平台

Cloud Workload Security (CWS) 目前为 Beta 版本。选择账户后，可在 Cloudflare 仪表板中管理 CWS 资源。

你的账户必须具有 Zero Trust 订阅。Zero Trust Free 计划即可满足要求。

你需要拥有更改相应资源的权限。代理还需要同一账户的 Cloudflare API 凭据。有关 API token 和 Global API Key 的设置，请参阅 API 连接和身份验证。

CWS 对资源及其关系应用以下标准限制。

除非另有说明，配额均按账户计算：

以下限制适用于单个资源及其关系：

你需要在自己的环境中运行 CWS 代理。请选择云 API 客户端可访问的位置，并使用 APT 或 DNF 安装 cws-proxy 软件包。

在同一台 Linux 计算机或 Linux 虚拟机 (VM) 上运行代理和客户端，以测试防护规则。请按照在本地设置代理中的空 R2 存储桶演练操作。

在持续集成和持续交付 (CI/CD) 流水线中与作业并行运行代理。这可以为应用和部署脚本发出的云 API 请求应用防护规则。

采用此模式时，运行器需要：

• 在作业发出云 API 请求之前就绪的代理进程。启动代理后，请检查代理日志中是否出现 remote_config_loaded 和 action_mapper_loaded，以确认代理已启动。
• 通过 CI 密钥存储提供的 API 凭据，以及代理进程可用的证书颁发机构 (CA) 证书和私钥。
• 客户端工具需配置为使用代理端点并信任其 CA 证书。请单独为云请求步骤配置客户端代理设置，不要将其应用到代理进程。

通过运行器的进程或服务生命周期管理代理的启动和清理。有关 cf 客户端设置，请参阅通过代理转发 CLI 流量。

在 Linux VM 或应用主机上将已安装的代理作为受管理进程运行。对于容器，请使用支持 APT 或 DNF 的 Linux 环境，并提供代理配置、凭据和 CA 文件。

根据应用支持的代理和 CA 信任设置，将应用配置为使用代理。在应用发出云 API 请求期间，请保持代理运行。

在可供多个应用或流水线作业访问的主机上运行代理。将 proxy.listen_addr 设置为该主机上的私有 IP 地址和端口，然后使用相应的代理 URL 配置客户端。

将网络访问限制为预期客户端。每个客户端都需要 CA 证书以建立信任。将匹配的私钥保存在代理主机上。

有关软件包安装，请参阅快速入门。有关监听器、身份验证、上游代理和缓存设置，请参阅代理配置。

策略会评估经由 CWS 代理转发的 API 请求。创建部署不会自动转发应用流量。

客户端必须使用代理并信任其 CA 证书。将匹配的私钥保存在代理主机上。

位于其他主机或不同容器中的客户端需要可访问的代理地址。127.0.0.1 等回环地址只能访问同一网络命名空间中的进程。

域 ACL 与请求策略分别控制目标访问。允许访问目标并不会绕过策略检查。

代理会按照 cws.api_poll_interval_secs 中配置的间隔刷新部署配置。最短间隔为 30 秒。

保存策略、策略集或部署更改后，请等待一个刷新间隔，再验证更改是否生效。更改本地配置文件后，请重启代理。

如果更改未影响请求，请参阅已保存的更改未影响请求。

云服务提供商的身份验证仍适用于经由代理发送的请求。代理使用自己的 Cloudflare API 凭据加载部署配置。客户端仍需提供自己的云服务提供商凭据。

要识别阻止响应的来源，请参阅请求收到意外的 403 响应。

有关代理的 Beta 条款、许可声明和致谢信息，请参阅法律信息。