MSSP と Distributor 向け Organizations

Organizations は、MSSP（Managed Security Service Provider）および Distributor パートナーが顧客アカウントを管理し、子パートナー Organizations を作成するための多層構造を提供します。

MSSP と Distributor 向け Organizations は次の用途向けです。

• 複数の MSSP パートナー Organizations を管理する Distributor
• 複数のエンド顧客アカウントを管理する MSSP
• マネージド Cloudflare サービスを提供する チャネルパートナー

Enterprise 向けのドキュメントをお探しの場合は Enterprise 向け Organizations を参照してください。

MSSP/Distributor Organizations は 多層構造 を使います。

Distributor Organization
├── MSSP Organization A
│   ├── Sub-Organization A1
│   │   ├── Customer Account 1
│   │   │   ├── Zone A
│   │   │   └── Zone B
│   │   └── Customer Account 2
│   │       └── Zone C
│   └── Customer Account 3
│       └── Zone D
├── MSSP Organization B
│   ├── Customer Account 4
│   │   └── Zone E
│   └── Customer Account 5
│       └── Zone F
└── MSSP Organization C
    └── Sub-Organization C1
        └── Customer Account 6
            └── Zone G

主な特徴:

• Distributor は子 MSSP Organizations を作成して管理します
• MSSP Organizations は最大 5 レベルの入れ子サブ Organizations を作成できます
• 各 MSSP Organization は自社の顧客アカウントを管理します
• MSSP Organization のメンバーは、顧客アカウントへの 暗黙のアクセス を持ちます
• アカウントは MSSP Organizations 間で移動できます
• 上限: Organization あたり 500 アカウント と 5,000 ゾーン

Distributor A は、15 の MSSP パートナーを持つ Cloudflare チャネルパートナーです。

• 各 MSSP パートナーは 5〜50 のエンド顧客アカウントを管理します
• 合計: 15 の MSSP Organizations、300 以上の顧客アカウント

Distributor A の構造:

Distributor A Organization
├── Security MSSP
│   ├── Retail Customer 1 (10 zones)
│   ├── Healthcare Customer 2 (25 zones)
│   └── Finance Customer 3 (40 zones)
├── Web Performance MSSP
│   ├── E-commerce Customer 4 (15 zones)
│   └── Media Customer 5 (30 zones)
└── [13 more MSSP Organizations...]

Distributor A ができること:

• 新しいパートナー向けに新しい MSSP Organizations を作成する
• 各 MSSP Organization 内に顧客アカウントを作成する
• 所有権が変わった場合に、MSSP Organizations 間で顧客アカウントを移動する
• すべての MSSP Organizations にわたる集約アナリティクスを見る
• MSSP Organizations にわたってセキュリティポリシーを共有する

各 MSSP ができること:

• 自社の顧客アカウントを管理する
• 新しいクライアント向けに新しい顧客アカウントを作成する
• すべての顧客アカウントへの暗黙のアクセスを持つ MSSP チームメンバーを招待する
• 顧客アカウントにわたって WAF と Gateway ポリシーを共有する
• 顧客アカウントにわたる集約アナリティクスを見る

MSSP/Distributor Organizations は、顧客がセルフサービスで作成できません。始めるには:

1. Cloudflare アカウントチーム に連絡し、MSSP または Distributor Organization を依頼します。
2. Cloudflare が Organization を作成し、最初の Organization Super Administrator を割り当てます。
3. 最初の Organization Super Administrator は、Cloudflare ユーザーアカウントで 二要素認証（2FA） または シングルサインオン（SSO） が有効である必要があります。
4. 作成後、Organization Super Administrator は Cloudflare ダッシュボード ↗ から Organization の管理を始められます。

Distributor は子 MSSP パートナー Organizations を作成できます。各 MSSP Organization は独立して動き、自社の顧客アカウントを管理します。

MSSP Organizations は、Organization 内に新しい顧客アカウントをセルフサービスで作成できます。Enterprise Organizations は、Organization 内に最大 5 つの Free アカウントをセルフサービスで作成できます。

所有権が変わったとき、または顧客がプロバイダーを切り替えたときに、ある MSSP Organization から別の MSSP Organization へ顧客アカウントを移動します。

Distributor と MSSP の Organization Super Administrator は、Cloudflare ダッシュボードから Organization メンバーを直接追加および管理できます。サポートチケットは不要です。

Organization が作成されると、最初のユーザーが Organization Super Administrator になります。このロールは Organization 内のすべてのアカウントへの 暗黙のアクセス を提供し、Organization レベルでメンバーシップを管理できます。

