← Cloudflare Logs / logs / logpush / logpush-job

Часто задаваемые вопросы о проверке владения

Проверка владения представляет собой одноразовую проверку, которая подтверждает, что у вас есть доступ на чтение к целевому бакету, прежде чем Cloudflare начнёт отправлять в него журналы. Этот механизм не позволяет случайно настроить задание Logpush на отправку данных в бакет, который вам не принадлежит.

При создании задания Logpush для получателя типа хранилище Cloudflare требует подтвердить владение этим получателем:

1. Запросите проверку владения для вашего destination_conf.
2. Cloudflare записывает JWT в ownership-challenge.txt в вашем бакете.
3. Считайте токен из бакета и передайте его вместе с запросом на создание задания.
4. Cloudflare проверяет токен и создаёт задание.

Пошаговые инструкции см. в Управлять Logpush с помощью cURL.

Проверка владения защищает прежде всего от случайной неправильной настройки. Без неё можно по ошибке настроить задание на отправку данных не в тот бакет: например, в бакет, который на самом деле принадлежит кому-то другому.

Challenge также предотвращает вредоносные сценарии, при которых злоумышленник может:

• Направить задание Logpush в бакет другого клиента
• Отправить в этот бакет поддельные или вредоносные данные журналов
• Засорить или повредить хранилище журналов жертвы

Проверка владения представляет собой токен JSON Web Token (JWT), содержащий утверждения (claims), которые привязывают его к определённому контексту. Токен включает:

• Тип объекта - Область действия задания: зона, аккаунт или тенант
• Object ID - Конкретный идентификатор зоны или аккаунта
• Конфигурация назначения - Полная конфигурационная строка получателя
• Отпечаток назначения - Хеш имени бакета и путей/префиксов
• Истечение срока действия - Срок действия токена истекает через 7 дней

Когда вы отправляете токен подтверждения, Cloudflare проверяет, что все утверждения (claims) в нём совпадают с вашим запросом на создание задания. Это не позволяет использовать один и тот же токен повторно для другого аккаунта, зоны или получателя.

На практике атака с использованием скомпрометированного токена подтверждения владения крайне маловероятна. Злоумышленнику потребовалось бы:

1. Доступ к вашему аккаунту Cloudflare (чтобы сопоставить его с идентификатором объекта в токене)
2. Знание точного имени бакета и путей/префиксов (чтобы они совпадали с отпечатком назначения)
3. Выполнить действие в течение 7 дней (до истечения срока действия проверочного запроса)

Основным уровнем защиты являются настройки IAM/контроля доступа вашего бакета и безопасность аккаунта Cloudflare, а не токен проверки владения.

• Удалите файл проверки после создания задания - После создания задания Logpush вы можете безопасно удалить ownership-challenge.txt из вашего бакета.
• Ограничьте разрешения бакета - Предоставьте доступ на запись только сервисным аккаунтам Cloudflare. Для AWS S3 предоставьте PutObject разрешение на arn:aws:iam::391854517948:user/cloudflare-logpush. Для GCS предоставьте Storage Object Admin к [email protected].
• Мониторинг заданий Logpush - Используйте панели состояния Logpush для мониторинга состояния задания и обнаружения аномалий.

Для получателей, не требующих проверки владения, Cloudflare использует альтернативные методы аутентификации, такие как API-ключи или токены.

• Настройка API
• Управлять Logpush с помощью cURL
• Разрешения Logpush
• Включить получателя AWS S3
• Включение получателя GCS