Настройка Cloudflare с помощью внешнего идентификатора Microsoft Entra

Применяется: Внешние клиенты (дополнительные сведения)

Вы можете интегрировать сторонние решения брандмауэра веб-приложений (WAF) с внешним идентификатором Microsoft Entra, чтобы повысить общую безопасность. WAF помогает защитить вашу организацию от атак, таких как распределенный отказ в обслуживании (DDoS), вредоносные боты и открытый проект безопасности приложений по всему миру (OWASP) топ-10 рисков безопасности.

Брандмауэр веб-приложений Cloudflare (Cloudflare WAF) защищает веб-приложения от распространенных эксплойтов и уязвимостей. Интеграция Cloudflare WAF с внешним идентификатором Microsoft Entra позволяет добавить дополнительный уровень безопасности для приложений.

В этой статье приведены пошаговые инструкции по настройке внешнего клиента с помощью WaF Cloudflare.

Обзор решения

Решение использует три основных компонента:

• Внешний клиент — действует как поставщик удостоверений (IdP) и сервер авторизации, применяя пользовательские политики для проверки подлинности.
• Azure Front Door (AFD) — обрабатывает маршрутизацию личного домена и пересылает трафик во внешний идентификатор Microsoft Entra.
• Cloudflare WAF — WAF , который управляет трафиком, отправленным на сервер авторизации.

Предпосылки

Чтобы начать, вам нужно:

• Внешний клиент.
• Конфигурация Microsoft Azure Front Door (AFD). Трафик от Cloudflare WAF направляется в Azure Front Door, который затем направляется к внешнему арендатору.
• Cloudflare WAF, который управляет трафиком, отправленным на сервер авторизации.
• Личный домен во внешнем клиенте, который включен в Azure Front Door (AFD).

Узнайте об арендаторах и защите приложений для потребителей и клиентов с помощью Microsoft Entra External ID.

Действия по настройке Cloudflare

Сначала настройте Cloudflare WAF для защиты пользовательских доменных имен URL для внешнего идентификатора Microsoft Entra. Выполните следующие действия, чтобы настроить WaF Cloudflare.

Активировать пользовательские домены

Первым шагом является включение пользовательских доменов с AFD. Используйте инструкции по включению пользовательских доменов URL-адресов для приложений во внешних клиентах.

Создание учетной записи Cloudflare

1. Перейдите к Cloudflare.com/plans , чтобы создать учетную запись.
2. Чтобы включить WAF, на вкладке "Службы приложений " выберите "Pro".

Настройка сервера доменных имен (DNS)

Включите WAF для домена.

1. В консоли DNS для CNAME включите параметр прокси-сервера.

   

2. В разделе DNS для состояния прокси-сервера выберите прокси-сервер.

3. Состояние становится оранжевым.

   

Элементы управления безопасностью Cloudflare

Для оптимальной защиты включите элементы управления безопасностью Cloudflare.

DDoS protection

1. Перейдите на панель мониторинга Cloudflare.
2. Разверните раздел "Безопасность".
3. Выберите DDoS.
4. Появится сообщение.

Защита от ботов

1. Перейдите на панель мониторинга Cloudflare.
2. Разверните раздел "Безопасность".
3. В разделе «Настройка режима борьбы с супер ботом» для «Определенно автоматическое» выберите «Блокировать».
4. Для автоматизированных процессов выберите Управляемый вызов.
5. Для проверенных ботов нажмите кнопку "Разрешить".

Правила брандмауэра: трафик из сети Tor

Блокировать трафик, исходящий из прокси-сети Tor, если ваша организация не должна поддерживать трафик.

Блокировать трафик из сети Tor

1. Перейдите на панель мониторинга Cloudflare.
2. Разверните раздел "Безопасность".
3. Выберите WAF.
4. Выберите Создать правило.
5. В поле "Имя правила" введите соответствующее имя.
6. Если входящие запросы совпадают, для Поля выберите Континент.
7. Для оператора выберите равные.
8. Для параметра Value выберите Tor.
9. Для тогда примите меры: выберите Блокировать.
10. Для параметра "Место" нажмите кнопку "Сначала".
11. Выберите «Развернуть».

Правила брандмауэра: трафик из стран или регионов

Мы рекомендуем строгие средства контроля безопасности для трафика из стран или регионов, где бизнес вряд ли произойдет, если ваша организация не имеет бизнес-причин для поддержки трафика со всех стран или регионов.

Блокировать трафик из стран или регионов

Для следующих инструкций можно добавить пользовательские HTML-страницы для посетителей.