Organization メンバーは、Organization 内のすべてのアカウントへの 暗黙のアクセス を受け取ります。暗黙のアクセスとは次を意味します。

• 個々のアカウントごとに明示的なメンバーシップは不要です。
• Organization 内の任意のアカウントに行くと、そのアカウントで自動的に Super Administrator 権限を持ちます。
• 暗黙のアクセスは Organization レベルで付与されます。アカウントの一部だけに暗黙のアクセスを付与することはできません。
• 暗黙のアクセスは Super Administrator と同等です。現在、読み取り専用の暗黙のアクセスはありません。
• Distributor Organizations では、暗黙のアクセスは各層内で適用されます。Distributor 管理者はすべての子 MSSP Organizations とそのアカウントにアクセスします。

暗黙のアクセスは、既存のアカウント単位のメンバーシップとは別です。アカウントが Organization に追加される前に、ユーザーがそのアカウントの明示的なメンバーだった場合、その既存メンバーシップは影響を受けません。

Organization に追加メンバーを招待できます。招待されたメンバーは、Organization 内のすべてのアカウントへの暗黙の Super Administrator アクセスを受け取ります。

1. Organization の概要から Members を選びます。
2. Invite member を選びます。
3. メールアドレスを入力します。
4. Send invitation を選びます。

ユーザーはメール招待を受け取ります。承諾後、Organization 内のすべてのアカウントへの暗黙のアクセスを持ちます。

Organization メンバーになるすべてのユーザーは、Organization 招待を承諾する 前に、Cloudflare ユーザーアカウントで 二要素認証（2FA） または シングルサインオン（SSO） が有効である必要があります。これはユーザー単位の要件であり、アカウントレベルの設定ではありません。

• ユーザーに 2FA または SSO が有効でない場合、招待を承諾できません。
• 先に 2FA または SSO を有効にするようユーザーに依頼し、招待を再送します。
• 2FA を有効にする手順は 2FA を設定する を参照してください。
• SSO の構成は Dashboard SSO を参照してください。

Organizations では、Organization 内のアカウントにわたって WAF カスタムルールセットと Zero Trust Gateway ポリシー（DNS、Network、HTTP、Resolver）を共有できます。共有ポリシーは受信アカウントでは読み取り専用で、ソースアカウントで更新されると自動で同期されたままになります。

Distributor Organizations では、同じ Distributor Organization 内の MSSP Organization 境界をまたいでポリシーを共有できます。

Organizations は IdP フェデレーション にも対応しています。1 つのアカウントで単一の IdP（Okta や Entra ID など）を設定し、Organization 内のすべてのアカウントで共有できます。共有 IdP 接続は受信アカウントでは読み取り専用で、アカウントが Organization に参加または離脱すると自動でプロビジョニングまたは削除されます。

詳細な手順は ポリシー共有 を参照してください。

Organization 内のすべてのアカウントにわたる集約 HTTP アナリティクスを表示、フィルタ、ダウンロードできます。

1. Organization の概要から Analytics & Logs を選びます。
2. フィルタを使って、日付範囲、アカウント、ドメイン、その他の条件で結果を絞ります。
3. データをエクスポートするには Download を選びます。

データにはプロキシ済みホスト名のトラフィックが含まれ、サンプルに基づくことがあります。このデータは課金対象の使用量を反映しません。

1. Organizations > Manage Organization を開きます。
2. Organization name の横で Rename を選びます。
3. 新しい名前を入力します。
4. Rename を選びます。

1. Organizations > Manage Organization を開きます。
2. Customer identification data の横で Edit を選びます。
3. 情報を更新します。
4. Save を選びます。

Organization 監査ログは、Organization Super Administrator が Organization レベルの API とダッシュボードで実行したユーザー起点の操作を記録します。これらのログはアカウントレベルの監査ログとは別です。特定のアカウント内で実行した操作は、引き続きそのアカウントの監査ログに表示されます。

ダッシュボードで Organization 監査ログを見るには:

1. Organizations > Manage Organization を開きます。
2. Audit Logs を選びます。

API 経由で Organization 監査ログを取得することもできます。

GET https://api.cloudflare.com/client/v4/organizations/{organization_id}/logs/audit

アカウントレベルの監査ログを見ていて、そのアカウントが Organization Super Administrator である Organization に属する場合は、View Organization Audit Logs を選んで親 Organization の監査ログへ移動できます。

監査ログの構造、フィルタ、保持の詳細は Audit Logs — Organization Activity Logs を参照してください。

Cloudflare Organizations API を使って、プログラムから Organizations を管理できます。API は Organizations の作成、更新、削除、メンバー管理、アカウント割り当てに対応しています。

Cloudflare Terraform プロバイダー ↗ を使って Organizations を管理できます。

セットアップまたは管理中にエラーが起きた場合は トラブルシューティング を参照してください。

MSSP/Distributor Organizations は既存アカウントを割り当てられません。Organization に新しいアカウントを追加するには、アカウント作成を使います。