第 10 章 アカウントの保護
Phase 3 からは、店を守る話に入ります。ところが守りを足す前に、順番として先に片付けることがあります。守りの設定そのものを、いつでも外せる人がいるからです。
その人とは、Cloudflare にログインできる本人です。いま読んでいるこのサイト（Cloudflare Lab）も、検問や整理券をいくら足したところで、ログインの権限が緩ければ数回の操作で全部外されます。この章では、店主の権限そのものを守る三つの手立て（合言葉・用途を絞った合鍵・日誌）を扱います。
Learning goals
この節でできるようになること
- 店の守りより先にアカウントを守る理由を説明できる
- 2FA の方式を三つ挙げ、設定の経路を言える
- Global API key を避け、API token を用途ごとに切れる
- Audit Logs で誰が何を変えたかを追える
10-1 店主の権限が一番大事
入口の錠前をいくつ足しても、店主の鍵を拾われれば全部外されます。 守る順番は、店の設定より店主の権限が先です。 守る対象は鍵・郵便受け・合鍵・在室札の四つです。 公式には守り方の項目が一覧で並んでいます。 疑わしいことが起きたときの手順も決まっています。 この節のゴールは、なぜアカウントが先なのかを言えることです。
10-2 鍵と合言葉（2FA）
鍵は落とせば拾った人が使えます。 そこで、その場でしか手に入らない合言葉をもう一段足します。 届き方は、携帯のアプリ・手元の器具・郵便受けの三通りです。 設定は店ぜんたいの画面ではなく、店主自身の画面の Authentication です。 端末を失くしたときのために、使い捨ての予備が配られます。 この節のゴールは、方式を三つ挙げて経路を言えることです。
10-3 用途を絞った合鍵（API token）
道具や外注先に全部開くマスターキーを渡すのは危険です。 用途を絞った合鍵なら、落としても被害はその範囲で止まります。 合鍵は「許す操作」と「開ける場所」を選んでから作ります。 人の名義で作る合鍵と、店の名義で作る合鍵があります。 どちらを使うかは、その仕組みを何年動かすかで決まります。 この節のゴールは、合鍵を用途ごとに切れるようになることです。
10-4 誰が何を変えたかの日誌（Audit logs）
合言葉と合鍵を整えても、変更が起きたことには気づけません。 Cloudflare は、行われた変更を頼まなくても日誌に残します。 一行には、誰が・何を・どの対象に・いつ、が並びます。 日誌は店主自身のものではなく、店ぜんたいのものです。 遡れる期間には限りがあるので、決めた日に見るほうが確実です。 この節のゴールは、日誌を開いて見覚えのない行を探せることです。
© 2026 osdse