9-1 関係者専用の部屋（Access とは）
第 8 章までで、店の表側はひととおり揃いました。どれもお客さん全員に見せてよいものでした。
けれど店には、表に出せないものもあります。作業の記録、集計の画面、設定の一覧です。これらは関係者だけが入れる部屋に置きます。
いま読んでいるこのサイト（Cloudflare Lab）も同じです。検証の結果を一覧するページは、作者だけが見られる状態にしたいものです。合言葉の仕組みを自分で作るのは手間がかかります。
ここでは、部屋そのもの、考え方、警備員の仕事、確かめる場所の順に見ます。
Learning goals
この節でできるようになること
- 関係者専用の部屋（Access）が何をするかを日常語で説明できる
- Zero Trust の考え方を一言で説明できる
- 部屋の登録とルールの紙の役割の違いを言える
- 確かめが行われる場所と、本社に届かない理由を言える
1. 受付の奥に関係者だけの部屋を作る（Cloudflare Access）
Section titled “1. 受付の奥に関係者だけの部屋を作る（Cloudflare Access）”店の奥に部屋を作り、扉に「関係者以外お断り」と貼ります。入りたい人は、まず自分が誰かを示します。示せなければ扉は開きません。
Cloudflare では、この仕組みを Cloudflare Access と呼びます。公式は Access を、利用者を認証し、社外の人も手間なく迎え入れ、すべての出来事と要求を記録する製品だと説明しています。
実物では、守りたい住所（URL）を Access に登録します。登録した住所を開こうとした人だけが確かめの対象になり、表のページはこれまでどおり誰でも見られます。
店の表は誰でも入れる売り場で、奥に一枚だけ扉があります。扉の向こうが関係者専用の部屋です。
つまり、Access は「この住所は関係者だけ」と決めるための仕組みです。
2. 「中にいるから信用」をやめる（Zero Trust）
Section titled “2. 「中にいるから信用」をやめる（Zero Trust）”昔の店では、裏口から一度入れた人はもう身内として扱われました。中にいるという理由だけで、どの部屋も自由に歩けたわけです。
Cloudflare の考え方はこれと逆で、Zero Trust と呼ばれます。公式は Zero Trust を、最小権限の原則を軸に設計された安全の考え方だと説明しています。脅威は外にも内にも存在しうると考えるため、すべての要求は許可の前に、身元と状況にもとづいて認証・認可されます。
Access は、この考え方に沿った製品群のひとつです。公式は、その土台を Cloudflare One と呼び、Access のほかに Cloudflare Tunnel なども含むと説明しています。
一度通した人にも、次の扉の前でもう一度身分を尋ねています。中にいることは通行証になりません。
つまり、Zero Trust は「一度きりの信用」をやめ、要求のたびに確かめる考え方です。
3. 部屋とルールと警備員（application と policy）
Section titled “3. 部屋とルールと警備員（application と policy）”部屋を作っただけでは足りません。どの部屋を守るかを届け出て、誰を入れるかを紙に書き、その紙を警備員に渡します。
Cloudflare では、守る対象の届け出を application（部屋の登録）、入室のルールを policy（ルールの紙）と呼びます。公式は、Cloudflare Access は設定した Access policy を当てはめることで、誰がアプリケーションに到達できるかを決めると説明しています。
大事なのは既定の向きです。公式は、Access application はすべて deny by default（既定で拒否）であり、利用者は Allow policy に一致して初めて許可されると述べています。紙を渡し忘れた部屋は、開きっぱなしではなく閉じたままになります。
扉の横に警備員が立ち、手には一枚の紙があります。紙に書かれた条件に合う人だけが通ります。
つまり、部屋の登録とルールの紙は別々で、紙が無ければ誰も入れません。
4. どこで確かめるか
Section titled “4. どこで確かめるか”警備員が立つ場所は、部屋の扉の前ではありません。店の入口、つまりお客さんが最初に着く窓口です。
公式は Access を、利用者と origin server（オリジンサーバー＝本社にあたるもともとの置き場）の間に置く認証の層だと説明しています。確かめは Cloudflare の窓口で終わるので、条件に合わない用件は本社まで運ばれません。
実物では、未確認の人には Cloudflare のログイン画面が返ります。本社はその要求を受け取りません。
窓口で止められた人の用件票は、本社へ運ばれません。通った人の分だけが奥へ進みます。
つまり、確かめは窓口で完結し、本社の負担にも危険にもなりません。
Cloudflare Lab での使われ方
Section titled “Cloudflare Lab での使われ方”ここで紹介した部屋が、いま読んでいる Cloudflare Lab でどう使われるかを見ます。
Cloudflare Lab は Phase 2 で、検証の記録を見る管理ページを部屋として登録する予定です。準備として、公式の手順にある Zero Trust organization（Zero Trust の組織）を作り、team name（組織の呼び名）を決めます。Zero Trust Free plan を選んだ場合、料金は発生しません。
ただし部屋にできるのは、Cloudflare が電話帳を預かっているドメイン（有効な zone に属するもの）だけです。実測は実装後に追記します。
つまずきやすいところ
Section titled “つまずきやすいところ”この節のまとめ
Section titled “この節のまとめ”- Cloudflare Access は、住所を指定して関係者だけの部屋にする仕組みです。
- Zero Trust は、中にいることを信用の理由にせず、要求のたびに確かめる考え方です。
- 確かめは Cloudflare の窓口で行われ、条件に合わない用件は本社に届きません。
この節で出てきた言葉を、つながりの順に並べると次のようになります。
図のラベル: 毎回確かめる考え方 Zero Trust / 関係者専用の部屋 Cloudflare Access / どの住所を守るか application / 誰を入れるかの紙 policy / 既定は拒否 deny by default / 窓口で確かめて 本社には通さない
次の節では、守りたい住所を部屋として登録します。
この節のチェック
© 2026 osdse