Cloudflare Access 設定編 — IdP連携とWARPで退職者管理・VPN置換を実現する

前編「Cloudflare Tunnel 入門」では、トンネルを張って Public Hostname でサービスを公開し、Access の「社内メールドメインだけ許可」で認証画面を出すまでを1時間以内に完成させた。しかし本番で回そうとするとすぐに壁に当たる——「退職者のアカウントをどう止めるか」「VPNみたいに社内ファイルサーバーまで届くか」「ゲストに一時的に通したいがメールドメイン単位では無理だ」。前編の Step 4 はここを扱っていない。続編の設定編では IdP（SSO）連携でドメイン認証を卒業し、プライベートネットワークアクセス（WARP）でVPN代替インフラを整える。

前編のおさらいと今回の範囲

まず前編がカバーした範囲と、続編（設定編・運用編）がカバーする範囲を整理しておく。

なぜ「Access の本番運用」が必要か

前編の「メールドメイン許可」で立ち止まる3つの壁

前編の Step 4 で設定した「Email ends in @yourcompany.com」は手軽だが、本番運用では3つの限界にぶつかる。

VPN vs Zero Trust Access — 運用観点の比較

最大の違いは退職者対応の確実性だ。VPN では「証明書の失効忘れ」という人的ミスが起きやすい。Cloudflare Access + IdP 連携では、IdP 側でアカウントを無効化した瞬間にアクセス不能になる——この1点だけで本番移行する価値がある。

仕組みを理解する — Public Hostname と Private Network の違い

前編の Public Hostname と今回の Private Network Access は通信フローがまったく異なる。この違いを押さえてから Step に進もう。

前編（Public Hostname）の通信フロー

Private Network Access（WARP）の通信フロー

どちらを使うべきか

準備するもの

• 前編が完了していること — cloudflared が稼働し、Public Hostname で最低1つのサービスが公開済み。まだの場合はCloudflare Tunnel 入門を先に済ませてほしい。
• IdP の管理者権限：Google Workspace（Google Cloud Console で OAuth クライアントを作成できる権限）または Microsoft Entra ID（Azure Portal でアプリ登録できるグローバル管理者・アプリケーション管理者権限）。どちらか一方で構わない。
• WARP クライアントを配布する端末（Step 2 から必要）：Windows 10/11 または macOS。iOS・Android も対応するが本記事では Windows・macOS の手順を示す。
• 社内ネットワークの CIDR：例 192.168.1.0/24。Private Network ルートの設定で使う。

Step 1 — IdP（SSO）を連携して退職者管理を自動化する

前編の「Email ends in @yourcompany.com」を捨て、IdP のグループとアカウント状態に認証を紐付ける。退職者の IdP アカウントを無効化すれば、Cloudflare 上の全アプリが即座に締め出される。

① Google Workspace を連携する

Google Cloud Console で OAuth クライアントを作成してから Cloudflare に登録する。

Google Cloud Console 側の作業

1. Google Cloud Console を開き、既存のプロジェクトを選択（または新規作成）する
2. 左メニュー → API とサービス → 認証情報 → 認証情報を作成 → OAuth 2.0 クライアント ID
3. アプリケーションの種類：ウェブアプリケーション、名前は任意（例: Cloudflare Access）
4. 承認済みのリダイレクト URI に以下を追加する

https://<your-team-name>.cloudflareaccess.com/cdn-cgi/access/callback

5. 作成後、クライアント ID と クライアントシークレット をメモする

Cloudflare Zero Trust 側の作業

1. Zero Trust ダッシュボード → Settings → Authentication → Login methods → Add new → Google Workspace
2. 以下の値を入力して Save

3. Test ボタンをクリックして Google の OAuth 画面が開き、ログイン成功すれば連携完了

② Microsoft Entra ID を連携する

Google Workspace と手順の流れは同じだが、Azure Portal でアプリ登録を行う点が異なる。

Azure Portal 側の作業

1. Azure Portal → Microsoft Entra ID → アプリの登録 → 新規登録
2. 名前：任意（例: Cloudflare Access）、サポートされているアカウントの種類：この組織ディレクトリのみ（シングルテナント）
3. リダイレクト URI：Web を選択し、https://<your-team-name>.cloudflareaccess.com/cdn-cgi/access/callback を入力
4. 登録後、概要画面から アプリケーション（クライアント）ID と ディレクトリ（テナント）ID をメモする
5. 証明書とシークレット → 新しいクライアントシークレット → 追加。表示された 値（シークレット文字列）をすぐにコピーする（画面を離れると再表示できない）
6. API のアクセス許可 → アクセス許可の追加 → Microsoft Graph → 委任されたアクセス許可 から以下を追加し、〇〇に管理者の同意を与えます をクリックする：User.Read・email・profile・openid・offline_access

