CloudflareZeroTrust on 屑籠というかゴミ箱

Paperless-ngxを追加

Sat, 18 Apr 2026 19:42:34 +0900

経緯

最近自宅のサーバのスペックが上がってCPUとかメモリとかかなり遊んでいるので自宅ホストのサービスを増やしちゃお、ってことでこれまでドキュメントスキャナでPDF化だけしてHDDに眠っていた書類たちをPaperless-ngxにまとめてみることにした。

Paperless-ngx使えなさそうでもHDD管理に戻るだけなのでひとまず試してみるということで構築

構成

今回もRHEL10のサーバを使ってPodman ＆ docker-composeをsystemdで管理する構成で。
wallabagも同様だったので同じ仮想マシンで動かす構成。

外部公開はいつも通りCloudflare Tunnel＆Access

追加設定

基本的には標準のcompose.ymlファイル構成で、追加の設定として

NASをマウントしてmediaディレクトリとして使用する場合Sambaだと難しそう（Podmanのrootlessの運用と相性が悪い感じ）

NFSであれば問題ないのでNFSで
environmentに"PAPERLESS_CONSUMER_POLLING: 10"、“PAPERLESS_DATE_ORDER: YMD"あたりは設定しておく必要がありそう

PAPERLESS_DATE_ORDERは指定しないと日付の推測をdd/mm/yyyyでやってしまうので日本語と相性が相当に悪い
ログイン失敗のログを出力しようとすると"PAPERLESS_LOGGING"で色々設定しないとダメそう

という感じ。

Cloudflare Tunnelの設定注意点

アプリでServiceTokenで認可させようとする場合/api/*以下をServiceTokenで、/をIdPで認証させようとした場合色々うまくいかない。（/api/以下をwebアクセス時も使っているみたい）
なので、api用にサブドメインでアクセスできるようにしてWebアクセス用とAPIアクセス用でアクセスする名前を変えてWebアクセス用の名前のAccess設定をIdP、APIアクセス用の名前をServiceTokenで設定する。

Navidromeの構築メモ

Sat, 07 Feb 2026 19:12:40 +0900

段階的に構築進める想定なのでちょっとずつメモ増やしていく予定

Navidrome

[www.navidrome.org](https://www.navidrome.org/)

SubsonicAPI対応の音楽ストリーミングサーバ。

同種のソフトを比較しているところでサーバのリソース消費がかなり少ないという評価だったので選択。

[yamanekovillage.com](https://yamanekovillage.com/articles/selfhosted_navidrome/)

最初のファイルスキャン中は結構激しく動いている感じだったけどその後はおとなしいので、録画サーバからほぼ単純NASになってリソースがあまり気味のサーバで動かすことにした。

スマホのストレージを節約しつつ大量の音楽を聴けるようにしようとするとSpotifyとか使うかセフルホストのミュージックサーバ立てるかなんだけど、セルフホストのミュージックサーバてててみることにした。
ブラウザから再生するときもリプレイゲインを有効に出来るので良い。
リプレイゲインが有効なプレーヤーが必須なので個人的にはこの機能がかなり大きい。

スマホからの再生に関してはこれまでPowerAmpを使っていたんだけど、そのままでは連係に使えなさそうなのでクライアントはSymphoniumあたりを検討中。
外からの接続に関してはCloudflare Tunnel経由を想定しているけどうまく連係出来るかな？

last.fmとの連係

last.fmやListenBrainzとの連係も可能。

last.fmと連携する場合はAPIキーを発行して有効にする必要がある。

[www.navidrome.org](https://www.navidrome.org/docs/usage/integration/external-services/)

dockerで立てる場合は

ND_LASTFM_ENABLED
ND_LASTFM_APIKEY
ND_LASTFM_SECRET

を指定する必要がある。
APIKEYとSECRETはlast.fmで登録したら発行される。

指定してNavidromeの管理者から個人設定で「Last.fmへscrobbleする」が有効になっているので、これをONにしてlast.fmの接続確認が出るのでOKすれば完了。
last.fmの設定→Applicationsに登録した名称のアプリケーションがConnected Applicationsに登録されていればOK

各種Configはここを確認

[www.navidrome.org](https://www.navidrome.org/docs/usage/configuration/options/#configuration-file)

last.fmのAPI Keyの詳細、あとから見たい場合はここから見られるみたい
https://www.last.fm/api/accounts

外部アクセス

家の外からのアクセスについてはCloudflare Tunnel経由でAccess認証通してつながるようにしたい。
ということでサクッとnavidrome.ドメイン名という感じのサブドメイン定義してAccess設定をして、Tunnelに先程のサブドメインとローカルのNavidromeアドレスを割り当てて公開。
前やってしまったけど、Access設定する前にTunnelで割り当ててしまうとAccess設定するまでアクセスし放題になるので要注意。

