← Cloudflare Tunnel / tunnel / advanced
Podrobná oprávnění
Oprávnění členů Cloudflare můžete omezit na jednotlivé Cloudflare Tunnel instance místo udělení přístupu pro celý účet. Díky tomu můžete delegovat správu konkrétních Tunnelů: aplikační tým může spravovat jeden Tunnel pro svou službu, aniž by měl přístup ke všem Tunnelům v účtu.
Podrobná oprávnění představují další vrstvu vedle rolí na úrovni účtu, nenahrazují je. Členové, kteří již mají roli na úrovni účtu, jako je Cloudflare Access si zachovávají zápisový přístup ke každému Tunnelu v účtu.
Jak to funguje
U libovolného požadavku API na konkrétní Cloudflare Tunnel je přístup udělen, pokud daný subjekt má buď:
- Role na úrovni účtu, která zahrnuje Tunnels (například
Cloudflare Access), nebo - A role s rozsahem na úrovni prostředku svázaný s konkrétním tunelem.
Endpointy pro výpis (GET /accounts/{id}/cfd_tunnel, GET /accounts/{id}/teamnet/routes) vrátí jen tunely a trasy, ke kterým má daný subjekt alespoň oprávnění ke čtení.
Udělení podrobného oprávnění
Podrobná oprávnění se přiřazují prostřednictvím standardního správa členů tok.
- V Cloudflare dashboard ↗, přejděte na Manage Account > Členové a vyberte Pozvat členy, nebo otevřete stávajícího člena a upravte jeho oprávnění.
- Přidejte zásadu oprávnění a vyberte role s rozsahem na úrovni prostředku které cílí na instance Cloudflare Tunnel.
- V Rozsah sekci vyberte Konkrétní prostředky.
- Nastavte Typ prostředku na Instance Cloudflare Tunnel.
- Vyberte jeden nebo více konkrétních tunelů z nabídky výběru prostředků.
- Uložte zásadu.
Ke stejnému členovi lze přiřadit více granulárních zásad, které pokrývají různé Tunely s různými rolemi.
Enumerace prostředků
Endpointy pro výpis zohledňují autorizaci. Když entita zavolá endpoint pro výpis, odpověď se omezí jen na Tunnels a trasy, k nimž má daná entita alespoň oprávnění ke čtení.
| Endpoint | Metoda | Vrací |
|---|---|---|
/accounts/{account_id}/cfd_tunnel |
GET |
Instance Cloudflare Tunnel, které daný principal může číst nebo spravovat. |
/accounts/{account_id}/teamnet/routes |
GET |
Trasy připojené k tunelům, které daný subjekt může číst nebo spravovat. |
Členové s rolí na úrovni účtu, která zahrnuje Tunnels, uvidí i nadále všechny Tunnels v účtu.
Zpětná kompatibilita
- Stávající role na úrovni účtu a API tokeny fungují dál stejně jako dříve.
- Stávající automatizace ověřující se pomocí tokenu na úrovni účtu (například pipeline Terraformu používající
Cloudflare Accesstoken) není ovlivněn. - Podrobná oprávnění jsou volitelná. Udělení oprávnění členovi přidává možnosti, nikdy neodebírá možnosti, které členovi již náleží z role na úrovni účtu.
Související zdroje
- Přehled rolí je úplný seznam rolí Cloudflare, včetně rolí s omezenou působností pro instance Cloudflare Tunnel.
- Správa členů účtu : postup pozvání a úpravy členů.
- Podrobná oprávnění pro Cloudflare Tunnel a Cloudflare Mesh v Cloudflare One představuje stejnou funkci RBAC uplatněnou i na uzly Cloudflare Mesh vedle Tunnels.