9-3 誰を入れるか（policy と One-time PIN）
前の節で部屋を届け出ました。しかし、まだ誰も入れません。警備員に渡す紙が無いからです。
紙に書くことは二つです。「その人をどうするか」と「その人とは誰か」です。
いま読んでいるこのサイト（Cloudflare Lab）の場合、入れるのは作者だけです。会社の名簿のような仕組みは無いので、メールで届く合言葉を使います。
ここでは、行い、範囲の絞り方、合言葉、紙の順番の順に見ます。
Learning goals
この節でできるようになること
- 紙に書く四つの行いを言える
- 含める・加えて満たす・除くの違いを説明できる
- メールの合言葉で入る流れを説明できる
- 紙が読まれる順番を説明できる
1. 紙に書く行いは一つだけ（action）
Section titled “1. 紙に書く行いは一つだけ（action）”紙の一番上には、その人をどうするかを書きます。通す、止める、確かめずに素通りさせる、といった行いです。
Cloudflare では、この紙を policy と呼び、行いを action と呼びます。公式は行いを四つ挙げています。Allow（条件に合う人を通す）、Block（条件に合う人を止める）、Bypass（その通信の確かめをやめる）、Service Auth（人のログインを使わない確かめ）です。
公式は、一枚の紙に設定できる行いは一つだけだと述べています。
紙の上端に行いの札が一つだけ貼られています。二つは貼れません。
つまり、紙は「一つの行い＋その相手」という形をしています。
2. 誰を通すかを三段で絞る（Include・Require・Exclude）
Section titled “2. 誰を通すかを三段で絞る（Include・Require・Exclude）”「関係者」と一言で書いても警備員は判断できません。実際には「この会社のメールを持つ人」「ただし国内から来た人に限る」のように、段を重ねて絞ります。
Cloudflare では、この段を rule type と呼び、三つあります。Include は「または」で、複数書いた場合はどれか一つに当てはまれば足ります。Require は「かつ」で、書いたものをすべて満たす必要があります。Exclude は「ではない」で、当てはまる人は通りません。
何を見るかは Selectors で選びます。公式は例として、メールアドレス、末尾が一致するメール、国、IP の範囲などを挙げています。照合する値は Values に書きます。
公式は、すべての紙は Include を最低一つ含まなければならないと述べています。
紙は三段で、上の段でまず通す範囲を決め、下の二段で狭めます。
つまり、Include で広げ、Require と Exclude で狭めます。
3. メールの合言葉で入る
Section titled “3. メールの合言葉で入る”社員証を配る仕組みが無い小さな店では、身分の確認が悩みどころです。そこで、名乗り出た人のメールに一回きりの数字を送り、その数字を言えれば本人と見なします。
Cloudflare では、これを One-time PIN と呼びます。公式は、承認済みのメールアドレスへ一回きりの PIN を送る仕組みで、外部の identity provider（身元を証明する外部の仕組み）を組み込む代わりに使えると説明しています。
用意する経路は次のとおりです。設定した後は、通したい人のメールアドレスを紙に書き足すだけです。
利用者側の流れも簡単です。公式によれば、ログイン画面でメールアドレスを入れて Send login code を選び、届いた PIN を貼り付けて Sign in を選びます。この PIN は最初の要求から 10 分で期限切れになり、一回しか使えません。
メールに届いた数字をログイン画面に写すだけです。
つまり、One-time PIN は外部の名簿を持たない場合の確かめ方です。
4. 紙が読まれる順番（policy の評価順）
Section titled “4. 紙が読まれる順番（policy の評価順）”紙が複数あるときは、読む順番で結果が変わります。読む順番は決まっています。
公式は、Access の紙は行いの種類と、画面で並べた順に評価されると説明しています。まず Bypass と Service Auth の紙が上から順に読まれ、次に Block と Allow の紙が上から順に読まれます。利用者が Allow か Block に一致した時点で評価は止まり、後ろの紙はその判断を覆せません。
紙は使い回しできます。公式は、紙をいつでも作成・編集・削除でき、複数のアプリケーションで同じ紙を使い回せると説明しています。作る経路は次のとおりです。
名前・行い・Session duration・Rules を決めて保存します。保存の前に Policy tester の Test policies で試すこともできます。
紙は上から順に読まれ、条件に合う紙が見つかった所で読むのをやめます。
つまり、順番は結果の一部です。並べ方まで含めて設計します。
Cloudflare Lab での使われ方
Section titled “Cloudflare Lab での使われ方”ここで紹介した紙が、いま読んでいる Cloudflare Lab でどう使われるかを見ます。
Cloudflare Lab は Phase 2 で、Allow の紙を一枚だけ作り、Include に作者のメールアドレスを一つ書く予定です。確かめは One-time PIN で行います。実測は実装後に追記します。
つまずきやすいところ
Section titled “つまずきやすいところ”この節のまとめ
Section titled “この節のまとめ”- 紙には行いを一つだけ書きます（Allow・Block・Bypass・Service Auth）。
- 通る人は Include で広げ、Require と Exclude で狭めます。
- One-time PIN は、外部の名簿を持たない場合にメールで確かめる方法です。
この節で出てきた言葉を、つながりの順に並べると次のようになります。
図のラベル: 入室ルールの紙 policy / 行いを一つ選ぶ Allow / Block / 母集団を決める Include / 条件を足す・除く Require / Exclude / 何で見るか Selectors / メールの合言葉 One-time PIN / 上から順に読まれる 一致で評価が止まる
次の節では、通した人に付く入室証を確かめます。
この節のチェック
© 2026 osdse