~~※ Cloudflare Tunnel経由でSymphoniumでアクセスしようとするとうまくいかないどうもバグっぽいことがフォーラムに記載があるけどどうなんだろ~~

SymphoniumのCloudflare Tunnelとの連係について

Symphoniumのメディアプロバイダ設定でSubsonicのプロキシ認証設定にカスタムヘッダのCF-Access-Client-Id、CF-Access-Client-Secretを設定する必要がある。
これはCloudflare Zero Trust、というかCloudflare Accessでサービストークンを発行して、そのクライアントID、クライアントシークレットを設定する形になる。

設定順としては

サービストークンの発行（サービス資格情報からサービストークンを作成）
Accessのアプリケーション設定でアクセスポリシーの先頭に新規ポリシーを追加（Service Auth設定でポリシーを作成して、先程作ったService Tokenをルールに設定）

これを行ったうえで、symphoniumのプロキシ認証でカスタムヘッダにCF-Access-Client-Id、CF-Access-Client-Secretを指定。値はCloudflare Accessでトークン発行したときの値を設定
こんな感じ

カスタムヘッダーの設定

これで外からSymphoniumでアクセス出来た。
課題としては屋内からでもTunnel経由になってしまうのでLAN内で完結しなくなること。
そろそろちゃんと家庭内DNS整備してフォールバックするような環境が必要か？
→ 「優先する接続」をローカルのIPアドレスに、予備の接続をパブリックなドメイン接続に設定しておけば良さそうなのでスマホはそういう設定にしようかと思っている。今のところ家の中のタブレットだけ設定しているから影響がわからん

Cloudflare ZeroTrustのTunnelとかAccessを使ったセルフホストサービスの公開とEntraID連携

Sat, 27 Sep 2025 20:39:21 +0900

やったこと

Cloudflare ZeroTrustの機能を使って、自宅サーバのEPGStationとOpenobserveを外から確認できるように設定しました。

機能的にはTunnelを使ってドメインにプライベートネットワーク内のサービスを紐づけ、インバウンドのFW公開設定をせずにインターネット上に公開しつつ認証にはEntraIDのパスキーを使用して認可はCloudflare Accessで行うという感じ。

認証にパスキー使えるのは便利で良いです。

設定について

前提としては個人のドメインを持っていること、AzureというかEntraIDを使えるようにしていること。あとはCloudflare ZeroTrust自体は使っていること。
Tunnel自体も既に構築済みの前提です。
あとはDNSもCloudflare使っている想定で。

EntraIDの連携

CloudflareZero Trustは各種IdPに対応していますがAzureの勉強をしようと思ってEntraID連携に決めました。

まだAzure ADとなっていますがEntraIDに名称変更になって既に数年経っている気がする。
参考にした情報はCloudflareZeroTrustの設定ページにかかれていたので基本はそこを見て設定しました。
日本語の参考情報としてはこちら

[www.sataku.jp](https://www.sataku.jp/blogs/20240418_cloudflare_with_azuread)

かなり詳しく記載されているのでこちらを参照すると良いと思います。以降は記事が消えたとき用の自分の備忘録です。

EntraID側の設定

AzureにアクセスしてMicrosoft EntraIDを選択、メニューに「エンタープライズアプリケーション」があるのでこれを選択。
メニューから「新しいアプリケーション」をクリックして作成します。
前述のページに記載がありましたが、テンプレートは使わず個別に設定していきます。
メニューから「独自のアプリケーションの作成」を選択して「アプリケーションを登録してMicrosoft Entra IDと統合します」を選択して作成します。

アプリケーションの登録

アプリケーションの登録を行います。
EntraIDのメニューに「アプリの登録」がありますのでここから登録します。
「新規登録」をクリックしてアプリケーション登録を進めます。

リダイレクト先は

1

https://<Zero Trustのチーム名>.cloudflareaccess.com/cdn-cgi/access/callback

アカウントは個人利用ならシングルテナントで十分なはず。

アプリのシークレットの確認

登録したアプリケーションの各IDとクライアントシークレットの作成をします。
クライアントシークレットは作成後確認するすべがなさそうなので、作成時に控える必要があります。
控え忘れた場合は再作成できるのでそこまで問題はないですが。

