トンネルトークン

リモート管理トンネルの実行に必要なのはトークンだけです。トークンを持っている人なら、誰でもトンネルを実行できます。

トークンを取得する

リモート管理トンネルのトークンを取得するには、次の手順を行います。

Cloudflare ダッシュボード ↗ で Networking > Tunnels を開きます。
Tunnels を開く ↗
トンネルを選択します。
Add a replica を選択します。
cloudflared のインストールコマンドをテキストエディターにコピーします（コマンドは実行しないでください）。トークンは eyJ... の文字列です。

Required API token permissions

At least one of the following token permissions is required:

Cloudflare One Connectors Write
Cloudflare One Connector: cloudflared Write
Cloudflare Tunnel Write

Get a Cloudflare Tunnel tokenbash

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/cfd_tunnel/$TUNNEL_ID/token" \
	--request GET \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

トークンをローテーションする

トークンは定期的にローテーションし、漏洩リスクを下げます。複数のレプリカがあるトンネルでは、業務時間外にローテーションし、レプリカをバッチで更新します。

Cloudflare ダッシュボード ↗ で Networking > Tunnels を開きます。
Tunnels を開く ↗
トンネルを選択します。
Rotate token を選択します。トークンをローテーションしたあと、cloudflared は古いトークンで新しい接続を確立できません。既存のコネクターは、再起動するまで動き続けます。
Add replica を選択し、新しい cloudflared のインストールコマンドをコピーします。
各レプリカで、新しいトークンを使って cloudflared サービスを再インストールします。
```
sudo cloudflared service uninstall
sudo cloudflared service install <NEW_TOKEN>
```

漏洩したトークンをローテーションする

トンネルトークンが漏洩した場合は、すぐにトークンをローテーションし、既存の接続をすべて強制切断します。

Required API token permissions

At least one of the following token permissions is required:

Cloudflare One Connectors Write
Cloudflare One Connector: cloudflared Write
Cloudflare Tunnel Write

Clean up Cloudflare Tunnel connectionsbash

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/cfd_tunnel/$TUNNEL_ID/connections" \
	--request DELETE \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

そのあと、新しいトークンで、すべてのレプリカに cloudflared サービスを再インストールします。