Cloudflare をリバースプロキシとして設定する

Auth0 のカスタムドメインプロキシとして使用する Cloudflare の設定方法を学びます。

利用可否は Auth0 のプランによって異なります

この機能を利用できるかどうかは、Auth0 のプランまたは個別契約の内容によって異なります。詳しくは、Auth0 の料金ページをご覧ください。

推奨される方法で Cloudflare をリバースプロキシとして設定するには、以下の機能を備えた Cloudflare Enterprise プランが必要です。

機能	説明
Host Header Override	Cloudflare の各種ルールを使用して Host ヘッダーを書き換えます。詳しくは、Cloudflare Docs の Rewrite Host headersをご覧ください。
True-Client-IP Header	True-Client-IP Header を有効にすると、オリジンサーバーへのすべてのリクエストに、エンドユーザーの IP アドレスを含む True-Client-IP ヘッダーが追加されます。詳しくは、Cloudflare の Understanding the True-Client-IP Headerをご覧ください。

​

Cloudflare を設定する

前提条件として、選択したカスタムドメインの親ドメインが Cloudflare ダッシュボードで追加され、有効化されている 必要があります。また、使用したいカスタムドメインが Cloudflare ゾーン内にまだ存在していないことも確認してください。すでに存在している場合、Cloudflare の検証は失敗します。

Cloudflare をリバースプロキシとして設定するには、Cloudflare で CNAME レコード、Page Rule、Transform Rule を作成する必要があります。

1. まだ実施していない場合は、自己管理証明書を使用してカスタムドメインを設定および検証 します。後で必要になるため、Origin Domain Name と cname-api-key の値を控えておいてください。

2. 対象ゾーンの Cloudflare ダッシュボードで、次の設定を使用して CNAME レコードを作成 します。

   設定	値
   Name	カスタムドメイン名
   Target	先ほど控えた Origin Domain Name の値
   Proxy Status	Proxied

3. 選択したカスタムドメイン配下のすべての URL を対象に、次の設定で Page Rule を作成 します。

   設定	値
   Host Header Override	先ほど控えた Origin Domain Name の値
   True-Client-IP	Enable

4. Transform Rule を作成 します。

   自己管理証明書のカスタムドメインの要件を満たすリバースプロキシを設定するために、Page Rule や Transform Rule の代わりに Cloudflare Workers を使用することもできますが、カスタムコードが不要になるため、ルールベースの方法を推奨します。

   1. Modify Request Header ビューに切り替えます。

   2. Create Rule を選択し、任意の名前を入力します。

   3. When incoming requests match で Custom filter expression を選択し、選択したカスタムドメインに関連するリクエストだけを対象にする式を設定します。たとえば、Hostname フィールドの完全一致を使用します。

   4. Modify request header で Set static を選択し、次のフィールドを設定します。

      項目	値
      Header name	cname-api-key
      Value	先ほど控えた cname-api-key の値

5. 選択したカスタムドメインで、Always Use HTTPS が有効になっており、encryption mode が少なくとも Full に設定されていることを確認します。

​

Managed Challenges を使用する

Cloudflare の Managed Challenges を使用すると、リクエストが Auth0 Universal Login に到達する前にボットトラフィックをフィルタリングできます。リクエストがルールに一致すると、Cloudflare がそれをインターセプトし、検証用の challenge を表示します。challenge ページは HTML を返すため、Managed Challenges はブラウザベースのフローでのみ使用できます。これを API エンドポイントやヘッドレスフローに適用すると、client は想定されたレスポンスではなく HTML の challenge ページを受け取ってしまうため、それらのフローは機能しなくなります。

