Cloudflareは、Cloudflare GatewayおよびData Loss PreventionをエッジコンピューティングプラットフォームCloudflare Workersと統合すると発表しました。これにより、安全なウェブゲートウェイは、許可、ブロック、隔離といった固定的な判断モデルから、セキュリティポリシー評価の経路そのものでカスタムコードを実行するモデルへと移行します。
この統合はZero Trustプランで利用でき、GatewayポリシーからWorkerを呼び出すための主な経路を2つ提供します。1つはForwardという新しいアクションで、現在パブリックベータとして利用可能です。もう1つはCustom Functionsで、2026年末までに提供される予定です。
リクエストの転送またはカスタムロジックの実行
Forwardアクションは、ポリシーに一致したリクエストのインラインプロキシとして機能します。WorkerはHTTPリクエストのヘッダーと本文を受け取り、オリジンサービスへ送信する前にそれらを変更できます。その後、レスポンスを変更してユーザーに返すこともできます。一方、GatewayはTCP接続、TLS終端と再暗号化、証明書管理、HTTPバージョンのネゴシエーションを担うため、Workerは転送ロジックだけを担当します。
Forwardは、リクエスト経路を中断せずに副次的な処理を実行するためにも利用できます。たとえば、SlackやPagerDutyへのアラート送信、R2へのデータ記録、Webhookの呼び出し、KVストアの更新などです。Cloudflareによると、Workerの呼び出しはGatewayを実行しているものと同じインフラ上で行われ、トラフィックを別のネットワーク経由で転送する必要がないローカル呼び出しによって実行されます。
一方、Custom Functionsはポリシー評価中にWorkerを呼び出し、文字列、数値、またはブール値を返します。この値はHTTPポリシーまたはネットワークポリシーのセレクターとして使用できます。Workerは、ポリシーの段階に応じて、送信元IPアドレス、ユーザーID、デバイスの状態、HTTPヘッダー、接続データを含むコンテキストを受け取れます。
利用例
Cloudflareは、カスタム関数でJWTクレームを読み取り、ユーザーの役割またはグループを抽出し、その結果を使ってアクセスを許可したり、オリジンサービスへ向かうリクエストにX-App-Roleなどのヘッダーを追加したりできると説明しています。また、ユーザーに機密性の高い宛先へのアクセス理由を求めるインターセプトページを構築し、セッションをKVに、監査ログをD1またはHyperdrive経由の内部データベースに保存することもできます。
その他の用途には、外部のサンドボックスサービスを通じたファイル検査、DLPルールに一致した際のリアルタイムアラート送信、複数の内部ソースに基づくリスク計算の実行などがあります。Cloudflareは両方の経路を明確に区別しています。Custom Functionsは高速で限定的かつステートレスな評価に適している一方、Forwardはライブリクエストの転送とリクエストおよびレスポンスの処理を対象としています。
DLP機能の拡張
Cloudflareは、DLP向けのカスタム検証関数も提供すると発表しました。これらの関数により、顧客は独自の信頼できる情報源を使って検出結果を検証してから、適用措置を決定できます。たとえば、検出されたGitHubキーが実際に有効かどうかを確認し、秘密情報やトークンに似たパターンとの一致だけに依存しないようにできます。
検証関数はデータの一部と一致箇所を受け取り、その後、外部APIを呼び出して、一致度や拒否判断を含む結果を返すことができます。これにより、機密性の高いパターンが存在することと、特定のケースが実際の漏えいまたは不正利用を表していることを区別できるようになります。
実際に何が変わるのか
Cloudflareは、JWTクレームの読み取りやヘッダーの変更だけを目的としてセキュリティチームが運用するNGINXグループなど、中間インフラの必要性を減らそうとしています。しかし、新たな柔軟性により、責任の一部は顧客のコードに移ります。Forwardを利用するアプリケーションはユーザー体験に悪影響を与えないよう慎重に設計する必要があり、Custom Functionの失敗や実行タイムアウトについても、あらかじめフォールバック動作を定める必要があります。
Workersへ転送されたトラフィックは、通常のWorkersリクエストとしてカウントされます。これらの関数はWorkers Free、Workers Paid、Workers for Enterpriseで動作しますが、無料プランには実行時間と1日あたりのリクエスト数に制限があります。Cloudflareによると、両方の経路はすべての顧客に対して、すべてのプラン種別で一般提供される予定です。また、Cloudflare Oneスイート内の統合ポイントを拡大する計画で、次の段階としてEmail Securityを予定しています。