EntraIDのページメニューから「アプリの登録」を選択します。
そのままだと表示されないので、「ディレクトリ内のすべてのアプリケーションを表示」のボタンを押すと先程作成したアプリが表示されますのでこれを選択します。
選択するといくつかのIDが表示されますので控えます。

アプリケーションID
オブジェクトID
ディレクトリID

また、クライアントの資格情報をクリックしてシークレットを作成します。
ここで注意なのは、作成したクライアントシークレットの値は作成後マスクされるので控えておく必要があります。
控えずに先に進んで作り直しました…

APIアクセスの権限

EntraID→「アプリの登録」→「アプリ名」を選択後、メニューにある「APIのアクセス許可」を選択してアクセス権を付与します。
必要な権限はCloudflare ZeroTrustの設定ページに記載の通りですが

email
offline_access
openid
profile
User.Read
Directory.Read.All
GroupMember.Read.All

をチェックして登録します。
これでEntraID側の設定は完了。

Cloudflare ZeroTrust側の設定

結構頻繁に画面変わるので参考程度に。
「設定」→「認証」→ ログイン方法を「新規追加」→「Azure AD」を選択

アプリケーションID
アプリケーションシークレット
ディレクトリID

は先程控えた値を貼り付けます。
オプションは「サポートグループ」のみONにしました。
SCIMはEntraID Freeだと使えないのでOFFです。

ここまで設定して「テスト」ボタンを押すとうまく行けば以下のような画面になります。

うまくいかない場合はエラーでますので設定を見直してください。

Cloudflare Accessの設定

Warpのログイン設定や外部アクセス設定などはAccessの設定で行います。
Access→「ルールグループ」を選択して新しいグループを追加します。これまで使用していたルールに新規に追加する場合はそちらを選択してORでルールを追加してください。

ルールのセレクターに「Azure Groups」を選択して値を登録しますが、SCIM使用していないため選択できません。
ただし、この値を選択した状態でペーストすると値を貼り付け出来てリストに表示出来ますので先程控えたオブジェクトIDをペーストします。

tunnelの設定

ネットワーク→「Tunnels」→ 使用するトンネルを選択→「公開されたアプリケーションルート」タブを選んで
「公開されたアプリケーションルートを追加する」

基本的にはアプリケーションごとにサブドメインつけて設定しています。
※ ここでTunnelで設定するとCloudflareのDNS設定が自動で付与されて公開されてしまうので、Accessを先に設定したほうが良いと思います。

Accessの設定（アプリケーション）

Access→「アプリケーション」でアプリケーーションを追加する→「セルフホスト」

各種設定を行いますが「Accessポリシー」のところがアクセス条件です。
Access→「ポリシー」で設定したアクセスポリシーを設定します。

私はWarpプロキシを経由したうえでAzureAD認証しないとアクセス出来ないように設定しました。

以上で設定完了です。
動作確認としてWarpをバイパスしたらログインできなくなるところとかをチェックして完了。

注意事項

EntraIDのパスキーはMSのAuthenticaterアプリのパスキーしか駄目みたいなので注意。
あと認証情報とか残っているとうまくログイン出来ないケースがあるので、うまく認証出来ない場合はブラウザのシークレットモードで試してみると良いかも

Cloudflare ZeroTrustをAndroidでまともに使う

Sat, 09 Aug 2025 19:13:23 +0900

Cloudflare ZeroTrustをAndroidで使うときの課題

Cloudflare ZeroTrustをAndroidで使おうとすると、CloudflareのCA証明書を多くのアプリケーションが使ってくれないのでTLS復号→再暗号化による影響で証明書エラーで通信失敗扱いになる問題がある。
Androidの確かバージョン7以降くらいから、rootをとらないとシステム全体で使用するCA証明書をユーザーが登録できなくなっていて一部のアプリからしか利用されなくなっていてダメみたい。iPadOSだと特に問題なかったんだけどAndroidだとこれが問題になる。

方針の検討

TLS復号をZero TrustのオプションでOFFにすると正常に通信できることは確認しているけど、いつも使っているWindowsのPCからはちゃんとTLSインスペクションしてほしい、ということでAndroidのときだけTLS復号をバイパス出来ないか検討。
TLS復号しないとGatewayのチェックがほぼ有効にならないし、最近の通信はほぼhttpsなので使えないAndroid以外はちゃんとチェックするようにしたいというのが要件。

Gatewayの設定条件に「デバイスポスチャチェック」があるので、これを利用してWarp（Cloudflare One）アプリのデバイスチェックでAndroidかどうかをチェックするようにしてみた。

