Права на регистрацию устройств

В Панель управления Cloudflare ↗, перейдите в Zero Trust > Команда и ресурсы > Устройства > Профили устройств > Управление.

В Регистрация устройств > Права на регистрацию устройств, выберите Управление.

В Политики вкладке настройте один или несколько Политики доступа чтобы определить, кто может присоединить своё устройство. Например, можно разрешить доступ всем пользователям с корпоративным адресом электронной почты:

В Login methods на вкладке:

a. Выберите поставщики идентификации пользователи могут проходить аутентификацию. Если вы не интегрировали поставщика идентификации, вы можете использовать одноразовый PIN-код.

b. (Необязательно) Если вы планируете разрешить доступ только через один IdP, включите Применить мгновенную аутентификацию. Конечные пользователи не увидят страницу входа Cloudflare Access. Вместо этого Cloudflare сразу перенаправит их на страницу входа через ваш SSO.

Выберите Save.

Добавьте следующее разрешение в свой cloudflare_api_token ↗:

• Access: Apps and Policies Write

Создайте многократно используемую политику Access с помощью cloudflare_zero_trust_access_policy ↗ ресурс:

resource "cloudflare_zero_trust_access_policy" "allow_company_emails" {
	account_id   = var.cloudflare_account_id
	name         = "Allow company emails"
	decision     = "allow"
	include      = [
		{
			email_domain = {
				domain = "@example.com"
			}
		}
	]
}

Используйте cloudflare_zero_trust_access_application ↗ ресурс, чтобы создать приложение с типом warp.

resource "cloudflare_zero_trust_access_application" "device_enrollment" {
	account_id       = var.cloudflare_account_id
	type             = "warp"
	name             = "Warp device enrollment"
	allowed_idps              = [cloudflare_zero_trust_access_identity_provider.microsoft_entra_id.id]
	auto_redirect_to_identity = true
	app_launcher_visible      = false
	policies = [
		{
			id = cloudflare_zero_trust_access_policy.allow_company_emails.id
			precedence = 1
		}
	]
}

Создать токен службы.

Скопируйте токена Client ID и Секрет клиента.

Перейдите в Контроль доступа > Политики и создайте следующую политику:

Обязательно задайте Действие к Service Auth вместо Allow.

Добавьте политику Access в ваш разрешения на регистрацию устройств.

В своём MDM параметры развёртывания, добавьте следующие поля:

• auth_client_id: Client ID вашего токена службы.
• auth_client_secret: Секрет клиента вашего токена службы.

Добавьте следующие разрешения в свой cloudflare_api_token ↗:

• Access: Apps and Policies Write
• Access: Service Tokens Write

Создать токен службы и скопируйте его Client ID и Секрет клиента.

Создайте следующую Access Policy:

resource "cloudflare_zero_trust_access_policy" "warp_enrollment_service_token" {
	account_id     = var.cloudflare_account_id
	name           = "Allow service token"
	decision       = "non_identity"
	include = [
		{
			service_token = {
				token_id = cloudflare_zero_trust_access_service_token.example_service_token.id
			}
		}
	]
}

Добавьте политику в свой cloudflared_zero_trust_access_application для Cloudflare One Client.

В своём MDM параметры развёртывания, добавьте следующие поля:

• auth_client_id: Client ID вашего токена службы.
• auth_client_secret: Секрет клиента вашего токена службы.

В Панель управления Cloudflare ↗, перейдите в Zero Trust > Контроль доступа > Учетные данные службы > Mutual TLS.

Выберите Add mTLS Certificate.

Введите любое имя для корневого CA.

В Содержимое сертификата, вставьте содержимое корневого CA.

Если клиентский сертификат подписан непосредственно корневым CA, достаточно загрузить только корневой сертификат. Если клиентский сертификат подписан промежуточным сертификатом, нужно загрузить всю цепочку CA (промежуточный и корневой сертификаты). Например:

-----BEGIN CERTIFICATE-----
<intermediate.pem>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<rootCA.pem>
-----END CERTIFICATE-----

В Связанные имена хостов, введите ваш Zero Trust домен команды: <team-name>.cloudflareaccess.com

В вашем разрешения на регистрацию устройств, добавьте Общее имя или Valid Certificate правило. Например, следующая политика требует клиентский сертификат с определённым common name:

На своём устройстве добавьте клиентский сертификат в System Keychain.

Добавьте следующие разрешения в свой cloudflare_api_token ↗:

• Access: Mutual TLS Certificates Write
• Access: Apps and Policies Write

Используйте cloudflare_zero_trust_access_mtls_certificate ↗ ресурс, чтобы добавить в аккаунт сертификат mTLS:

resource "cloudflare_zero_trust_access_mtls_certificate" "example_mtls_cert" {
	account_id     = var.cloudflare_account_id
	name           = "WARP enrollment mTLS cert"
	certificate    = <<EOT
	-----BEGIN CERTIFICATE-----
	xxxx
	xxxx
	-----END CERTIFICATE-----
	EOT
	associated_hostnames = ["your-team-name.cloudflareaccess.com"]
}

Создайте следующую Access Policy:

resource "cloudflare_zero_trust_access_policy" "warp_enrollment_mtls" {
	account_id     = var.cloudflare_account_id
	name           = "Allow employees with mTLS cert"
	decision       = "allow"
	include = [
		{
			email_domain = {
				domain = "@example.com"
			}
		}
	]

	require = [
		{
			common_name = {
				common_name = "Common name 1"
			}
		},
				{
			common_name = {
				common_name = "Common name 2"
			}
		}
	]
}

Добавьте политику в свой cloudflared_zero_trust_access_application для Cloudflare One Client.

На своём устройстве добавьте клиентский сертификат в System Keychain.