借助 Cloudflare One，你可以创建将出站流量过滤到用户身份级别的 Secure Web Gateway 策略。为此，你可以使用一组基于身份的选择器构建 DNS、HTTP 或网络策略。这些选择器要求你以 Traffic and DNS（流量和 DNS）模式部署 Cloudflare One Client。
例如，你可以为不同团队创建不同的安全规则 —— 拦截承包商访问社交媒体，但允许市场团队访问。
你还可以根据设备状况检查的其他信号过滤出站流量。
Gateway 在用户登录或重新进行身份验证时检查身份。要检查用户身份并要求按固定间隔重新进行身份验证，你可以强制执行 Cloudflare One Client 会话持续时间。
用户可以通过两种方式重新进行身份验证：
- 从受 Access 保护的应用程序注销，然后重新登录。
- 在 Cloudflare One Client 中，转到 Profile（个人资料） > Account information（账户信息） > Re-authenticate（重新验证） 1，重新验证会话。这会打开浏览器窗口并提示用户登录。
要查看 Gateway 在评估策略时将使用的身份，请查看用户注册表。
对于配置了跨域身份管理系统（SCIM）预配的 IdP，Gateway 会自动检测用户姓名、职位和组成员资格的变化。有关更多信息，请参阅 SCIM 预配。
扩展电子邮件地址（也称为加号地址）是使用 + 或 . 修饰符的现有电子邮件地址的变体。许多电子邮件提供商（例如 Gmail 和 Outlook）会将发往扩展地址的电子邮件投递到其原始地址。例如，提供商会将发送给 [email protected] 或 [email protected] 的电子邮件投递到 [email protected]。
默认情况下，Gateway 将根据所使用的策略和操作类型，仅过滤精确匹配或过滤所有扩展变体：
DNS policies
| 操作 | 行为 |
|---|---|
| 允许 (Allow) | 仅匹配精确地址 |
| 拦截 (Block) | 匹配精确地址和所有变体 |
| 覆盖 (Override) | 匹配精确地址和所有变体 |
| 安全搜索 (Safe Search) | 匹配精确地址和所有变体 |
| YouTube 受限模式 (YouTube Restricted) | 匹配精确地址和所有变体 |
Network policies
| 操作 | 行为 |
|---|---|
| 允许 (Allow) | 仅匹配精确地址 |
| 拦截 (Block) | 匹配精确地址和所有变体 |
| 网络覆盖 (Network Override) | 仅匹配精确地址 |
HTTP policies
| 操作 | 行为 |
|---|---|
| 允许 (Allow) | 仅匹配精确地址 |
| 拦截 (Block) | 匹配精确地址和所有变体 |
| Do Not Inspect（不检查） | 仅匹配精确地址 |
| 不隔离 (Do Not Isolate) | 仅匹配精确地址 |
| 不扫描 (Do Not Scan) | 仅匹配精确地址 |
| 隔离 (Isolate) | 匹配精确地址和所有变体 |
Other policies
| 策略类型 | 行为 |
|---|---|
| 出站策略 (Egress policy) | 仅匹配精确地址 |
| 解析器策略 (Resolver policy) | 仅匹配精确地址 |
要强制 Gateway 匹配所有电子邮件地址变体，请转到 Traffic policies（流量策略） > Traffic settings（流量设置） > Policy settings（策略设置），然后开启 Match extended email addresses（匹配扩展电子邮件地址）。此设置适用于所有防火墙、出站和解析器策略。
指定在你的身份提供商上配置的自定义 OIDC claim 中的值。
| UI 名称 | API 示例 |
|---|---|
| OIDC Claims（OIDC 声明） | any(identity.oidc_claims[*] == "\"department=engineering\"") |
指定来自 SAML Attribute Assertion 的值。
| UI 名称 | API 示例 |
|---|---|
| SAML Attributes（SAML 属性） | identity.saml_attributes == "\"group=finance\"" |
使用此选择器根据用户的电子邮件创建基于身份的 Gateway 策略。
| UI 名称 | API 示例值 |
|---|---|
| User Email | identity.email == "[email protected]" |
使用此选择器根据用户在 IdP 中作为成员所属的 IdP 组 ID 创建基于身份的 Gateway 策略。
| UI 名称 | API 示例 |
|---|---|
| User Group IDs | identity.groups.id == "12jf495bhjd7893ml09o" |
使用此选择器根据用户在 IdP 中作为成员所属的 IdP 组电子邮件地址创建基于身份的 Gateway 策略。
| UI 名称 | API 示例 |
|---|---|
| User Group Email | identity.groups.email == "[email protected]" |
使用此选择器根据用户在 IdP 中作为成员所属的 IdP 组名称创建基于身份的 Gateway 策略。
| UI 名称 | API 示例 |
|---|---|
| User Group Names | identity.groups.name == "\"finance\"" |
使用此选择器根据 IdP 中特定用户的 IdP 用户名创建基于身份的 Gateway 策略。
| UI 名称 | API 示例 |
|---|---|
| User Name | identity.name == "user-name" |
Cloudflare Gateway 可以与你组织的身份提供商（IdP）集成。在为 IdP 用户或组构建 Gateway 策略之前，请务必将 IdP 添加为身份验证方法。
因为 IdP 以不同格式公开用户组，请参考以下列表选择合适的基于身份的选择器。
| 选择器 | 值 |
|---|---|
| User Group IDs | 61503835-b6fe-4630-af88-de551dd59a2 |
Value（值） 是 Entra 组的 Object Id。
如果你已通过 SCIM 启用用户和组同步，同步的组将显示在 User Group Names 下：
| 选择器 | 值 |
|---|---|
| User Group Names | SCIM group |
| 选择器 | 值 |
|---|---|
| User Group Names | Marketing |
| 选择器 | 值 |
|---|---|
| User Group Names | Marketing |
如果你将 Okta 添加为 OIDC 提供商，请使用 User Group Names 选择器：
| 选择器 | 值 |
|---|---|
| User Group Names | Marketing |
Okta OIDC 集成支持通过 SCIM 同步用户和组。
如果你将 Okta 添加为 SAML 提供商，请使用 SAML Attributes 选择器：
| 选择器 | 属性名称 | 属性值 |
|---|---|---|
| SAML Attributes | groups |
Marketing |
对于通用 SAML 提供商，请使用 SAML Attribute 选择器：
| 选择器 | 属性名称 | 属性值 |
|---|---|---|
| SAML Attributes | department |
Marketing |
对于通用 OIDC 提供商，请使用 OIDC Claims 选择器，根据在 IdP 上配置的自定义 OIDC claims 过滤流量：
| 选择器 | Claim 名称 | Claim 值 |
|---|---|---|
| OIDC Claims | department |
Engineering |
-
在 Cloudflare One Client 2026.1 及更早版本中，选择 Preferences（偏好设置） > Account（账户） > Re-Authenticate Session（重新验证会话）。 ↩