Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

TLS 復号を有効にする（任意）

最終更新 Markdown で表示Agent セットアップ

TLS 復号 ↗ を使うと、Cloudflare Gateway がプライベートネットワークアプリケーション宛ての HTTPS リクエストを検査できます。

TLS 復号を有効にすべきか

TLS 復号をオンにすると、次のような高度な Gateway ポリシーを適用できます。

これらの機能は、機密システムのセキュリティ態勢を高められます。一方で、TLS 復号によって一部のリソースへユーザーがアクセスできなくなる場合もあります。たとえば、社内アプリケーションが自己署名証明書を使っている場合は、Do Not Inspect ポリシーか、Untrusted certificate の Pass through ポリシーを設定して接続を許可する必要があります。詳細は TLS 復号の制限 を参照してください。

TLS 復号をオフにした場合、Gateway が検査して HTTP ポリシーを適用できるのは、暗号化されていない HTTP リクエストだけです。ただし、ユーザーアイデンティティ、デバイスポスチャ、IP、解決済みドメイン、SNI、その他 Zero Trust の実装を支える属性に基づいて、HTTPS トラフィックへネットワークポリシーを適用することはできます。詳細は Gateway のネットワークポリシー を参照してください。

TLS 復号を有効にする

  1. Cloudflare ダッシュボード ↗ で Zero Trust > Traffic policies > Traffic settings を開きます。
  2. Proxy and inspection で、Inspect HTTPS requests with TLS decryption をオンにします。

  1. cloudflare_api_token ↗ に次の権限を追加します。

    • Zero Trust Write

  2. cloudflare_zero_trust_gateway_settings ↗ で tls_decrypt 引数を設定します。

    resource "cloudflare_zero_trust_gateway_settings" "team_name" {
	account_id = var.cloudflare_account_id
	settings = {
		tls_decrypt = {
			enabled = true
		}
	}
}

次に、検査に使う ユーザー側証明書 を選びます。

ユーザー側証明書を設定する

TLS 復号を有効にすると、Gateway は HTTPS 経由のトラフィックをすべて復号し、HTTP ポリシーを適用したあと、ユーザーデバイス上の証明書でリクエストを再暗号化します。証明書は、Cloudflare が提供する証明書をインストールする（デフォルト）か、カスタムのルート証明書を Cloudflare にアップロードする（Enterprise 限定）かを選べます。

推奨事項

Cloudflare のルート証明書を配布するのが、TLS 復号を始める最も簡単な方法です。テストや概念実証では、この方法が適していることが多いです。

すでに検査や信頼のために使っている証明書がある場合は、次の理由から、自前のルート証明書のアップロードを推奨します。

  • 証明書を 1 つにまとめると、IT 管理が簡単になります。
  • git のワークフロー、ほかの CLI ツール、シッククライアントなど、既存の証明書ストアに依存するサービスがある場合、検査でも同じ証明書を提示した方が、トラフィックを止めにくいです。
  • Cloudflare Mesh でデバイスを Cloudflare に接続している場合、アップロードした証明書か Cloudflare ルート証明書のどちらかと一致する証明書がないと、TLS の復号が必要な HTTP ポリシーを使えません。ネットワークインフラにはすでに自前のデバイス証明書が配布されていることが多いので、既存の PKI インフラを検査に使うと、Zero Trust の展開手順を減らせます。

役に立ちましたか？