目的

以下のドキュメントにある手順を確認します。

また、証明書の作成にあたり、以下の記事も参考にして進めます。

Root CA の作成

ca-csr.json と ca-config.json を準備します。

cat << EOS > ca-csr.json
{
    "CN": "khayama",
    "hosts": [""],
    "key": {
        "algo": "ecdsa",
        "size": 256
    },
    "names": [
        {
            "O": "khayama",
            "OU": "Sales",
            "L": "Shibuya",
            "ST": "Tokyo",
            "C": "JP"
        }
    ],
    "ca": {
        "expiry": "876000h"
    }
}
EOS

cat << EOS > ca-config.json
{
    "signing": {
        "default": {
            "expiry": "87600h",
                "usages": [
                    "signing",
                    "key encipherment",
                    "server auth",
                    "client auth"
                    ]
        }
    }
}
EOS

以下のコマンドで ca.csr と ca.pem と ca-key.pem を作成します。

cfssl genkey -initca ca-csr.json | cfssljson -bare ca

Root CA のアップロード

以下のコマンドで Root CA をアップロードします。

export EMAIL='YOUR_EMAIL'
export APIKEY='YOUR_APIKEY'
export ACCOUNT_ID='YOUR_ACCOUNT_ID'

export CA_CERT=$(awk -v ORS='\\n' '1' ca.pem)
export CA_KEY=$(awk -v ORS='\\n' '1' ca-key.pem)

curl -s "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/mtls_certificates" \
--header "X-Auth-Email: $EMAIL" \
--header "X-Auth-Key: $APIKEY" \
--header "Content-Type: application/json" \
--data '{
  "name": "client_cert_check_ca",
  "certificates": "'"$CA_CERT"'",
  "private_key": "'"$CA_KEY"'",
  "ca": true
}' | jq

その後、result.id として返ってくる UUID を控えておきます。

export CA_UUID=$(curl -s "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/mtls_certificates" \
--header "X-Auth-Email: $EMAIL" \
--header "X-Auth-Key: $APIKEY" \
--header "Content-Type: application/json" | jq -r '.result[] | select (.name == "client_cert_check_ca") | .id')
echo $CA_UUID

Client Certificate の作成

client.json を準備します。

cat << EOS > client.json
{
    "CN": "khayama",
    "hosts": [""],
    "key": {
        "algo": "ecdsa",
        "size": 256
    },
    "names": [
        {
            "O": "khayama",
            "OU": "Sales",
            "L": "Shibuya",
            "ST": "Tokyo",
            "C": "JP"
        }
    ]
}
EOS

以下のコマンドで client.csr と client-key.pem を作成します。

cfssl genkey client.json | cfssljson -bare client

以下のコマンドで client.pem を作成します。

cfssl sign -ca ca.pem -ca-key ca-key.pem -config ca-config.json client.csr | cfssljson -bare client

macOS

Client Certificate の登録

以下の記事を参考にします。

以下のコマンドで client.p12 を作成します。

openssl pkcs12 -export -legacy \
-in client.pem \
-inkey client-key.pem \
-out client.p12  \
-passout pass:password \
-name "Client Cert for CF ZT Device Posture Check"

/Library/Keychains/System.keychain に sudo で証明書をインポートします。

sudo security -v import client.p12 -k /Library/Keychains/System.keychain -P "password"

以下のコマンドで表示が確認できれば、登録完了です。

security find-certificate -c "khayama" -p /Library/Keychains/System.keychain

デバイスポスチャの設定

Root CA のアップロードで控えた UUID を Certificate ID に入力して、以下のように設定します。

確認

macOS の WARP クライアントでは以下のようにデバイスポスチャを確認できます。

Windows

Client Certificate の登録

以下の手順で登録します。

macOS Client Certificate の登録と同じ手順で client.p12 ファイルの作成が必要です。

User trust store

以下から証明書のインポートウィザードを起動し、client.p12 ファイルをインポートします。

以下のコマンドで結果得られれば、問題なく登録されたことが確認できます。

PS C:\Windows\system32> Get-ChildItem Cert:\CurrentUser\My\ | where{$_.Subject -like "*khayama*"}


   PSParentPath: Microsoft.PowerShell.Security\Certificate::CurrentUser\My

Thumbprint                                Subject
----------                                -------
3FDD10D889775FDA11906FAB8EFABC07F03A8F38  CN=khayama, OU=Sales, O=khayama, L=Shibuya, S=Tokyo, C=JP

Local machine trust store

以下から証明書のインポートウィザードを起動し、client.p12 ファイルをインポートします。

以下のコマンドで結果得られれば、問題なく登録されたことが確認できます。

PS C:\Windows\system32> Get-ChildItem Cert:\LocalMachine\My\ | where{$_.Subject -like "*khayama*"}


   PSParentPath: Microsoft.PowerShell.Security\Certificate::LocalMachine\My

Thumbprint                                Subject
----------                                -------
3FDD10D889775FDA11906FAB8EFABC07F03A8F38  CN=khayama, OU=Sales, O=khayama, L=Shibuya, S=Tokyo, C=JP

デバイスポスチャの設定

Root CA のアップロードで控えた UUID を Certificate ID に入力して、以下のように設定します。
Windows OS では Local machine trust store と User trust store を選択できます。

確認

Windows の WARP クライアントでは以下のようにデバイスポスチャを確認できます。

ログ確認

Device posture logs では SUCCESS のログが確認できます。

以下は Logpush によるログのサンプルです。

logpush.json

{
  "ClientVersion": "2024.6.416",
  "DeviceID": "0bd7ef7a-3e5e-11ef-ba25-fa495d0d6c56",
  "DeviceManufacturer": "",
  "DeviceModel": "Mac15,7",
  "DeviceName": "xxx",
  "DeviceSerialNumber": "xxx",
  "DeviceType": "mac",
  "Email": "non_identity@xxx.cloudflareaccess.com",
  "OSVersion": "14.5.0",
  "PolicyID": "fadeead5-ff81-49de-b943-f93bab1f21ea",
  "PostureCheckName": "macOS Client Cert",
  "PostureCheckType": "client_certificate_v2",
  "PostureEvaluatedResult": true,
  "PostureExpectedJSON": {
    "certificate_id": "79cf0334-ada9-416f-841a-0f24ec7aefae",
    "cn": "khayama",
    "check_private_key": true,
    "locations": {
      "trust_stores": [
        "system"
      ]
    }
  },
  "PostureReceivedJSON": {
    "certificate_id": "79cf0334-ada9-416f-841a-0f24ec7aefae",
    "exists": true,
    "error": null
  },
  "Timestamp": "2024-07-19T16:39:18Z",
  "UserUID": "b7761faf-27e6-4d08-a35a-802db584b739"
}

まとめ

このように設定することで ID 認証に加えて、クライアント証明書がデバイスにインストールされているかどうかのデバイスポスチャチェックを追加して、アプリケーションへのアクセスを制御できます。