驗證使用者身分
透過企業 IdP、SSO 或支援的登入方法確認「你是誰」。
CLOUDFLARE ZERO TRUST
Cloudflare Access：
用 Zero Trust
保護內部系統
🔐
什麼是 Cloudflare Access？
Cloudflare Access 是位於使用者與應用程式之間的身分感知代理服務。
蒐集身分與裝置訊號
取得群組、驗證方式、連線來源與裝置安全訊號。
套用存取政策
將請求與 Access Policy 的條件逐一比對。
放行、拒絕並留下紀錄
先完成判斷，流量才會前往受保護的服務。
放在應用程式前面的統一登入與授權閘門
一次請求，由 Access Policy 綜合評估身分、連線與裝置訊號
以員工開啟
admin.example.com 為例：1.
使用者向 Cloudflare 發出請求
2.
Access 驗證 Session 與目前請求
3.
若未登入，導向公司 Identity Provider
4.
使用者透過 Microsoft Entra ID、Okta、Google Workspace 等 IdP 登入
5.
Access 取得使用者身分與群組資訊
6.
Policy 評估身分、IP、國家與裝置狀態
7.
符合 Policy 才建立或延續 Session，並允許請求
8.
前往服務，並將結果寫入 Access Logs
Access Policy
一個 Policy 由四個部分組成：
決定要做什麼、條件如何組合，以及要檢查的屬性與指定值
Action
要採取什麼動作
Allow
符合條件時允許Block
符合條件時拒絕Service Auth
使用 Service Token、mTLS 等非互動式驗證Bypass
略過驗證與 Access logging，僅限明確例外
Rule type
條件如何組合
Include
建立候選範圍，多個 Include 類似 OR
★ 每個 Policy 至少要有一項 IncludeRequire
必須同時符合，類似 ANDExclude
符合便排除，類似 NOT
Selector
要檢查哪種屬性，例如 Email、群組、IP、驗證方法或裝置狀態
Value
屬性的指定值，例如 @example.com 或 Employees
常見 POLICY SELECTORS（以下依用途分組）
Access 可根據身分、
連線來源與裝置狀態決定存取
身分資訊
- Emails／Emails ending in
- Identity provider group／SAML Group
- OIDC Claim
- Login Methods
- Authentication Method
連線來源
- IP ranges
- Country
裝置與接入狀態
- Device posture checks
- 作業系統與版本
- 磁碟加密、防火牆狀態
- Endpoint Security 整合
- 自訂受管理裝置檢查
- WARP／Gateway
將這些 selectors 加入 Include、Require 或 Exclude，組合出符合需求的 Access Policy。
POLICY 設計範例 01
一般內部系統：
只開放給員工與公司網路
Action: Allow
Include:
Identity provider group = Employees
Require:
IP ranges = 公司 VPN 出口 IP
效果
- 使用者必須屬於公司 IdP 的
Employees群組 - 請求必須來自指定的公司或 VPN 出口 IP 網段
POLICY 設計範例 02
系統呼叫 API：
使用非互動式驗證
Action: Service Auth
Include:
Service Token = production-deployer
適合這些情境
CI/CD、排程工作，以及其他沒有真人登入、但仍需驗證呼叫端身分的服務對服務流量。
Policy 的設定順序會改變最後結果
處理分成兩個階段，各階段都依畫面由上往下判斷：
Service Auth 與 Bypass
先處理非互動式驗證，以及需要略過 Access 的流量
Block 與 Allow
再依畫面順序處理拒絕與允許政策
上方優先，先符合即停止（前蓋後）
一旦符合條件，後續 Policy 不會再覆寫這次決定
Demo