1. Перейдите на панель мониторинга Cloudflare.
2. Разверните раздел "Безопасность".
3. Выберите WAF.
4. Выберите Создать правило.
5. В поле "Имя правила" введите соответствующее имя.
6. Если входящие запросы совпадают, для поля выберите страну или регион или континент.
7. Для оператора выберите равные.
8. В поле "Значение" выберите страну или регион или континент для блокировки.
9. Для тогда примите меры: выберите Блокировать.
10. Для параметра "Место" нажмите кнопку "Последний".
11. Выберите «Развернуть».

OWASP и управляемые наборы правил

1. Выберите управляемые правила.
2. Для управляемого набора правил Cloudflare выберите "Включено".
3. Для набора основных правил OWASP Cloudflare выберите "Включено".

Проверка WAF Cloudflare в внешнем идентификаторе

После настройки учетной записи Cloudflare подключите его к внешнему идентификатору Microsoft Entra. Используйте маркер API Cloudflare и идентификатор зоны для завершения подключения. Это можно сделать в Центре администрирования или с помощью API Microsoft Graph.

POST https://graph.microsoft.com/beta/identity/riskPrevention/webApplicationFirewallProviders
Content-Type: application/json
{
    "@odata.type": "#microsoft.graph.cloudFlareWebApplicationFirewallProvider",
    "displayName": "Cloudflare Provider Example",
    "zoneId": "11111111111111111111111111111111",
    "apiToken": "cf_example_token_123"
}

HTTP/1.1 201 Created
Content-Type: application/json
{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#identity/riskPrevention/webApplicationFirewallProviders/$entity",
    "@odata.type": "#microsoft.graph.cloudFlareWebApplicationFirewallProvider",
    "id": "00000000-0000-0000-0000-000000000001",
    "displayName": "Cloudflare Provider Example",
    "zoneId": "11111111111111111111111111111111"
}

POST https://graph.microsoft.com/v1.0/identity/riskPrevention/webApplicationFirewallProviders/{webApplicationFirewallProviderId}/verify
Content-Type: application/json
{
  "hostName": "www.contoso.com"
}

HTTP/1.1 200 OK
Content-Type: application/json
{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.webApplicationFirewallVerificationModel",
    "id": "00000000-0000-0000-0000-000000000000",
    "verifiedHost": "www.contoso.com",
    "providerType": "cloudflare",
    "verificationResult": {
        "status": "success",
        "verifiedOnDateTime": "2025-10-04T00:50:26.4909654Z",
        "errors": [],
        "warnings": []
    },
    "verifiedDetails": {
        "@odata.type": "#microsoft.graph.cloudFlareVerifiedDetailsModel",
        "zoneId": "11111111111111111111111111111111",
        "dnsConfiguration": {
            "name": "www.contoso.com",
            "isProxied": true,
            "recordType": "cname",
            "value": "contoso.azurefd.net",
            "isDomainVerified": true
        },
        "enabledRecommendedRulesets": [
            {
                "rulesetId": "22222222222222222222222222222222",
                "name": "CloudFlare Managed Ruleset",
                "phaseName": "http_request_firewall_managed"
            }
        ],
        "enabledCustomRules": [
            {
                "ruleId": "33333333333333333333333333333333",
                "name": "Block SQL Injection",
                "action": "block"
            },
            {
                "ruleId": "44444444444444444444444444444444",
                "name": "Block XSS",
                "action": "block"
            }
        ]
    }
}

Тестирование конфигурации

После подключения Cloudflare WAF с внешним идентификатором Microsoft Entra проверьте конфигурацию, чтобы убедиться, что все работает должным образом.

Устранение неполадок

В следующей таблице перечислены распространенные проблемы, которые могут возникнуть при интеграции Cloudflare WAF с внешним идентификатором Microsoft Entra, а также их подробными сведениями и разрешениями.

Дополнительные ресурсы

• Руководство по началу работы с WAF Cloudflare: содержит рекомендации по оптимальной настройке WAF, а также о базовой защите и правилах, которые можно применять.
• Вопросы и ответы, связанные с обзором внешнего арендатора — Внешний идентификатор Microsoft Entra | Microsoft Learn для других лучших практик и соображений.
• Проверка трафика на панели мониторинга Cloudflare: Security Analytics · Документация WAF Cloudflare
• Azure Front Door: дополнительные лучшие практики Домены в Azure Front Door | Microsoft Learn
• Устранение неполадок API · Документация по основам Cloudflare
• Устранение неполадок · Документация по поддержке Cloudflare

Связанный контент

• Что такое брандмауэр веб-приложений Azure в шлюзе приложений Azure?
• Руководство по настройке WAF Cloudflare с помощью Azure AD B2C