非人間アイデンティティの保護：自動失効、OAuth、スコープ付き権限

トークンがパスポートだとすれば、リソーススコープの権限はその中にあるビザです。有効なパスポートがあれば玄関は通れますが、建物内のすべての部屋にアクセスできるべきではありません。単一のロードバランサーポールや特定のゲートウェイポリシーなど、特定のリソースにスコープを絞ることで、アイデンティティが検証されたとしても、厳密に必要な場所に行くための「ビザ」しか持たないことを保証します。 昨年、当社は複数のZero Trust製品において、Cloudflareのロールベースアクセス制御（RBAC）システムでリソーススコープの権限のサポートを発表しました。これにより、ユーザーとエージェントの両方に対して適切なサイズの権限を設定し、セキュリティリスクを最小限に抑えることが可能になります。**今回、この機能を複数の新しいリソースレベルの権限に拡張しました。**現在、以下の項目でリソーススコープがサポートされています： Access Applications Access Identity Providers Access Policies Access Service Tokens Access Targets また、APIトークン作成のエクスペリエンスを完全に見直し、Cloudflareダッシュボードから直接アカウントAPIトークンをプロビジョニングおよび管理しやすくしました。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/2XSjOtE46g8iVNN7QNzoDI/2f2280b106da9ebc9f3959d5300a4241/account_owned_token_gif.gif) 仕組み Cloudflareアカウントにメンバーを追加したりAPIトークンを作成したりする際、通常はそのプリンシパルにポリシーを割り当てます。Permission Policy（権限ポリシー）とは、プリンシパルにアクションを実行する権限を与えるもので、Cloudflare One Access Applicationsの管理やDNSレコードの管理などが該当します。ポリシーがない場合、プリンシパルは認証できますが、アカウント内でいかなるアクションも実行する権限はありません。 ポリシーは3つのコンポーネントで構成されます：プリンシパル、ロール、スコープです。プリンシパルとは、アクセス権を付与する対象（人間のユーザー、APIトークンのような非人間アイデンティティ（NHI）、または増えつつあるユーザーに代わって行動するエージェント）です。ロールは、許可されるアクションを定義します。スコープは、それらの権限が適用される場所を決定し、従来はアカウント全体または個々のゾーンに限定されていました。 新しい権限ロール また、多くの製品に対して多数の新しいロールを導入し、アカウントレベルとゾーンレベルの両方で**権限の適用範囲を拡大しています。** アカウントスコープ CDN Management MCP Portals Radar Request Tracer SSL/TLS Management ゾーンスコープ Analytics Logpush Page Rules Security Center Snippets Zone Settings 始め方 リソーススコープおよびすべての新しいアカウントレベルとゾーンレベルのロールは、本日よりすべてのCloudflareカスタマーが利用可能です。Cloudflareダッシュボード、API、またはTerraformを通じて、アカウント、ゾーン、またはリソーススコープのポリシーを割り当てることができます。 利用可能なすべてのロールの完全な内訳とスコープの仕組みについては、ロールとスコープのドキュメントをご覧ください。 アカウントの保護 これらのアップデートは、真の最小権限（least-privilege）アーキテクチャに必要な詳細な構成要素を提供します。権限と認証情報の管理方法を洗練させることで、開発者や企業は、Cloudflareにアクセスするユーザー、アプリ、エージェント、スクリプトにわたるセキュリティ体制に対してより大きな自信を持つことができます。最小権限は新しい概念ではなく、企業にとっては決してオプションではありません。人間の管理者がゾーンを管理する場合でも、エージェントがプログラムでWorkerをデプロイする場合でも、期待されることは同じです。つまり、与えられた仕事を実行する権限のみを持ち、それ以外のことはできないべきです。 本日の発表を受けて、お客様には以下をお勧めします： APIトークンを確認し、新しいスキャン可能なAPIトークンにできるだけ早く再発行してください。 承認済みのOAuthアプリを確認し、使用していないものは取り消してください。 アカウント内のメンバーとAPIトークンの権限を確認し、リスクを低減するために、必要に応じて新しいアカウント、ゾーン、またはリソーススコープの権限を活用していることを確認してください。

非人間アイデンティティの保護：自動失効、OAuth、スコープ付き権限

背景や根拠まで確認しますか？

このニュースを、実務の判断につなげる

調べる

選ぶ

サイト