添加基础设施应用程序

1. 在 Cloudflare 仪表板 ↗中，前往 Zero Trust > Access controls（访问控制） > Targets。
2. 选择 Add a target（添加目标）。
3. 在 Target hostname 中，为目标输入一个便于识别的名称。我们建议使用服务器主机名，例如 production-server。目标主机名不需要唯一，可以在多个目标中重复使用。主机名用于定义 Access 应用程序保护的目标；它们不用于 DNS 地址解析。

   主机名格式限制

   • 不区分大小写
   • 不超过 253 个字符
   • 仅包含字母数字字符、- 或 .（不允许空格）
   • 以字母数字字符开头和结尾
4. 在 IP addresses 中，输入目标资源的 IPv4 和/或 IPv6 地址。只有输入完整 IP 地址后，下拉菜单才会显示内容。

5. 在下拉菜单中，选择资源所在的 IP 地址和虚拟网络。此 IP 地址和虚拟网络配对现已分配给此目标，出于设计考虑，不能在另一个目标中重复使用。
6. 选择 Add target（添加目标）。

向 Infrastructure Access Targets 端点发出 POST 请求：

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/infrastructure/targets" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"hostname": "infra-access-target",
		"ip": {
				"ipv4": {
						"ip_addr": "187.26.29.249",
						"virtual_network_id": "c77b744e-acc8-428f-9257-6878c046ed55"
				},
				"ipv6": {
						"ip_addr": "64c0:64e8:f0b4:8dbf:7104:72b0:ec8f:f5e0",
						"virtual_network_id": "c77b744e-acc8-428f-9257-6878c046ed55"
				}
		}
	}'

1. 向您的 cloudflare_api_token ↗ 添加以下权限：

   • Zero Trust Write

2. 配置 cloudflare_zero_trust_infrastructure_access_target ↗ 资源：

   resource "cloudflare_zero_trust_infrastructure_access_target" "infra-ssh-target" {
   	account_id = var.cloudflare_account_id
   		hostname   = "infra-access-target"
   		ip = {
   			ipv4 = {
   				ip_addr = "187.26.29.249"
   				virtual_network_id = "c77b744e-acc8-428f-9257-6878c046ed55"
   			}
   			ipv6 = {
   				ip_addr = "64c0:64e8:f0b4:8dbf:7104:72b0:ec8f:f5e0"
   				virtual_network_id = "c77b744e-acc8-428f-9257-6878c046ed55"
   			}
   		}
   }

1. 在 Cloudflare 仪表板 ↗中，前往 Zero Trust > Access controls（访问控制） > Applications（应用程序）。

2. 选择 Create new application（创建新应用程序）。

3. 选择 Infrastructure（基础设施）。

4. 为该应用程序输入任意名称。

5. 在 Target criteria 中，选择您要保护的目标主机名。此应用程序定义将适用于所有共享所选主机名的目标，包括未来添加的任何目标。同样，如果您之后决定更改某个目标的主机名，重命名后的目标将不再受此应用程序保护。

6. 输入用于连接服务器的 Protocol 和 Port。

7. （可选）如果某个协议运行在多个端口上，请选择 Add new target criteria（添加新的目标条件），并使用不同的端口号重新配置相同的目标主机名和协议。

8. 选择 Next（下一步）。

9. 要保护您的目标，请配置一个策略来定义谁可以连接以及如何连接：

   1. 为您的策略输入任意名称。

   2. 创建一个规则，匹配允许访问目标的用户。有关更多信息，请参阅 Access 策略并查看基础设施策略选择器列表。

   3. 在 Connection context 中，配置以下设置：

      • SSH user（SSH 用户）：输入用户可以登录的 UNIX 用户名（例如 root 或 ec2-user）。
      • Allow users to log in as their email alias：（可选）选中后，匹配您策略定义的用户将能够使用其小写电子邮件地址前缀访问目标。例如，[email protected] 可以以 jdoe 身份登录。

10. 选择 Add application（添加应用程序）。

向 Access applications 端点发出 POST 请求：

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Example infrastructure app",
		"type": "infrastructure",
		"target_criteria": [
				{
						"target_attributes": {
								"hostname": [
										"infra-access-target"
								]
						},
						"port": 22,
						"protocol": "SSH"
				}
		],
		"policies": [
				{
						"name": "Allow a specific email",
						"decision": "allow",
						"include": [
								{
										"email": {
												"email": "[email protected]"
										}
								}
						],
						"connection_rules": {
								"ssh": {
										"usernames": [
												"root",
												"ec2-user"
										]
								}
						}
				}
		]
	}'

1. 向您的 cloudflare_api_token ↗ 添加以下权限：

   • Access: Apps and Policies Write

2. 使用 cloudflare_zero_trust_access_application ↗ 资源创建基础设施应用程序：

   resource "cloudflare_zero_trust_access_application" "infra-app" {
   	account_id = var.cloudflare_account_id
   	name       = "Example infrastructure app"
   	type       = "infrastructure"
   
   	target_criteria {
   		port     = 22
   		protocol = "SSH"
   		target_attributes {
   			name = "hostname"
   			values = ["infra-access-target"]
   		}
   	}
   }

3. 使用 cloudflare_zero_trust_access_policy ↗ 资源向应用程序添加基础设施策略：

   resource "cloudflare_zero_trust_access_policy" "infra-app-policy" {
   	application_id = cloudflare_zero_trust_access_application.infra-app.id
   	account_id = var.cloudflare_account_id
   	name       = "Allow a specific email"
   	decision   = "allow"
   	precedence = 1
   
   	include {
   		email = ["[email protected]"]
   	}
   
   	connection_rules {
   		ssh {
   			usernames = ["root", "ec2-user"]
   		}
   	}
   }