Cloudflare Zero Trust の運用統制 2 件: SSH のセッション期限と、Audit Logs の閲覧記録
Access の Infrastructure アプリで SSH 接続のセッション期限を決められるようになり（既定 24 時間）、Audit Logs v2 は GET に当たる閲覧操作（view）も記録するようになった。
どんなときに使う？
- Cloudflare 経由の SSH 接続が何日も張りっぱなしになるのを止めたいとき
- インシデント調査で「誰が設定を見たか」まで追いたいとき
SSH: Infrastructure アプリのセッション期限
- ダッシュボードか API で、Infrastructure アプリの作成・編集時にセッション期限を設定する。既定は 24 時間
- 期限が来ると、そのアプリ経由の SSH 接続は切れ、ユーザーは接続し直す
- 1 つのターゲットが複数の Infrastructure アプリに一致する場合は、最も短い期限 が使われる
- これまでは期限がなく、24 時間を超えて続くこともあったが、Gateway の接続制限のため 10 時間を超える接続は保証されていなかった
長時間のバッチを SSH 越しに流している場合は、期限で切れても困らないように tmux などで切り離しておく。
Audit Logs v2: view アクションの記録
- 対応しているエンドポイントへの
GETがviewアクションとして記録される - ダッシュボードでは、ノイズを減らすため既定で
viewを除外している。「Action type is not view」のフィルタを外すと表示され、Action type をviewにすると閲覧だけを見られる - API と Logpush では、ダッシュボードのフィルタに関係なく常に取得できる
GET は件数が多いので、API や Logpush で受け取るときは必要なアクションだけに絞る（Cloudflare Logpush Transformers: SQL でログを絞る・伏せる・形を変えてから送る と組み合わせられる）。
注意点
- セッション期限を短くしすぎると、ポートフォワードや長いデプロイが途中で切れる
viewの記録は「対応しているエンドポイント」だけ。全 API が対象とは限らない