← Cloudflare Logs / logs / logpush / logpush-job

Časté dotazy k ověření vlastnictví

Ověření vlastnictví je jednorázové ověření, které prokazuje, že máte oprávnění ke čtení z cílového bucketu, než do něj Cloudflare začne odesílat protokoly. Tento mechanismus zabraňuje tomu, abyste omylem nastavili úlohu Logpush, která odesílá data do bucketu, který nemáte pod kontrolou.

Při vytváření úlohy Logpush pro cíl typu úložiště po vás Cloudflare vyžaduje prokázání vlastnictví tohoto cíle:

1. Ověření vlastnictví si vyžádáte pro svůj destination_conf.
2. Cloudflare zapíše JWT do ownership-challenge.txt ve svém bucketu.
3. Token přečtete ze svého bucketu a odešlete ho spolu s požadavkem na vytvoření úlohy.
4. Cloudflare ověří token a vytvoří úlohu.

Podrobný postup naleznete v Spravovat Logpush pomocí cURL.

Ověření vlastnictví vás chrání především před nechtěnou chybnou konfigurací. Bez tohoto ověření byste mohli omylem nastavit úlohu tak, aby odesílala data do bucketu, který jste nezamýšleli, například do bucketu, který ve skutečnosti patří někomu jinému.

Challenge také zabraňuje škodlivým scénářům, kdy by někdo mohl:

• Nasměrovat úlohu Logpush do bucketu jiného zákazníka
• Odeslat do daného bucketu falešná nebo škodlivá data protokolů
• Znečistit nebo poškodit úložiště protokolů oběti

Ověření vlastnictví je token JWT (JSON Web Token) obsahující nároky, které jej váží ke konkrétnímu kontextu. Token obsahuje:

• Typ objektu - Zda je úloha vázaná na zónu, účet nebo tenanta
• Object ID - Konkrétní identifikátor zóny nebo účtu
• Konfigurace cíle - Úplný konfigurační řetězec cíle
• Otisk cíle - Hash z názvu bucketu a cest/prefixů
• Vypršení platnosti - Platnost tokenu vyprší za 7 dní

Když odešlete token ověření, Cloudflare ověří, že všechny nároky odpovídají vašemu požadavku na vytvoření úlohy. Díky tomu nelze token znovu použít pro jiný účet, zónu nebo cíl.

V praxi je útok pomocí kompromitovaného tokenu pro ověření vlastnictví krajně nepravděpodobný. Útočník by potřeboval:

1. Přístup k vašemu účtu Cloudflare (aby bylo možné porovnat ID objektu v tokenu)
2. Znalost přesného názvu bucketu a cest/prefixů (aby odpovídaly otisku cíle)
3. Jednat do 7 dnů (než vyprší platnost výzvy)

Hlavními bezpečnostními vrstvami jsou řízení přístupu IAM k vašemu bucketu a zabezpečení účtu Cloudflare, nikoli token pro ověření vlastnictví.

• Po vytvoření úlohy odstraňte challenge soubor - Jakmile je úloha Logpush vytvořena, můžete bezpečně smazat ownership-challenge.txt ze svého bucketu.
• Omezte oprávnění bucketu - Udělte přístup pro zápis pouze servisním účtům Cloudflare. U AWS S3 udělte PutObject oprávnění k arn:aws:iam::391854517948:user/cloudflare-logpush. Pro GCS udělte Storage Object Admin na [email protected].
• Sledování úloh Logpush - Použijte stavové dashboardy pro Logpush ke sledování stavu úlohy a zjišťování anomálií.

U cílů, které nevyžadují ověření vlastnictví, používá Cloudflare alternativní metody autentizace, například API klíče nebo tokeny.

• Konfigurace API
• Spravovat Logpush pomocí cURL
• Oprávnění Logpush
• Povolit cílové umístění AWS S3
• Povolení cíle GCS