← Cloudflare One / cloudflare-one / access-controls / service-credentials

Service tokens

Automatizovaným systémům můžete poskytnout service tokeny k ověření vůči vašim zásadám Cloudflare One. Cloudflare Access vygeneruje service tokeny složené z Client ID a Client Secret. Automatizované systémy nebo aplikace pak mohou tyto hodnoty použít k přístupu k aplikaci chráněné pomocí Access.

Tato část se zabývá tím, jak vytvořit, otočit, obnovit, deaktivovat a odvolat token služby.

Nyní můžete nakonfigurovat své aplikace Access a oprávnění k registraci zařízení a přijměte tento service token. Nezapomeňte nastavit akci zásady na Service Auth; jinak Access vyzve k přihlášení u poskytovatele identity.

Od 26. srpna 2026 používají nové Client Secrets u service tokenů formát cfast_[40 alphanumeric characters][8-character checksum]. Prefix a kontrolní součet usnadňují nástrojům pro skenování přihlašovacích údajů identifikaci tajných klíčů.

Stávající Client Secrets používají 64znakový hexadecimální formát. Tyto tajné klíče nadále fungují a nevyžadují rotaci. Oba formáty používají stejné Client ID a stejné ověřovací hlavičky.

Chcete-li se ověřit k aplikaci Access pomocí service tokenu, přidejte následující do hlaviček libovolného požadavku HTTP:

CF-Access-Client-Id: <CLIENT_ID>

CF-Access-Client-Secret: <CLIENT_SECRET>

Například,

curl -H "CF-Access-Client-Id: <CLIENT_ID>" -H "CF-Access-Client-Secret: <CLIENT_SECRET>" https://app.example.com

Aplikaci Access typu self-hosted můžete nakonfigurovat tak, aby přijímala Service Token v jediné HTTP hlavičce, jako alternativu k CF-Access-Client-Id a CF-Access-Client-Secret dvojici hlaviček. To se hodí pro ověřování SaaS služeb, které v požadavku podporují odeslání pouze jedné vlastní hlavičky (například Authorization hlavičky).

Chcete-li se ověřit pomocí jediné hlavičky:

1. Získejte stávající konfiguraci aplikace Access:

   Požadovaná oprávnění API tokenu

   Alespoň jeden z následujících oprávnění tokenu je povinné:

   • Access: Apps and Policies Write
   • Access: Apps and Policies Read
   Získání aplikace Access

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps/$APP_ID" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. Vytvořte PUT požadavek s názvem hlavičky, kterou chcete použít pro ověřování pomocí service token. Aby nedošlo k přepsání stávající konfigurace, PUT tělo požadavku by mělo obsahovat všechna pole vrácená předchozím GET požadavek.

   Požadovaná oprávnění API tokenu

   Alespoň jeden z následujících oprávnění tokenu je povinné:

   • Access: Apps and Policies Write
   Aktualizace aplikace Access

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps/$APP_ID" \
   	--request PUT \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"domain": "app.example.com",
   		"type": "self_hosted",
   		"read_service_tokens_from_header": "Authorization"
   	}'

3. Přidejte hlavičku do libovolného požadavku HTTP. Například,

   curl -H "Authorization: {\"cf-access-client-id\": \"<CLIENT_ID>\", \"cf-access-client-secret\": \"<CLIENT_SECRET>\"}" https://app.example.com

Otočte tajný klíč tokenu služby, pokud máte podezření na jeho vyzrazení, nebo v rámci pravidelné rotace přihlašovacích údajů. Client ID zůstává stejné, Access ale vygeneruje nový Client Secret.

Můžete nastavit přechodné období, během kterého fungují oba tajné klíče. Tuto dobu využijte k aktualizaci svých služeb, než Access zruší platnost předchozího tajného klíče.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/service_tokens/$SERVICE_TOKEN_ID/rotate" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"previous_client_secret_expires_at": "2030-01-01T00:00:00Z"
	}'

Platnost service tokenů vyprší podle doby platnosti tokenu, kterou jste zvolili při jeho vytvoření.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/service_tokens/$SERVICE_TOKEN_ID/refresh" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/service_tokens/$SERVICE_TOKEN_ID" \
	--request PUT \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"duration": "17520h"
	}'

resource "cloudflare_zero_trust_access_service_token" "example_service_token" {
	account_id = var.cloudflare_account_id
	name       = "Example service token"
	duration   = "17520h"

	lifecycle {
		create_before_destroy = true
	}
}

Vypněte service token, abyste dočasně zabránili jeho ověřování. Access token zachová, takže ho můžete později znovu zapnout.

Vypnutí tokenu také znemožní fungování jeho předchozího tajného klíče po dobu aktivní ochranné lhůty rotace.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/service_tokens/$SERVICE_TOKEN_ID" \
	--request PUT \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "<TOKEN_NAME>",
		"enabled": false
	}'

Pokud potřebujete přístup zrušit dřív, než tokenu vyprší platnost, token smažte. Služby, které se spoléhají na smazaný servisní token, se pak k vaší aplikaci už nedostanou.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/service_tokens/$SERVICE_TOKEN_ID" \
	--request DELETE \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

terraform destroy -target=cloudflare_zero_trust_access_service_token.example_service_token

Upozornění lze nastavit tak, aby správce informovalo týden před vypršením platnosti servisního tokenu a umožnilo mu token obnovit.

Chcete-li nakonfigurovat upozornění na vypršení platnosti service tokenu:

1. V Cloudflare dashboard ↗, přejděte do Oznámení . Přejděte na Oznámení ↗
2. Vyberte Přidat.
3. Vyberte Vypršení platnosti Access Service Token.
4. Zadejte název upozornění a volitelně popis.
5. (Volitelné) Přidejte další příjemce oznamovacího e-mailu.
6. Vyberte Save.

Vaše upozornění bylo nastaveno a je nyní vidět na Oznámení stránce.