設定方法

設定→WARPクライアント→WARPクライアントチェック

に新規追加して「OS Version」を選択。Androidのバージョンを低めに指定してGreater than 7.0.0とかに設定。7とか7.0だとルールに合致しないと登録できなかったので3桁必要っぽい。ドキュメントを読もう

ここで設定したポスチャチェックの名前がGatewayのデバイスポスチャチェックの値リストにでてくるので、これを指定してGatewayのフィルタを作成する

デバイスポスチャチェックのOK/NGはLogsのポスチャに表示されるので、設定が正しいかはここで確認。
AndroidのCloudflare Oneの詳細設定からもポスチャでの検出内容が確認できるのでそちらでもチェックは可能。どうも5分毎にチェックしているっぽい？

この条件でZero TrustをAndroidでONにしてエラーなく通信できることを確認できた。

Cloudflare Zero Trustの導入

Tue, 20 Dec 2022 01:29:19 +0900

きっかけ

Twitterで以下のツイートを見て、Yubikeyほしぃ…ということでCloudflare Zero Trustを試してみることに。

Cloudflareユーザ限定、Yubikey 5 NFCを特別価格10ドルで購入できるキャンペーンは2022年12月31日まで。自分の手元には今日届いた。Cloudflareは無料でアカウント作れるし、届いたYubikeyはCloudflare以外のサービスにも使えるよ。 / “Cloudflare Zero TrustとYubicoでシー…” https://t.co/u34qDeWBA2

— 年末u (@matsuu) 2022年11月15日

ちょっとずつ試しているので、追記していく
試した端末は

Windows10
iPadOS
Android
Linux(Ubuntu)

Cloudflare Zero Trustとはなにか？

Cloudflareが提供するゼロトラスト実現のための環境郡という言い方がいいのか、いわゆるゼロトラストソリューション。

ZTA、ZTNAって差がわかりにくいけどCloudflareのはZTNAベースかな

[www.cloudflare.com](https://www.cloudflare.com/ja-jp/products/zero-trust/)

機能群としては

DNSフィルタ
クラウドProxy
クラウドFW
ネットワークコネクタ

あたりがメイン機能っぽい感じだけど、説明見るとCASBとかの機能もありそう。
このあたりの基本機能が、なんとFreeプランで大体使えるという太っ腹戦略なので個人で試してみるのにも良さそうということで登録。

Cloudflare登録している人はダッシュボードからZeroTrustを選択して進む。残念ながら英語のみっぽいけど下手な日本語にされるよりよっぽどマシ。

Cloudflare Zero Trust

ダッシュボードにやることが出ているはずなので読んでいけばいいけどマニュアルはこれ

Access Groupsにユーザとして登録するメールアドレスを含めるように作成
Cloudflareのルート証明書をインストール
Warpアプリをインストール
最初に登録したメールアドレスでログイン

と言った感じで進める。特に何も指定しないとメール宛にワンタイムコードが送られてくるので、それでログインするとTLSでCloudflareと接続しトンネルを使って各種サービスにアクセスする…という流れ
ログインに関しては各種サービスと連携もできるし、AzureADとの連携が一番良さそうな感じ

使ったときに遭遇した問題

Androidで何故か証明書入れなくても動いた。でも再ログインしたら全くダメに

これについては原因が大体わかっていて、AndroidのアプリケーションはCA証明書をどのように使うか指定する必要があって、おそらく殆どのアプリがシステムにデフォルトで入っている証明書のみを利用している。なので、証明書エラーでほとんどのアプリがまともに使えなくて諦めた。

まともに使えたのChromeくらいかな

iOSはほぼ問題無しに使えている

問題が出たのはウマ娘くらい？ CloudflareZeroTrustはIPが北アメリカのものになるのでこれが原因で弾かれていそう
SplitTunnel通してもいいかなと思ったけど、iOS、AndroidはSplitTunnelのドメイン指定でサブドメインの指定が出来ない（反映されない）みたいなのでまともに運用できずってことでここだけ課題か

Windowsは本当に問題に遭遇してい…Zwiftだけ駄目だったわ。
ZwiftはGatewayのフィルタに*.zwift.comをDo Not Inspectで指定してやったら通るようになったので、もしかしたらこれも証明書エラーかな？
あと、ウマ娘と同じ原因っぽいのがサーバから応答が帰ってこないケースがあっておそらくIPアドレスで弾かれているのだと思われるページがいくつかあったのでそこは課題。
対象のページをNot InspectにしてもProxy自体は通ってるからIPアドレスは変わらないんだよなー