← Cloudflare One / cloudflare-one / access-controls / applications / non-http

Добавьте инфраструктурное приложение

Access for Infrastructure обеспечивает детальный контроль над тем, как пользователи получают доступ к отдельным серверам, кластерам или базам данных. Добавив инфраструктурное приложение в Cloudflare Access, вы можете настроить способ аутентификации пользователей для ресурса, а также контролировать и разрешать порты, протоколы и имена пользователей, с которыми они могут подключаться. Журналы доступа и команд обеспечивают соответствие нормативным требованиям и позволяют проводить аудит действий пользователей в случае нарушения безопасности.

• Подключите свою инфраструктуру к Cloudflare с помощью cloudflared или Cloudflare Mesh.
• Разверните Cloudflare One Client на устройствах пользователей в режиме Traffic and DNS.

Цель представляет собой отдельный ресурс вашей инфраструктуры (например, сервер, кластер Kubernetes, базу данных или контейнер), к которому пользователи будут подключаться через Cloudflare.

Цели не зависят от протокола: не нужно определять отдельную цель для каждого протокола, работающего на сервере. Чтобы создать новую цель:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/infrastructure/targets" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"hostname": "infra-access-target",
		"ip": {
				"ipv4": {
						"ip_addr": "187.26.29.249",
						"virtual_network_id": "c77b744e-acc8-428f-9257-6878c046ed55"
				},
				"ipv6": {
						"ip_addr": "64c0:64e8:f0b4:8dbf:7104:72b0:ec8f:f5e0",
						"virtual_network_id": "c77b744e-acc8-428f-9257-6878c046ed55"
				}
		}
	}'

Далее создайте приложение Access, чтобы защитить целевой ресурс.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Example infrastructure app",
		"type": "infrastructure",
		"target_criteria": [
				{
						"target_attributes": {
								"hostname": [
										"infra-access-target"
								]
						},
						"port": 22,
						"protocol": "SSH"
				}
		],
		"policies": [
				{
						"name": "Allow a specific email",
						"decision": "allow",
						"include": [
								{
										"email": {
												"email": "[email protected]"
										}
								}
						],
						"connection_rules": {
								"ssh": {
										"usernames": [
												"root",
												"ec2-user"
										]
								}
						}
				}
		]
	}'

Теперь цели в этом приложении защищены вашими политиками инфраструктуры.

По умолчанию Cloudflare оценивает политики приложений Access только после оценки всех Политики Network Gateway. Чтобы оценивать приложения Access до или после определенных политик Gateway:

1. В Панель управления Cloudflare ↗, перейдите в Zero Trust > Политики трафика > Политики Firewall. В Сеть, создать политику Network со следующей конфигурацией:

   Селектор	Оператор	Значение	Действие
   Access Infrastructure Target	является	Present	Allow

2. Обновите в политике порядок приоритета с помощью панели управления или API.

Эта политика Gateway будет применяться ко всем целям Access for Infrastructure, включая RDP и SSH.

Перед подключением по SSH можно потребовать от пользователей отдельную MFA. Конфигурация приложения определяет, какие инфраструктурные аутентификаторы поддерживаются: ключ PIV (piv_key), ключ FIDO2 (ssh_fido2_key), или оба варианта.

Настройки на уровне приложения определяют аутентификаторы и длительность сеанса по умолчанию. Политика может задавать собственные настройки для конкретных пользователей или имён пользователей.

Инструкции по настройке см. в Принудительно применять MFA для инфраструктурных приложений.

Для некоторых протоколов необходимо настроить сервер так, чтобы он доверял подключениям через Access for Infrastructure. Подробнее см. в руководстве для соответствующего протокола:

• SSH

Для SSH это включает доверие к Cloudflare SSH CA и, если ваш сервер ограничивает участников сертификата (principals), авторизация имён пользователей SSH которые вы настроили в целевом объекте.

Пользователи подключаются к IP-адресу целевого узла с помощью предпочитаемого клиентского ПО. Пользователь должен быть авторизован в Cloudflare One Client на своём устройстве, но никакой другой настройки системы не требуется. При желании вы можете настроить частный DNS-резолвер чтобы разрешить подключения к приватному имени хоста цели.

Чтобы подключаться к целевым объектам, находящимся в разных VNET, пользователям потребуется переключить подключённую виртуальную сеть в Cloudflare One Client.

Пользователи могут использовать warp-cli чтобы отобразить список целевых объектов, к которым у них есть доступ. На устройстве откройте терминал и выполните следующую команду:

warp-cli target list

╭──────────────────────────────────────┬──────────┬───────┬───────────────────────┬──────────────────────┬────────────╮
│ Target ID                            │ Protocol │ Port  │ Attributes            │ IP (Virtual Network) │ Usernames  │
├──────────────────────────────────────┼──────────┼───────┼───────────────────────┼──────────────────────┼────────────┤
│ 0193f22a-9df3-78e3-b5bb-7ab631903306 │ SSH      │ 22    │ hostname: do-target   │ 10.116.0.3 (a1net)   │ alice      │
├──────────────────────────────────────┼──────────┼───────┼───────────────────────┼──────────────────────┼────────────┤
│ 0193f22a-9df3-78e3-b5bb-7ab631903306 │ SSH      │ 23    │ hostname: do-target   │ 10.116.0.3 (a1net)   │ root       │
├──────────────────────────────────────┼──────────┼───────┼───────────────────────┼──────────────────────┼────────────┤
│ 01943cff-6130-7989-8bff-cbc02b59a2b1 │ SSH      │ 80    │ hostname: az-target   │ 172.16.0.0 (b1net)   │ alice, bob │
╰──────────────────────────────────────┴──────────┴───────┴───────────────────────┴──────────────────────┴────────────╯

При желании можно добавить флаги для фильтрации вывода. Например:

warp-cli target list --attribute hostname=do-target --username root

Чтобы просмотреть все доступные фильтры, введите warp-cli target list --help.

Чтобы отозвать доступ пользователя ко всем целям инфраструктуры, можно либо Отозвать доступ пользователя в Zero Trust или отозвать их устройство. Cloudflare пока не поддерживает отзыв сессии пользователя для конкретной цели.

Infrastructure Access поддерживает детализированные права на чтение через Управление доступом на основе ролей (RBAC) от Cloudflare. Администраторы могут назначать роли только для чтения, ограниченные конкретными целевыми объектами, вместо предоставления доступа на уровне всего аккаунта. Когда пользователь с ограниченной ролью обращается к API списка целевых объектов, ответ автоматически фильтруется и включает только те объекты, которые ему разрешено просматривать.

Это полезно организациям, которые хотят дать командам видимость их собственных целей инфраструктуры, не раскрывая при этом полный перечень целей.

Следующие Селекторы политик Access доступны для защиты инфраструктурных приложений:

• Электронная почта
• Адреса электронной почты, оканчивающиеся на
• группа SAML
• Страна
• Метод аутентификации
• Состояние устройства
• группа Entra, организация GitHub, группа Google Workspace, группа Okta