SaaS アプリケーションのフロントドアアクセスを保護するモデル（または複数モデルの組み合わせ）を決めたら、複数の Cloudflare の制御を重ねて、SaaS でよくあるほかのセキュリティ上の懸念にも対処できます。
SaaS アプリケーションへのエンドポイントアクセスは、Zero Trust の Access for SaaS または WARP 登録設定 によるデバイスポスチャ制御で制限できます。デバイスポスチャで、SaaS アプリケーションにアクセスする管理対象エンドポイントの条件を決められます。
健全または半健全な管理対象エンドポイントの条件も定義でき、想定されるセキュリティ上の懸念に応じてステップアップのセキュリティポリシーを適用できます。これらの制御は、非管理エンドポイント向けの制御とは別です。
非管理エンドポイントでは、エージェントをインストールせずに、SaaS アプリケーション内でアップロード / ダウンロード制御、HTTP フィルタリング、データ損失の検知 / 防止ポリシーといったインラインセキュリティを選択的に適用できます。 インラインセキュリティは Browser Isolation で提供できますが、一貫して適用するには フロントドア制御（Access for SaaS など）が必要です。
Cloudflare は、Cloudflare One Client、または Clientless Web Isolation の静的リンクのいずれかで、SaaS アプリを分離できます。
ユーザーのデバイスが Cloudflare One Client に登録されている場合、Cloudflare はブラウザーセッションを透過的に分離します。つまり、ユーザーのブラウザーには example.com が表示されますが、Cloudflare は隔離ブラウザーで描画してトラフィックを分離します。
Clientless Web Isolation では、Cloudflare が Web アドレスに静的リンクを付けます。たとえば、分離セッションで example.com を開くと、ユーザーのブラウザーには <your-team-name>.cloudflareaccess.com/browser/https://www.example.com と表示されます。
Browser Isolation がトラフィックを分離すると、Cloudflare はリクエスト本文のトラフィックに、TLS 復号、HTTP 検査、ネットワーク検査、DNS フィルタリング、DLP ポリシー評価というセキュリティスタックを適用できます。これにより、非管理エンドポイントから機微なシステムへのアクセスを保護でき、本来ならリスクと見なされていたユーザーやサービスからのトラフィックを引き上げられる可能性があります。Browser Isolation のどの方式でも、ユーザーは専用エグレス IP アドレスに紐づくため、アクセス方式が違っても同じポリシーを一貫して適用できます。