← Cloudflare One / cloudflare-one / access-controls / applications / non-http

Přidejte infrastrukturní aplikaci

Access for Infrastructure vám umožňuje mít podrobnou kontrolu nad tím, jak uživatelé přistupují k jednotlivým serverům, clusterům nebo databázím. Přidáním infrastrukturní aplikace do Cloudflare Access můžete nastavit, jak se uživatelé k danému prostředku ověřují, a zároveň řídit a autorizovat porty, protokoly a uživatelská jména, se kterými se mohou připojovat. Protokoly přístupu a příkazů zajišťují soulad s regulačními požadavky a umožňují audit aktivity uživatelů v případě narušení bezpečnosti.

• Připojte svou infrastrukturu ke Cloudflare pomocí cloudflared nebo Cloudflare Mesh.
• Nasaďte Cloudflare One Client na uživatelských zařízeních v režimu Traffic and DNS.

Cíl představuje jeden konkrétní prostředek ve vaší infrastruktuře (například server, cluster Kubernetes, databázi nebo kontejner), ke kterému se uživatelé připojují prostřednictvím Cloudflare.

Cíle jsou nezávislé na protokolu, což znamená, že pro každý protokol běžící na serveru není nutné definovat nový cíl. Postup vytvoření nového cíle:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/infrastructure/targets" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"hostname": "infra-access-target",
		"ip": {
				"ipv4": {
						"ip_addr": "187.26.29.249",
						"virtual_network_id": "c77b744e-acc8-428f-9257-6878c046ed55"
				},
				"ipv6": {
						"ip_addr": "64c0:64e8:f0b4:8dbf:7104:72b0:ec8f:f5e0",
						"virtual_network_id": "c77b744e-acc8-428f-9257-6878c046ed55"
				}
		}
	}'

Dále vytvořte aplikaci Access k zabezpečení cíle.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Example infrastructure app",
		"type": "infrastructure",
		"target_criteria": [
				{
						"target_attributes": {
								"hostname": [
										"infra-access-target"
								]
						},
						"port": 22,
						"protocol": "SSH"
				}
		],
		"policies": [
				{
						"name": "Allow a specific email",
						"decision": "allow",
						"include": [
								{
										"email": {
												"email": "[email protected]"
										}
								}
						],
						"connection_rules": {
								"ssh": {
										"usernames": [
												"root",
												"ec2-user"
										]
								}
						}
				}
		]
	}'

Cíle v této aplikaci jsou nyní zabezpečeny vašimi zásadami infrastruktury.

Cloudflare ve výchozím nastavení vyhodnotí zásady aplikace Access až po vyhodnocení všech Síťové zásady Gateway. Chcete-li vyhodnocovat aplikace Access před nebo po konkrétních zásadách Gateway:

1. V Cloudflare dashboard ↗, přejděte na Zero Trust > Zásady provozu > Zásady brány firewall. V Síť, vytvořit síťovou zásadu s následující konfigurací:

   Selektor	Operátor	Hodnota	Akce
   Access Infrastructure Target	je	Present	Allow

2. Aktualizujte zásady pořadí priority pomocí dashboardu nebo API.

Tato zásada Gateway se použije na všechny cíle Access for Infrastructure, včetně RDP a SSH.

Před připojováním uživatelů přes SSH můžete vyžadovat nezávislé MFA. Konfigurace aplikace určuje, které infrastrukturní autentizátory jsou podporované: klíč PIV (piv_key), klíč FIDO2 (ssh_fido2_key), nebo obojí.

Nastavení na úrovni aplikace určuje výchozí ověřovací metody a dobu trvání relace. Zásada pak může pro konkrétní uživatele nebo uživatelská jména definovat vlastní nastavení.

Pokyny k nastavení viz Vynuťte MFA pro infrastrukturní aplikace.

Některé protokoly vyžadují nastavení serveru tak, aby důvěřoval připojením přes Access for Infrastructure. Další informace najdete v návodu pro konkrétní protokol:

• SSH

U SSH to zahrnuje důvěru certifikační autoritě Cloudflare SSH CA a v případě, že váš server omezuje principály certifikátu, autorizace uživatelských jmen SSH jste nakonfigurovali na cíli.

Uživatelé se připojují k IP adrese cíle pomocí preferovaného klientského softwaru. Uživatel musí být přihlášen do Cloudflare One Client na svém zařízení, ale žádná další konfigurace systému se nevyžaduje. Volitelně můžete nakonfigurovat privátní DNS resolver a umožněte připojení k soukromému hostname cíle.

Chcete-li se připojit k cílům, které se nachází v různých VNETS, budou uživatelé muset přepnout svou připojenou virtuální síť v Cloudflare One Client.

Uživatelé mohou použít warp-cli zobrazit seznam cílů, ke kterým mají přístup. Na zařízení otevřete terminál a spusťte následující příkaz:

warp-cli target list

╭──────────────────────────────────────┬──────────┬───────┬───────────────────────┬──────────────────────┬────────────╮
│ Target ID                            │ Protocol │ Port  │ Attributes            │ IP (Virtual Network) │ Usernames  │
├──────────────────────────────────────┼──────────┼───────┼───────────────────────┼──────────────────────┼────────────┤
│ 0193f22a-9df3-78e3-b5bb-7ab631903306 │ SSH      │ 22    │ hostname: do-target   │ 10.116.0.3 (a1net)   │ alice      │
├──────────────────────────────────────┼──────────┼───────┼───────────────────────┼──────────────────────┼────────────┤
│ 0193f22a-9df3-78e3-b5bb-7ab631903306 │ SSH      │ 23    │ hostname: do-target   │ 10.116.0.3 (a1net)   │ root       │
├──────────────────────────────────────┼──────────┼───────┼───────────────────────┼──────────────────────┼────────────┤
│ 01943cff-6130-7989-8bff-cbc02b59a2b1 │ SSH      │ 80    │ hostname: az-target   │ 172.16.0.0 (b1net)   │ alice, bob │
╰──────────────────────────────────────┴──────────┴───────┴───────────────────────┴──────────────────────┴────────────╯

Volitelně můžete přidat příznaky pro filtrování výstupu, například:

warp-cli target list --attribute hostname=do-target --username root

Chcete-li zobrazit všechny dostupné filtry, zadejte warp-cli target list --help.

Chcete-li odvolat přístup uživatele ke všem cílům infrastruktury, můžete buď odvolat uživatele ze Zero Trust nebo odvolat jejich zařízení. Cloudflare v současnosti nepodporuje odvolání relace uživatele pro konkrétní cíl.

Infrastructure Access podporuje podrobná oprávnění pro čtení prostřednictvím Řízení přístupu na základě rolí (role-based access control) od Cloudflare. Správci mohou místo udělení přístupu v rámci celého účtu přiřadit role pouze pro čtení omezené na konkrétní cíle. Když uživatel s omezenou rolí zavolá API pro seznam cílů, odpověď se automaticky filtruje tak, aby obsahovala jen cíle, ke kterým má oprávnění.

Hodí se to pro organizace, které chtějí týmům umožnit přehled nad vlastními cíli infrastruktury, aniž by jim zpřístupnily úplný přehled všech cílů.

Následující Selektory zásad Access jsou k dispozici pro zabezpečení infrastrukturních aplikací:

• E-mail
• E-maily končící na
• skupina SAML
• Země
• Metoda ověřování
• Stav zařízení
• skupina Entra, organizace GitHub, skupina Google Workspace, skupina Okta