← Cloudflare Tunnel / tunnel / advanced
Детальные разрешения
Права участников Cloudflare можно ограничить отдельными Cloudflare Tunnel вместо предоставления доступа на уровне всего аккаунта. Это позволяет делегировать управление отдельными Tunnel. Например, команда приложения сможет управлять одним Tunnel для своего сервиса, не получая доступа ко всем остальным Tunnel в аккаунте.
Детальные разрешения представляют собой отдельный уровень, дополняющий роли на уровне аккаунта, а не заменяющий их. Участники, у которых уже есть роль уровня аккаунта, например Cloudflare Access сохраняют доступ на запись ко всем Tunnel в аккаунте.
Как это работает
Для любого запроса API к определённому Cloudflare Tunnel доступ предоставляется, если у субъекта есть либо:
- Роль уровня аккаунта, которая распространяется на Tunnels (например,
Cloudflare Access), или - A роль с ограничением по ресурсу привязанные к этому конкретному туннелю.
Эндпоинты для получения списков (GET /accounts/{id}/cfd_tunnel, GET /accounts/{id}/teamnet/routes) возвращают только Tunnels и маршруты, к которым субъект имеет доступ как минимум на чтение.
Предоставить подробное разрешение
Подробные разрешения назначаются через стандартный управление участниками поток.
- В Панель управления Cloudflare ↗, перейдите в Manage Account > Участники и выберите Пригласить участников, или откройте существующего участника, чтобы изменить его разрешения.
- Добавьте политику разрешений и выберите роль с ограничением по ресурсу которое нацелено на инстансы Cloudflare Tunnel.
- В Область действия разделе выберите Определенные ресурсы.
- Задайте Тип ресурса к Экземпляры Cloudflare Tunnel.
- Выберите один или несколько туннелей в инструменте выбора ресурсов.
- Сохраните политику.
Для одного участника можно настроить несколько детализированных политик, чтобы охватить разные Tunnel с разными ролями.
Перечисление ресурсов
Эндпоинты для получения списков учитывают права доступа. Когда субъект обращается к такому эндпоинту, ответ включает только те Tunnels и маршруты, к которым у него есть хотя бы доступ на чтение.
| Конечная точка | Метод | Возвращает |
|---|---|---|
/accounts/{account_id}/cfd_tunnel |
GET |
Экземпляры Cloudflare Tunnel, которые указанный principal может просматривать или которыми может управлять. |
/accounts/{account_id}/teamnet/routes |
GET |
Маршруты, привязанные к туннелям, которые субъект может просматривать или которыми может управлять. |
Участники с ролью на уровне аккаунта, которая распространяется на Tunnels, продолжают видеть все Tunnels в аккаунте.
Обратная совместимость
- Существующие роли на уровне аккаунта и API-токены продолжают работать как прежде.
- Существующая автоматизация, которая аутентифицируется с помощью токена на уровне аккаунта (например, конвейеры Terraform, использующие
Cloudflare Accessтокен) не затрагивается. - Подробные разрешения предоставляются по желанию. Предоставление такого разрешения участнику расширяет его возможности и никогда не отменяет те, что уже предоставлены ролью на уровне аккаунта.
Дополнительные материалы
- Справочник по ролям : полный список ролей Cloudflare, включая привязанные к ресурсам роли для экземпляров Cloudflare Tunnel.
- Управление участниками аккаунта : процесс приглашения и редактирования участников.
- Детальные разрешения для Cloudflare Tunnel и Cloudflare Mesh в Cloudflare One : та же функциональность RBAC, применяемая к узлам Cloudflare Mesh наряду с Tunnels.