Cloudflare Zero Trust 側の作業（Google Workspace と同じ画面で Microsoft Azure AD を選択）

③ ポリシーを「グループ」ベースに切り替える

IdP を登録したら、前編で作成したアプリのポリシーを「メールドメイン」から「IdP グループ」に変更する。これが退職者自動締め出しの肝だ。

1. Zero Trust → Access → Applications → 対象アプリ → Edit → Policies タブ
2. 既存のポリシーを開き、Rule の Selector を Emails から Identity provider groups に変更する
3. Value に IdP で同期されたグループを入力する（例: Google Workspace の 社員・Entra ID のセキュリティグループ名）
4. Save policy

Step 2 — Private Network Access でVPNを置き換える

ここからが前編と最も大きく異なる章だ。WARP クライアントを端末に入れ、社内の IP アドレス帯（CIDR）への通信を Cloudflare Tunnel 経由で透過させる。RDP・SSH・ファイルサーバー（SMB）など HTTP 以外のプロトコルも全対応する。

① トンネルにプライベートネットワークルートを追加する

1. Zero Trust → Networks → Tunnels → 対象のトンネル → Edit
2. Private Network タブ → Add a private network
3. CIDR を入力する（例: 192.168.1.0/24）→ Save tunnel

② Gateway でローカルドメインフォールバックを設定する

社内のプライベートホスト名（例: fileserver.intra・app.corp.local）を WARP 端末から名前解決するには、内部 DNS サーバーへのフォールバックを設定する。

1. Zero Trust → Settings → WARP Client → デバイスプロファイル → Default → Configure
2. Split Tunnels & Local Domain Fallback → Manage → Local Domain Fallback → Add a domain
3. ドメインサフィックス（例: intra・corp.local）と社内 DNS サーバーの IP（例: 192.168.1.1）を入力 → Save

これで WARP 端末から fileserver.intra を引くと社内 DNS サーバーが応答し、CIDR ルートを経由してプライベートアドレスに届くようになる。

③ WARP クライアントを端末に配布する

まず Zero Trust 側でエンロールメントポリシーを設定し、どの端末が接続を許可されるかを定義する。

エンロールメントポリシーの設定

1. Zero Trust → Settings → WARP Client → Device enrollment → Manage
2. Add a rule → Selector: Emails ends in（または Identity provider groups）、Value: 自社ドメインまたは社員グループ → Save

クライアントのインストール（Windows）

1. WARP クライアント（Windows）をダウンロードしてインストールする
2. インストール後、タスクトレイの WARP アイコン → 右上の設定アイコン → Preferences → Account → Login with Cloudflare Zero Trust
3. チーム名（例: yourorg）を入力 → IdP のログイン画面でサインイン
4. ステータスが Connected になれば、社内 CIDR への通信が自動的にトンネル経由になる

コマンドラインでのエンロール（GPO/MDM 配布向け）

# Windows（PowerShell・管理者として実行）
warp-cli.exe teams-enroll yourorg
# macOS（ターミナル）
/Applications/Cloudflare\ WARP.app/Contents/Resources/warp-cli teams-enroll yourorg

④ アプリを Private hostname で保護する

WARP 経由でアクセスする内部サービス（URL は公開しないが、WARP 端末からは名前解決できる）に Access ポリシーを適用することで、「WARP 接続済み かつ IdP グループに属するユーザー」だけに絞り込める。

1. Zero Trust → Access → Applications → Add an application → Self-hosted
2. Application domain にプライベートホスト名を入力する（例: fileserver.intra）
3. ポリシーを設定する（例: IdP グループ Employees に Allow）→ Save

これで WARP 接続済みかつ IdP 認証済みの端末からのみアクセス可能になる。VPN 相当の透過アクセスに IdP 認証が加わった構成が完成した。

トラブルシュート

まとめ

Step 1 の IdP 連携で「退職者がドメイン認証をすり抜ける」問題が解決し、Step 2 の Private Network + WARP で「HTTP 以外の社内サービスも届く」VPN 相当の構成が完成した。