Cloudflare, her Worker düzeyinde erişim kontrollerini kullanıma sunduğunu duyurdu. Böylece bir kullanıcıya, aracı yazılıma veya API belirtecine, hesaptaki diğer kaynaklara erişmeden belirli bir uygulamayla işlem yapma izni verilebiliyor. Bu adımla geliştirici platformu için uygulamayı izleme, içeriğini okuma ve değiştirme ya da tamamen yönetme arasındaki ayrımı sağlamak üzere tasarlanmış dört yeni rol geliyor.
Kontroller, 15 Eylül 2026 itibarıyla tüm müşteriler için kullanılabilir olacak ve Cloudflare kontrol paneli, API veya Terraform üzerinden yapılandırılabilecek. Ayrıca tek bir kullanıcıya veya tüm grup üyelerinin aynı politikayı devralacağı bir User Group’a uygulanabilecek.
Dört izin düzeyi
- Metadata Read-Only: Ürün içeriğine veya koda erişmeden kaynak listelerine, ayarlarına ve metrikler, günlükler ve izleme izleri gibi izleme verilerine bakılmasını sağlar. Kaynak kodun okunmasının gerekmediği hata araştırmaları için uygundur.
- Content Read-Only: Worker kodu veya D1 veritabanı içeriği gibi ürün içeriğinin okunmasını sağlar; ancak değişiklik yapılmasına veya değişikliklerin dağıtılmasına izin vermez.
- Editor: İçeriğin okunmasına ve yazılmasına, ayrıca ayarların güncellenmesine izin verir; ancak kaynakların oluşturulmasına veya silinmesine izin vermez. Cloudflare bunu belirli bir Worker’a değişiklik dağıtması gereken CI/CD sistemleri için uygun bir seçenek olarak sunuyor.
- Admin: Kaynağın oluşturulması, yeniden adlandırılması, silinmesi ve diğer kullanıcılara erişim verilmesi de dahil olmak üzere kaynak üzerinde tam denetim sağlar. Bu izin, hesabın tamamı yerine tek bir Worker ile sınırlandırılabilir.
Pratikte ne değişiyor?
Operasyon ekibi, bir mühendise veya aracı yazılıma kodu açığa çıkarmadan ayarları, metrikleri, günlükleri ve izleme izlerini incelemesi için Metadata Read-Only izni verebilir. Benzer şekilde bir kod inceleme aracı, kodu dağıtma veya uygulama ayarlarını değiştirme yetkisine sahip olmadan Content Read-Only kullanarak kodu inceleyebilir.
CI/CD akışlarında ise Editor rolüne sahip ve tek bir Worker ile sınırlandırılmış bir API belirteci oluşturulabilir. Akış yanlış yapılandırılır veya belirteç açığa çıkarsa, yetkisi hesabın diğer uygulamalarını değiştirmeden ya da Worker’ı silmeden yalnızca o uygulamaya değişiklik dağıtmakla sınırlı kalır. Cloudflare, bu izinlerin üç kapsam doğrultusunda uygulandığını belirtiyor: geliştirici platformunun tamamı, Workers gibi belirli bir ürün veya tek bir Worker gibi belirli bir kaynak.
Kapsam ve bağlantılarla ilgili önemli sınırlamalar
Bir Worker’a erişim, tek başına Route veya Custom Domain eklemek, bunları değiştirmek ya da silmek için yeterli değildir. Bu işlemler, Worker üzerinde Editor izninin yanı sıra bölgeye özel Workers Routes iznini gerektirir. Bu ayrım, alan adı ayarlarında daha geniş yetkiler vermeden trafiğin uygulamaya nasıl yönlendirileceğinin yönetilmesini sağlar.
Rota yapılandırıldıktan sonra CI/CD sistemi, dağıtım mevcut bağlantıyı değiştirmediği sürece yeni sürümleri dağıtmaya devam edebilir; alan adlarına, veritabanlarına veya bağlı depolama alanına erişim verilmesi gerekmez. Durable Objects da bunları çalıştıran Worker’ın izinlerine dayanır. Metadata Read-Only rolü bu nesnelerin metriklerine, günlüklerine ve izleme izlerine erişim sağlarken, içlerinde depolanan verilerin okunmasına izin vermez. Verileri sorgulayabilen ve değiştirebilen Data Studio’ya erişim için Editor rolü gerekir.
Hata mesajları ve eski sürümler
Cloudflare, işlemler reddedildiğinde API yanıtlarını güncelledi. Yanıtlar artık yalnızca genel 403 Forbidden hatasıyla sınırlı kalmıyor; gerekli izni belirleyen belgelere bir bağlantı da içeriyor. Bunun, kullanıcıların ve aracı yazılımların izinleri rastgele genişletmek yerine hassas biçimde yapılandırmasına yardımcı olması bekleniyor.
Şirket, Workers’a özel eski izinler yerine yeni rollere geçilmesini öneriyor; ancak bunların sonlandırılması için bir tarih açıklamadı ve mevcut atamalar, önceden bildirim yapılana kadar çalışmaya devam edecek. Cloudflare, aynı modeli D1, R2 ve KV dahil olmak üzere diğer ürünlere de genişletmeyi planlıyor. Böylece belirli bir veritabanına veya depolama alanına erişim sınırlandırılabilecek.
certi.news okuması
Buradaki asıl değişiklik yalnızca yeni bir yönetici rolünün eklenmesi değil; denetimin hesap veya ürün düzeyinden kaynak düzeyine taşınması ve izleme verileri, içerik ve yürütme arasında net bir ayrım oluşturulmasıdır. Bu, özellikle aracı yazılımlar veya otomatik dağıtım hatları kullanan ekipler için önemlidir; çünkü hata veya belirteç sızıntısı tek bir Worker ile sınırlandırılabilir. Buna karşılık rotaların ve alan adlarının yönetimi ayrı bir izin gerektirmeye devam ediyor. Ayrıca D1, R2 ve KV desteği hâlâ mevcut bir özellik olarak değil, sonraki bir plan olarak belirtiliyor. Eski izinlerin açıklanmış bir emeklilik tarihi olmadan devam etmesi ise kurumların politikalara kademeli olarak gözden geçirmesi gerekeceği, ani bir geçiş varsaymaması gerektiği anlamına geliyor.