​

Universal Login のブラウザーベースのエンドポイント

以下のエンドポイントはブラウザーに HTML ページを返し、Managed Challenges に対応しています。

Endpoint	Description
/u/email-verification	メールアドレス確認
/u/login	identifier および identifier-first プロンプト
Organization endpoints: u/organization /u/organization-picker /u/pre-organization-picker	organization 選択プロンプト
/u/login/password	パスワードプロンプト
/u/login-email-verification	メールアドレス確認プロンプト
/u/signup	identifier プロンプト
/u/signup/password	パスワードプロンプト
/u/consent	同意プロンプト
/u/customized-consent	カスタマイズされた同意プロンプト
/u/reset-password	パスワードリセットプロンプト
/u/reset-password/request	パスワードリセット用のメールアドレス/ユーザー名プロンプト
/u/reset-password/change	新しいパスワードのプロンプト
/u/reset-verify	パスワードリセットの確認
/u/mfa-begin-enroll-options	MFA 登録の認証要素選択
/u/mfa-enroll-options	MFA 登録オプション
/u/mfa-otp	ワンタイムパスワード プロンプト
/u/mfa-push	プッシュ通知プロンプト
/u/mfa-webauthn	WebAuthn およびパスキープロンプト
/u/mfa-recovery-code	リカバリーコード プロンプト
/u/mfa-sms	SMS プロンプト
/u/mfa-email	MFA メールプロンプト
/u/mfa-voice	MFA 音声プロンプト
/u/passkey-enrollment	パスキー登録

Classic Universal Login を使用している場合は、Managed Challenge ルールに /login も含めてください。

​

除外するエンドポイント

以下のエンドポイントには Managed Challenge を適用しないでください。これらはサーバー、SDK、またはリソースサーバーから呼び出されるため、対話型チャレンジには対応できません。

エンドポイント	説明
/oauth/token	トークンエンドポイント
/oauth/revoke	トークン取り消しエンドポイント
/userinfo	UserInfo エンドポイント
/.well-known/openid-configuration	OIDC ディスカバリー ドキュメント
/.well-known/jwks.json	JSON Web Key Set。リソースサーバーがトークン検証のために取得します
/api/v2/*	Management API
/co/authenticate	クロスオリジン認証
/dbconnections/signup	データベース接続: サインアップ
/dbconnections/change_password	データベース接続: パスワード変更
/usernamepassword/login	Classic Universal Login フォーム送信
/mfa/challenge	チャレンジリクエスト
/mfa/associate	認証器の関連付け
/passwordless/start	パスワードレス: 開始リクエスト
/samlp/*	SAML プロトコル エンドポイント
/wsfed/*	WS-Federation エンドポイント
/v2/logout	back-channel logout フローではサーバー側から呼び出される場合があります

​

ルールの例

Managed Challenge をブラウザベースの Universal Login フローにのみ適用するには、Cloudflare で WAF Custom Rule を作成します。ルールのアクションを Managed Challenge に設定し、次の式を使用して、YOUR_CUSTOM_DOMAIN をカスタムドメイン (たとえば login.example.com) に置き換えてください。

(http.host eq "YOUR_CUSTOM_DOMAIN" and (
  http.request.uri.path eq "/authorize" or
  starts_with(http.request.uri.path, "/u/") or
  http.request.uri.path eq "/login"
))

これにより、チャレンジの適用対象を画面表示を伴う Universal Login エンドポイントのみに絞り、API や machine-to-machine のトラフィックへの影響を防げます。

一部のユースケースでは、動作が異なる場合があります。

• クリアランス Cookie の保持: ブラウザーが Managed Challenge を通過すると、Cloudflare は通常、セッション中有効なクリアランス Cookie を発行します。設定によっては、ルールの対象を /authorize のみに絞るだけで、すべての /u/* パスに適用しなくても Universal Login フロー全体をカバーするのに十分な場合があります。
• OAuth 以外のエントリポイント: SAML の SP 起点または WS-Federation のエントリポイントから開始するフローでは、/authorize ではなく /samlp/* または /wsfed/* が使用されます。これらのパスは除外リストに含まれているため、Managed Challenge を適用しないでください。

​

Auth0 を設定する

Auth0 の Management API の カスタムドメイン設定を更新 エンドポイントを呼び出し、リクエストボディに次のペイロードを指定します。

{
  "custom_client_ip_header": "true-client-ip"
}

これにより、Auth0 は HTTP ヘッダー true-client-ip からエンドユーザーの IP アドレスを取得するように設定されます。

必ず true-client-ip を使用してください。この目的で HTTP ヘッダー cf-connecting-ip を使用することは、Cloudflare ではサポートされていません。

​

詳細はこちら

• カスタムドメインを使用する機能を設定する
• TLS (SSL) のバージョンと暗号スイート