Cloud Workload Security (CWS) 可帮助你防止云环境发生有风险的更改。在请求到达云服务提供商之前，对 API 请求应用策略控制。
使用 CWS 可以：
- 定义策略，以允许已批准的操作并阻止有风险的请求。
- 检查请求内容，包括参数和请求正文中的字段。
- 在策略覆盖的云资源中强制执行防护规则。
例如，阻止会将 R2 存储桶设为公开的请求，并允许保持存储桶私有的请求。
快速入门
你可以在 Cloudflare 仪表板中管理 CWS 资源。在你的环境中运行的代理会加载部署配置，并评估经其转发的请求。
工作负载用于选择请求，策略用于检查请求，策略集则将这些检查分组以供部署使用。
要了解这些实体如何验证请求，请参阅请求验证。
工作负载是用于选择一组请求的可重复使用筛选器。例如，可以选择 Cloudflare API 流量或生产账户的请求。在策略集中纳入或排除工作负载，以选择策略的适用范围。
策略将请求筛选器与 Rego 检查结合起来。Rego 是用于编写检查规则的语言。其布尔型 valid 规则决定请求是否通过。例如，可以拒绝会将 R2 存储桶设为公开的请求。
策略集会对策略进行分组并定义其工作负载范围。纳入或排除工作负载，以选择其覆盖的请求。每项策略自身的筛选器仍然适用。
对需要阻止检查失败请求的策略开启 Enforce。将策略集附加到部署即可应用。
部署是代理加载的配置。它会引用策略集，也可以包含域 ACL 和 Basic Auth 凭据。如果没有策略匹配请求，则应用部署的 Default mode。On error action 用于配置策略错误处理方式。
CWS 代理是强制执行部署配置的进程。在你的环境中使用部署 ID 和 Cloudflare API 凭据运行代理。将客户端 API 请求经由代理转发，以应用控制措施。代理会刷新配置并记录请求决策。
域访问控制列表 (ACL) 用于控制部署可以访问哪些目标。它使用针对特定域的允许或阻止规则以及默认操作。允许访问某个目标并不会绕过请求策略。
Basic Auth 凭据用于识别正在使用代理的客户端。它包含用户名，并通过密码密钥进行身份验证。工作负载和策略筛选器可以匹配此身份。
这些凭据与代理的 Cloudflare API 凭据和客户端的云服务提供商凭据相互独立。
密钥是与 Basic Auth 凭据关联的密码。一个凭据可以有多个密钥，并可选择设置过期时间。让新旧密钥在一段时间内并存，以便客户端在旧密钥过期或被移除前切换密码。
Rego 模块在 lib. 包下存储可重复使用的策略逻辑。策略可以导入其规则，避免重复编写相同检查。例如，可在多个策略之间共享私有存储桶检查规则。
Rego 元数据用于存储策略可读取的共享 JSON 数据。可用其保存诸如存储桶是否必须保持私有等设置。无需重写每项策略即可更新共享值。
租户结构用于描述云资源的层级。Amazon Web Services (AWS) 结构包含根节点、组织单位和账户。Cloudflare 结构包含组织、账户和 zone。为结构指定包路径后，Rego 策略即可读取其节点。
使用工作负载为不同环境应用不同的安全配置文件。例如，生产账户可以要求比非生产账户更严格的策略。
分别为生产和非生产环境创建策略集。使用工作负载筛选器指定 AWS 账户或组织单位，或 Cloudflare 账户或组织。
将匹配的工作负载纳入各个策略集。将两个策略集都附加到同一部署。
- 配置策略以定义工作负载并附加策略集。
- 管理流量范围以配置域访问控制列表和 Basic Auth 凭据。
- 管理策略参考资源以重复使用 Rego 代码、元数据和云资源层级。
- 代理配置以选择身份验证、连接和缓存设置。
- 故障排除以诊断代理、客户端和策略问题。
有关可用性、代理部署选项和连接要求，请参阅平台。