有するポリシーを探します。三点メニューで Share を選択します。複数のポリシーを一括共有する場合は、共有する各ポリシーを選択し、Actions > Share を選択することもできます。
Select account で、ポリシーを共有するアカウントを選びます。Organization 内の既存および今後の受信側アカウントすべてと共有するには、Select all accounts in org を選びます。
Continue を選択し、Share を選択します。

ポリシー名の横に共有アイコンが表示されます。共有が完了すると、ポリシーは受信側アカウントに表示され、適用されます。共有ポリシーは、受信側アカウントの Gateway ポリシー一覧でグレーアウトして表示されます。

ポリシーの受信側アカウントへの共有に失敗した場合、回復不能なエラーでなければ、Gateway は自動で再デプロイを再試行します。

共有先を編集する

Gateway ポリシーの共有先を変更または削除するには:

Cloudflare ダッシュボード ↗ で、Zero Trust > Traffic policies > Firewall policies を開きます。
編集するポリシーの種類を選びます。リゾルバーポリシーを編集する場合は、Traffic policies > Resolver policies を開きます。
リストから編集するポリシーを探します。
三点メニューで Edit shared configuration recipients を選択します。
Select account で、ポリシーを共有するアカウントを選びます。共有先を削除するには、受信側アカウント名の横の Remove を選択します。
Continue を選択し、Save を選択します。

共有が完了すると、設定した受信側アカウント全体でポリシーの共有が更新されます。

ポリシーの共有を解除する

すべての受信側アカウントとのポリシー共有を停止するには:

Cloudflare ダッシュボード ↗ で、Zero Trust > Traffic policies > Firewall policies を開きます。
解除するポリシーの種類を選びます。リゾルバーポリシーを解除する場合は、Traffic policies > Resolver policies を開きます。
リストから解除するポリシーを探します。三点メニューで Unshare を選択します。複数のポリシーを一括解除する場合は、解除する各ポリシーを選択し、Actions > Unshare を選択することもできます。
Unshare を選択します。

共有が完了すると、Gateway はすべての受信側アカウントへの共有を停止し、ソースアカウントにだけポリシーを適用します。

共有ポリシーを編集する

共有ポリシーへの変更は、すべての受信側アカウントに適用されます。共有ポリシーを削除すると、ソースアカウントとすべての受信側アカウントからポリシーが削除されます。

Gateway 設定を管理する

Gateway のブロックページと拡張メールアドレス照合など、一部の Gateway 設定は、ソースアカウントから Cloudflare Organization 内の受信側アカウントへ共有できます。ソースアカウントで設定したほかの Gateway 設定（AV スキャンやファイルサンドボックスなど）は、受信側アカウントの設定には影響しません。

Gateway ブロックページを共有する

ソースアカウントから受信側アカウントへ Gateway ブロックページの設定を共有するには:

Cloudflare ダッシュボード ↗ で、Zero Trust > Reusable components > Custom pages を開きます。
Account Gateway block page で三点メニューを選び、Share を選択します。
Select account で、設定を共有するアカウントを選びます。Organization 内の既存および今後の受信側アカウントすべてと共有するには、Select all accounts in org を選びます。
Continue を選択し、Share を選択します。

設定の横に共有アイコンが表示されます。共有が完了すると、設定は受信側アカウントに表示され、適用されます。

共有先の変更や共有解除は、三点メニューから Edit shared configuration recipients または Unshare を選びます。

拡張メールアドレス照合を共有する

ソースアカウントから受信側アカウントへ拡張メールアドレス照合の設定を共有するには:

Cloudflare ダッシュボード ↗ で、Zero Trust > Traffic policies > Traffic settings を開きます。
Firewall > Matched extended email address で三点メニューを選び、Share を選択します。
Select account で、設定を共有するアカウントを選びます。Organization 内の既存および今後の受信側アカウントすべてと共有するには、Select all accounts in org を選びます。
Continue を選択し、Share を選択します。

設定の横に共有アイコンが表示されます。共有が完了すると、設定は受信側アカウントに表示され、適用されます。

共有先の変更や共有解除は、三点メニューから Edit shared configuration recipients または Unshare を選びます。