Cloudflare

Der Cloudflare-Connector erkennt die DNS-Zonen, die seinem API-Token zur Verfügung stehen, und unterstützt die verwalteten Domains und DNS-01-Zertifikatsabläufe von Opfield. Er ist kein Hosting-Anbieter und ersetzt weder Opfield Relay noch einen verwalteten Ingress Node.

Das Cloudflare-Token erstellen

1. Öffnen Sie im Cloudflare-Dashboard My Profile > API Tokens > Create Token. Wählen Sie die Vorlage Edit zone DNS oder erstellen Sie ein benutzerdefiniertes Token.
2. Legen Sie diese beiden Berechtigungen fest und prüfen Sie die Vorlage, statt anzunehmen, dass sie beide enthält:

Berechtigungskategorie	Ressource	Zugriff	Zweck
Zone	Zone	Read	Die für den Connector verfügbaren Zonen erkennen
Zone	DNS	Edit	Verwaltete DNS-Einträge und Einträge für Zertifikats-Challenges erstellen, aktualisieren und löschen

3. Wählen Sie unter Zone Resources die Option Include > Specific zone und jede Zone, die Opfield verwalten soll. Wählen Sie nicht alle Zonen aus, sofern das nicht beabsichtigt ist.
4. Wenn Sie Client IP Address Filtering festlegen, erlauben Sie die ausgehende IP-Adresse des Opfield-Backends, nicht die IP-Adresse Ihres Browsers. Legen Sie einen Ablauf fest, den Sie rotieren können, bevor die Zertifikatsverlängerung davon abhängt.
5. Prüfen Sie die Zusammenfassung, erstellen Sie das Token und kopieren Sie das Secret. Es ist ein API-Token, kein Global API Key, kein Origin CA Key und keine Konto-ID.

Diese Abläufe erfordern keine Rechte für Workers, Pages, Tunnel oder die Kontoverwaltung. Ein Zonen-Token muss zu einer Identität gehören, die selbst Zugriff auf die ausgewählten Zonen hat.

Referenz: Erstellen von API-Tokens bei Cloudflare.

DNS-Zugriff verbinden

1. Erstellen Sie ein eigenes Cloudflare-API-Token mit Zugriff auf die vorgesehenen Zonen und den Berechtigungen zum Lesen von Zonen und Bearbeiten von DNS, die Ihr Ablauf benötigt. Beschränken Sie die Zonenressourcen bei Cloudflare, statt kontoweite Zugangsdaten anzugeben.
2. Öffnen Sie Settings > Integrations > Cloudflare, fügen Sie einen benannten Connector hinzu und geben Sie das Token über das Feld für Zugangsdaten an.
3. Testen Sie den Zugriff und prüfen Sie die erkannten Zonen. Der Connector erkennt alle Zonen, die für dieses Token sichtbar sind; die Einschränkungen des Tokens bestimmen diese Grenze.
4. Prüfen Sie die automatische Synchronisation sowie die Standardeinstellungen für TTL und Proxy.
5. Fahren Sie mit Domains, Routen und TLS fort, um einen geeigneten Ingress Node zu wählen und die eigentliche verwaltete Domain und Route zu erstellen.

Ein Verbindungstest und die Erkennung von Zonen beweisen weder die Schreibberechtigung für DNS noch die öffentliche Propagierung. Prüfen Sie den vorgesehenen Eintrag und den Zertifikatsablauf separat. Bestehende kollidierende DNS-Einträge erfordern eine ausdrückliche Entscheidung zum Überschreiben; nehmen Sie nicht an, dass ein Connector Opfield die Zuständigkeit für unbeteiligte Einträge gibt.

Zertifikate und Transport

Die DNS-01-Validierung benötigt die richtige Zone und die Berechtigung, Challenge-Einträge zu verwalten. Prüfen Sie die Verfügbarkeit der Zugangsdaten für die Verlängerung, nicht nur für die erste Zertifikatsausstellung. Siehe SSL-Zertifikate.

Für eine Domain, die von einer Ingress-Gruppe ausgeliefert wird, veröffentlicht der Connector die Adresse jedes aktiven Mitglieds und stellt die Zertifikate der Gruppe mit DNS-01 aus und verlängert sie. Er erstellt, ändert oder löscht niemals Cloudflare-Load-Balancer, -Pools oder -Monitore; richten Sie Cloudflare Load Balancing vor einer Gruppe selbst ein.

Die Proxy-Einstellung von Cloudflare für den Web-Hostnamen ist von der Registrierung der Daemons getrennt. Nehmen Sie nicht an, dass ein geproxyter HTTPS-Hostname die direkte gRPC-Verbindung von Opfield transportieren kann; verwenden Sie die generierte Adresse und die Anforderungen unter Ihren ersten Node hinzufügen.

Berechtigungen und Wiederherstellung

Sichtbarkeit und Verwaltung von Connectoren verwenden integrations:cloudflare:view und integrations:cloudflare:manage. Operationen an verwalteten Domains verwenden domains:*; Zertifikatsaktionen haben eigene Berechtigungen. Die Rechte des Anbieter-Tokens sind eine zusätzliche Grenze, kein Ersatz für Opfield-Scopes.

Prüfen Sie bei Fehlern das ausgewählte Konto und die Zone, Ablauf und Rechte des Tokens, die autoritative DNS-Antwort, TTL, Proxy-Modus und den Status der Zertifikats-Challenge. Rotieren Sie das Token erst, nachdem Sie den Ersatz geprüft haben. Ermitteln Sie vor dem Deaktivieren oder Entfernen des Connectors abhängige Domains und Zertifikatsverlängerungen.

Weitere Zustellintegrationen finden Sie unter E-Mail und Webhooks.