Oprávnění k registraci zařízení

V Cloudflare dashboard ↗, přejděte na Zero Trust > Tým a zdroje > Zařízení > Profily zařízení > Správa.

V Registrace zařízení > Oprávnění k registraci zařízení, vyberte Správa.

V Zásady kartě nakonfigurujte jeden nebo více Zásady Access definovat, kdo může připojit své zařízení. Můžete například povolit všem uživatelům s firemní e-mailovou adresou:

V Metody přihlášení kartě:

a. Vyberte poskytovatelé identity se uživatelé mohou ověřit. Pokud jste neintegrovali žádného poskytovatele identity, můžete použít jednorázový PIN.

b. (Volitelné) Pokud plánujete povolit přístup pouze prostřednictvím jednoho IdP, zapněte Použít okamžité ověřování. Koncovým uživatelům se nezobrazí přihlašovací stránka Cloudflare Access. Cloudflare místo toho uživatele přesměruje přímo na vaši přihlašovací událost SSO.

Vyberte Save.

Přidejte následující oprávnění do svého cloudflare_api_token ↗:

• Access: Apps and Policies Write

Vytvořte opakovaně použitelnou zásadu Access pomocí cloudflare_zero_trust_access_policy ↗ prostředek:

resource "cloudflare_zero_trust_access_policy" "allow_company_emails" {
	account_id   = var.cloudflare_account_id
	name         = "Allow company emails"
	decision     = "allow"
	include      = [
		{
			email_domain = {
				domain = "@example.com"
			}
		}
	]
}

Použijte cloudflare_zero_trust_access_application ↗ prostředek pro vytvoření aplikace s typem warp.

resource "cloudflare_zero_trust_access_application" "device_enrollment" {
	account_id       = var.cloudflare_account_id
	type             = "warp"
	name             = "Warp device enrollment"
	allowed_idps              = [cloudflare_zero_trust_access_identity_provider.microsoft_entra_id.id]
	auto_redirect_to_identity = true
	app_launcher_visible      = false
	policies = [
		{
			id = cloudflare_zero_trust_access_policy.allow_company_emails.id
			precedence = 1
		}
	]
}

Vytvořit service token.

Zkopírujte tokenový Client ID a Client Secret.

Přejděte na Řízení přístupu > Zásady a vytvořte následující politiku:

Nezapomeňte nastavit Akce na Service Auth místo Allow.

Přidejte zásadu Access do vašeho oprávnění k registraci zařízení.

Ve svém MDM parametry nasazení, přidejte následující pole:

• auth_client_id: Client ID vašeho tokenu služby.
• auth_client_secret: Client Secret vašeho tokenu služby.

Přidejte následující oprávnění do svého cloudflare_api_token ↗:

• Access: Apps and Policies Write
• Access: Service Tokens Write

Vytvořit service token a zkopírujte jeho Client ID a Client Secret.

Vytvořte následující zásadu Access:

resource "cloudflare_zero_trust_access_policy" "warp_enrollment_service_token" {
	account_id     = var.cloudflare_account_id
	name           = "Allow service token"
	decision       = "non_identity"
	include = [
		{
			service_token = {
				token_id = cloudflare_zero_trust_access_service_token.example_service_token.id
			}
		}
	]
}

Přidejte zásadu do svého cloudflared_zero_trust_access_application pro Cloudflare One Client.

Ve svém MDM parametry nasazení, přidejte následující pole:

• auth_client_id: Client ID vašeho tokenu služby.
• auth_client_secret: Client Secret vašeho tokenu služby.

V Cloudflare dashboard ↗, přejděte na Zero Trust > Řízení přístupu > Přihlašovací údaje služby > Mutual TLS.

Vyberte Add mTLS Certificate.

Zadejte libovolný název kořenové CA.

V Obsah certifikátu, vložte obsah vaší kořenové CA.

Pokud je klientský certifikát podepsán přímo kořenovou CA, stačí nahrát pouze kořenový certifikát. Pokud je klientský certifikát podepsán mezilehlým certifikátem, musíte nahrát celý řetězec CA (mezilehlý i kořenový certifikát). Například:

-----BEGIN CERTIFICATE-----
<intermediate.pem>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<rootCA.pem>
-----END CERTIFICATE-----

V Přiřazené hostname, zadejte svůj Zero Trust doména týmu: <team-name>.cloudflareaccess.com

Ve vašem oprávnění k registraci zařízení, přidejte Obecný název nebo Platný certifikát pravidlo. Následující zásada například vyžaduje klientský certifikát s konkrétním common name:

Na svém zařízení přidejte klientský certifikát do system keychain.

Přidejte následující oprávnění do svého cloudflare_api_token ↗:

• Access: Mutual TLS Certificates Write
• Access: Apps and Policies Write

Použijte cloudflare_zero_trust_access_mtls_certificate ↗ prostředek pro přidání certifikátu mTLS do vašeho účtu:

resource "cloudflare_zero_trust_access_mtls_certificate" "example_mtls_cert" {
	account_id     = var.cloudflare_account_id
	name           = "WARP enrollment mTLS cert"
	certificate    = <<EOT
	-----BEGIN CERTIFICATE-----
	xxxx
	xxxx
	-----END CERTIFICATE-----
	EOT
	associated_hostnames = ["your-team-name.cloudflareaccess.com"]
}

Vytvořte následující zásadu Access:

resource "cloudflare_zero_trust_access_policy" "warp_enrollment_mtls" {
	account_id     = var.cloudflare_account_id
	name           = "Allow employees with mTLS cert"
	decision       = "allow"
	include = [
		{
			email_domain = {
				domain = "@example.com"
			}
		}
	]

	require = [
		{
			common_name = {
				common_name = "Common name 1"
			}
		},
				{
			common_name = {
				common_name = "Common name 2"
			}
		}
	]
}

Přidejte zásadu do svého cloudflared_zero_trust_access_application pro Cloudflare One Client.

Na svém zařízení přidejte klientský certifikát do system keychain.