mTLS 向けに独自の CA を持ち込む

1. Cloudflare ダッシュボードで、Client Certificates ページを開きます。

   Client Certificates を開く ↗

2. Add Certificate を選択します。

3. Certificate Authority ドロップダウンで Bring your own CA を選択します。

4. CA 証明書ファイル（PEM エンコード）をアップロードし、CA の名前を入力します。

5. Continue を選択します。

6. Associate Hostnames ページで、この CA で mTLS 検証を行うホスト名を入力し、それぞれ Add を選択します。この手順はスキップし、あとからホスト名を関連付けることもできます。

7. Save を選択して確定します。

1. Upload mTLS certificate エンドポイント で、CA ルート証明書をアップロードします。

• ca boolean 必須

  • 証明書が CA 証明書であることを示すため、true に設定します。

• certificates string 必須

  • CA 証明書に対応する .pem ファイルの内容を入れます。改行は \n に置き換えた 1 つの文字列にします。

• name string 任意

  • CA 証明書の一意な名前を指定します。

• private_key string 任意

  • 証明書の秘密鍵に対応する .pem ファイルの内容を入れます。改行は \n に置き換えた 1 つの文字列にします。

2. API レスポンスで返る証明書 ID（id）を控えます。
3. Replace Hostname Associations エンドポイント で、その CA で mTLS 検証を行う各ホスト名の mTLS を有効にします。次のパラメーターを使います。

• hostnames array 必須

  • クライアント証明書の検証にその CA を使うホスト名を列挙します。

• mtls_certificate_id string 必須

  • 前の手順で取得した証明書 ID を指定します。

4. （任意）GET リクエスト で、CA のホスト名関連付けを確認します。

1. Cloudflare ダッシュボードで、Client Certificates ページを開きます。

   Client Certificates を開く ↗

2. Cloudflare-issued Client Certificates の Hosts セクションで Edit を選択します。

3. 削除するホスト名の横の × を選択します。

4. Save を選択して確定します。

1. ホスト名の関連付けを一覧 します。mtls_certificate_id パラメーターは付けません。

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/certificate_authorities/hostname_associations" \
	--request GET \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. API が返す hostnames 配列をコピーし、Cloudflare 管理の CA を使わなくするホスト名を削除して更新します。
3. Replace Hostname Associations エンドポイント を、mtls_certificate_id パラメーターなしで呼び出し、Cloudflare 管理の CA に対して操作します。hostnames には前の手順のリストを使います。

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/certificate_authorities/hostname_associations" \
	--request PUT \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"hostnames": [
				"<UPDATED_HOSTNAME_ASSOCIATIONS>"
		]
	}'

1. Cloudflare ダッシュボードで、Client Certificates ページを開きます。

   Client Certificates を開く ↗

2. BYOCA タブを選択します。

3. 削除する CA を見つけ、横の三点リーダーを選択します。

4. 関連付けられているホスト名があれば、先にすべて解除します。

5. 削除オプションを選択し、確定します。

1. Replace Hostname Associations エンドポイント にリクエストします。hostnames は空の配列、mtls_certificate_id には CA 証明書 ID を指定します。

  "hostnames": [],
  "mtls_certificate_id": "<CERTIFICATE_ID>"

2. Delete mTLS certificate エンドポイント で証明書を削除します。

1. Cloudflare ダッシュボードで、Client Certificates ページを開きます。

   Client Certificates を開く ↗

2. BYOCA タブを選択します。

3. 確認する CA を見つけ、横の三点リーダーを選択します。

4. Edit hostnames を選択します。Certificate Details パネルに、関連付けられたホスト名が表示されます。

List Hostname Associations エンドポイント を使い、mtls_certificate_id クエリパラメーターにアップロードした CA の証明書 ID を設定します。

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/certificate_authorities/hostname_associations?mtls_certificate_id=ID_FROM_STEP_2" \
	--request GET \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"