Microsoft Entra 外部 ID で Cloudflare Web Application Firewall を構成する

2025-07-02

この記事では、Cloudflare Web Application Firewall (Cloudflare WAF) を構成して、分散型サービス拒否 (DDoS)、悪意のあるボット、Open Worldwide Application Security Project (OWASP) Top-10 セキュリティリスクなどの攻撃から組織を保護する方法について説明します。

前提条件

開始するには、以下が必要です。

Microsoft Entra 外部 ID テナント
Microsoft Azure フロントドア (AFD)
WAF を使用した Cloudflare アカウント

Microsoft Entra 外部 ID を使用したコンシューマーと顧客向けのテナントとアプリのセキュリティ保護について説明します。

シナリオの説明

Microsoft Entra 外部 ID テナント: テナントに対して定義されたカスタムポリシーを使用してユーザー資格情報を検証する ID プロバイダー (IdP) および承認サーバーです。
Azure Front Door: Microsoft Entra 外部 ID に対してカスタム URL ドメインを有効にします。カスタム URL ドメインへのトラフィックは、Cloudflare WAF を経由し、AFD に移動してから、Microsoft Entra 外部 ID テナントに送信されます。
Cloudflare WAF: 承認サーバーへのトラフィックを保護するためのセキュリティを制御します。

カスタム URL ドメインを有効にする

最初の手順では、AFD でカスタムドメインを有効にします。アプリ用のカスタムURLドメインを外部テナントで有効にするための手順「」「」を使用してください。

Cloudflare アカウントを作成する

Cloudflare.com/plans に移動してアカウントを作成します。
WAF を有効にするには、[Application Services] タブで [Pro] を選択します。

ドメインネームサーバー (DNS) の構成

ドメインの WAF を有効にします。

DNS コンソールで、CNAME の場合、プロキシ設定を有効にします。
[DNS] の [Proxy status] で、[Proxied] を選択します。
状態がオレンジ色に変わります。

注

カスタムドメインの CNAME レコードが Azure Front Door エンドポイントのドメイン以外の DNS レコードを指している場合 (たとえば、Cloudflare などのサードパーティの DNS サービスを使用している場合) は、Azure Front Door で管理される証明書は自動的に更新されません。このような場合に証明書を更新するには、 Azure Front Door で管理される証明書の更新に関する記事の手順に従います。

Cloudflare のセキュリティコントロール

最適な保護のために、Cloudflare のセキュリティ制御を有効にすることをお勧めします。

DDoS 保護

Cloudflare ダッシュボードに移動します。
セキュリティセクションを展開します。
[DDoS] を選択します。
というメッセージが表示されます。

ボット保護

Cloudflare ダッシュボードに移動します。
セキュリティセクションを展開します。
[Configure Super Bot Fight Mode] で、[Definitely automated]、[Block] を選択します。
[Likely automated]で、[Managed Challenge] を選択します。
[Verified bots]で、[Allow] を選択します。

ファイアウォール規則: Tor ネットワークからのトラフィック

組織でトラフィックをサポートする必要がない限り、Tor プロキシネットワークからのトラフィックをブロックすることをお勧めします。

注

Tor トラフィックをブロックできない場合は、[Block] ではなく [Interactive Challenge] を選択します。

Tor ネットワークからのトラフィックをブロックする

Cloudflare ダッシュボードに移動します。
セキュリティセクションを展開します。
WAF の選択
[ルールの作成] を選択します。
[Rule name] に、関連する名前を入力します。
受信要求が一致する場合、[Field] で [Continent] を選択します。
[Operator] では、[equals] を選択します。
[Value]で、[Tor] を選択します。
take action で、[Block]を選択します。
[Place at] で、[First] を選択します。
[デプロイ] を選択します。

注

訪問者用のカスタム HTML ページを追加できます。

ファイアウォールの規則: 国または地域からのトラフィック

組織がすべての国や地域からのトラフィックをサポートするビジネス上の理由がない限り、ビジネスが発生する可能性が低い国または地域からのトラフィックに対して厳格なセキュリティ制御を推奨します。

注

国またはリージョンからのトラフィックをブロックできない場合は、[Block] ではなく [Interactive Challenge] を選択します。

国または地域からのトラフィックをブロックする

次の手順では、訪問者用のカスタム HTML ページを追加できます。

Cloudflare ダッシュボードに移動します。
セキュリティセクションを展開します。
WAF の選択
[ルールの作成] を選択します。
[Rule name] に、関連する名前を入力します。
受信要求が一致する場合、[Field] で [Country] または [Continent] を選択します。
[Operator] では、[equals] を選択します。
[Value]で、ブロックする国または大陸を選択します。
take action で、[Block]を選択します。
[Place at]で、[Last] を選択します。
[デプロイ] を選択します。

OWASP とマネージドルールセット

[Managed rules] を選択します。
[Cloudflare Managed Ruleset] で、[Enabled] を選択します。
[Cloudflare OWASP Core Ruleset] で、[Enabled] を選択します。

次の方法で共有