cloudflare-operator安全加固完全指南最小权限API Token与Cloudflare Access ZTNA防护实践【免费下载链接】cloudflare-operatorA Kubernetes Operator to create and manage Cloudflare Tunnels and DNS records for (HTTP/TCP/UDP*) Service Resources项目地址: https://gitcode.com/gh_mirrors/cl/cloudflare-operatorcloudflare-operator是一个 Kubernetes Operator用于自动创建和管理 Cloudflare Tunnel 及 DNS 记录。默认配置虽然开箱即用但直接使用全局 API Key、为 TCP 隧道裸奔暴露都是常见的安全隐患。本文带你用 2 步完成最小权限 API Token配置和Cloudflare Access ZTNA防护实践让隧道既好用又安全。先了解cloudflare-operator 的安全边界在哪里在加固之前先理解 Operator 的架构与信任边界。Operator 部署在集群内持有你的 Cloudflare 凭证负责运行cloudflaredDeployment、维护 ConfigMap并为 TunnelBinding 自动创建 CNAME 记录。也就是说谁能读到凭证 Secret、Token 权限范围有多大直接决定了攻击者能控制你多少 Cloudflare 资源。最小权限 API Token一键配置 3 项权限cloudflare-operator 支持 API Token 或 API Key 两种凭证但官方文档见docs/examples/operator-authentication/README.md明确建议优先使用 API Token避免全局 API Key 带来的权限泛滥风险。在 Cloudflare 控制台创建 Custom Token 时只需勾选 3 项权限权限用途Account › Cloudflare Tunnel › Edit创建新隧道Account › Account Settings › Read获取 accountId 与域名 IDZone › DNS › Edit创建/管理域名下的 DNS 记录️ 再进一步缩小暴露面Account Resources 和 Zone Resources 都不要选 All只勾选你要管理的具体账号和 Zone把权限范围锁死在最小集合。创建完成后将 Token 存入 Secret参考docs/examples/operator-authentication/manifests/secret.yamlkubectl create secret generic cloudflare-secrets \ --namespace cloudflare-operator-system \ --from-literal CLOUDFLARE_API_TOKENapi-token 小技巧Secret 的作用域是 Tunnel/ClusterTunnel 资源级别的一个集群可以托管多个域名不同资源可指向不同权限的 Token实现一域一密钥的精细化隔离。Cloudflare Access ZTNA给 TCP 隧道加一道零信任门禁⚠️ 这是最容易被忽视的风险点当你用TunnelBinding以tcp协议暴露服务比如跨集群共享数据库时该端口会对全网开放任何人都能尝试连接。正确做法是启用Cloudflare AccessZTNA在 Access 应用中为服务配置 Service Token 策略只有持有 Token 的客户端才能穿透。cloudflare-operator 提供了专门的AccessTunnel资源定义见api/v1alpha1/accesstunnel_types.go配合完成apiVersion: networking.cfargotunnel.com/v1alpha1 kind: AccessTunnel metadata: name: postgres target: fqdn: db.example.com svc: port: 5432 serviceToken: secretRef: nameOfSecret客户端集群随即可以通过postgres.default.svc:5432访问源集群数据库而未经授权的流量在 Cloudflare 边缘即被拦截。完整说明见docs/configuration/access-tunnel.md。加分项3 个进阶加固清单凭证只存 Secret绝不要把 Token 写进 ConfigMap 或提交到代码仓库凭证文件现有隧道的 tunnelID.json同样放入 Secret。保持 DNS 保守策略--overwrite-unmanaged-dns参数默认关闭见docs/configuration/operator.md保持默认值可避免 Operator 误覆盖非托管 DNS 记录。收紧 TLS 行为noTlsVerify默认false不要为图省事全局关闭后端 TLS 校验需要信任自签 CA 时使用originCaPool指定 CA Secret。按以上三步完成加固后你的 cloudflare-operator 将只持有够用且刚好的 Cloudflare 权限而所有跨集群流量都处于零信任防护之下——这正是生产级隧道部署该有的样子。✅【免费下载链接】cloudflare-operatorA Kubernetes Operator to create and manage Cloudflare Tunnels and DNS records for (HTTP/TCP/UDP*) Service Resources项目地址: https://gitcode.com/gh_mirrors/cl/cloudflare-operator创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考