企业官网建设流程全解析

cloudflare-operator安全加固完全指南：最小权限API Token与Cloudflare Access ZTNA防护实践

【免费下载链接】cloudflare-operatorA Kubernetes Operator to create and manage Cloudflare Tunnels and DNS records for (HTTP/TCP/UDP*) Service Resources项目地址: https://gitcode.com/gh_mirrors/cl/cloudflare-operator

cloudflare-operator是一个 Kubernetes Operator，用于自动创建和管理 Cloudflare Tunnel 及 DNS 记录。默认配置虽然开箱即用，但直接使用全局 API Key、为 TCP 隧道裸奔暴露，都是常见的安全隐患。本文带你用 2 步完成最小权限 API Token配置和Cloudflare Access ZTNA防护实践，让隧道既好用又安全。🔐

先了解：cloudflare-operator 的安全边界在哪里

在加固之前，先理解 Operator 的架构与信任边界。Operator 部署在集群内，持有你的 Cloudflare 凭证，负责运行cloudflaredDeployment、维护 ConfigMap，并为 TunnelBinding 自动创建 CNAME 记录。也就是说，谁能读到凭证 Secret、Token 权限范围有多大，直接决定了攻击者能控制你多少 Cloudflare 资源。

最小权限 API Token：一键配置 3 项权限

cloudflare-operator 支持 API Token 或 API Key 两种凭证，但官方文档（见docs/examples/operator-authentication/README.md）明确建议：优先使用 API Token，避免全局 API Key 带来的"权限泛滥"风险。

在 Cloudflare 控制台创建 Custom Token 时，只需勾选 3 项权限：

🛡️ 再进一步缩小暴露面：Account Resources 和 Zone Resources 都不要选 "All"，只勾选你要管理的具体账号和 Zone，把权限范围锁死在最小集合。

创建完成后，将 Token 存入 Secret（参考docs/examples/operator-authentication/manifests/secret.yaml）：

kubectl create secret generic cloudflare-secrets \ --namespace cloudflare-operator-system \ --from-literal CLOUDFLARE_API_TOKEN=<api-token>

💡 小技巧：Secret 的作用域是 Tunnel/ClusterTunnel 资源级别的，一个集群可以托管多个域名，不同资源可指向不同权限的 Token，实现"一域一密钥"的精细化隔离。

Cloudflare Access ZTNA：给 TCP 隧道加一道零信任门禁

⚠️ 这是最容易被忽视的风险点：当你用TunnelBinding以tcp协议暴露服务（比如跨集群共享数据库）时，该端口会对全网开放，任何人都能尝试连接。

正确做法是启用Cloudflare Access（ZTNA）：在 Access 应用中为服务配置 Service Token 策略，只有持有 Token 的客户端才能穿透。cloudflare-operator 提供了专门的AccessTunnel资源（定义见api/v1alpha1/accesstunnel_types.go）配合完成：

apiVersion: networking.cfargotunnel.com/v1alpha1 kind: AccessTunnel metadata: name: postgres target: fqdn: db.example.com svc: port: 5432 serviceToken: secretRef: nameOfSecret

客户端集群随即可以通过postgres.default.svc:5432访问源集群数据库，而未经授权的流量在 Cloudflare 边缘即被拦截。完整说明见docs/configuration/access-tunnel.md。

加分项：3 个进阶加固清单

1. 凭证只存 Secret：绝不要把 Token 写进 ConfigMap 或提交到代码仓库；凭证文件（现有隧道的 tunnelID.json）同样放入 Secret。
2. 保持 DNS 保守策略：--overwrite-unmanaged-dns参数默认关闭（见docs/configuration/operator.md），保持默认值可避免 Operator 误覆盖非托管 DNS 记录。
3. 收紧 TLS 行为：noTlsVerify默认false，不要为图省事全局关闭后端 TLS 校验；需要信任自签 CA 时使用originCaPool指定 CA Secret。

按以上三步完成加固后，你的 cloudflare-operator 将只持有"够用且刚好"的 Cloudflare 权限，而所有跨集群流量都处于零信任防护之下——这正是生产级隧道部署该有的样子。✅

【免费下载链接】cloudflare-operatorA Kubernetes Operator to create and manage Cloudflare Tunnels and DNS records for (HTTP/TCP/UDP*) Service Resources项目地址: https://gitcode.com/gh_mirrors/cl/cloudflare-operator