תיעוד 188
Access
עודכן לאחרונה ב-17 באפריל 2026.
סקור תרחישים נפוצים לפתרון בעיות עבור Cloudflare Access.
#אימות והתחברות
#שגיאות AJAX/CORS
Cloudflare Access דורש להוסיף את הפרמטר credentials: same-origin אל JavaScript בעת שימוש ב-Fetch API כדי לכלול עוגיות. בקשות AJAX נכשלות אם פרמטר זה חסר, מה שגורם לשגיאה כגון No Access-Control-Allow-Origin header is present on the requested resource. למידע נוסף, עיין ב-הגדרות CORS.
#כשל באימות SAML
השגיאה SAML Verify: Invalid SAML response, SAML Verify: No certificate selected to verify מתרחשת כאשר ספק הזהות (IdP) אינו כולל את המפתח הציבורי לחתימה בתוך תגובת ה-SAML. חברת Cloudflare Access דורשת שהמפתח הציבורי יתאים אל Signing certificate שהועלה אל Zero Trust. הגדר את ה-IdP שלך כך שיכלול את המפתח הציבורי בתגובה.
#שגיאת פרטי משתמש/קבוצה מספק הזהות
השגיאה Failed to fetch user/group information from the identity provider מתרחשת כאשר ל-Cloudflare חסרות הרשאות ה-API הנדרשות כדי לתקשר עם ה-IdP שלך. עיין ב-מדריך שילוב SSO עבור ה-IdP הספציפי שלך וודא שלאפליקציה יש את ההרשאות הנכונות (למשל, Microsoft Entra או Okta).
#לולאת הפניה מחדש ב-Google Workspace
אם אתה מציב את ה-Google Workspace שלך מאחורי Access, אינך יכול להשתמש ב-Google או ב-Google Workspace כספק זהות עבור יישום זה. הדבר יוצר לולאת הפניה מחדש אינסופית מכיוון ששתי המערכות תלויות זו בזו כדי להשלים את ההתחברות.
#שגיאת הפעלה לא חוקית (Invalid session)
השגיאה Invalid session. Please try logging in again מציינת ש-Access לא הצליח לאמת את עוגיית ה-CF_Session שלך. מצב זה יכול לקרות אם תוכנה או חומת אש במכשיר שלך מפריעות לבקשות הנשלחות אל Access. ודא שאותו מופע של הדפדפן משמש הן ליצירת תהליך ההתחברות והן להשלמתו.
#חלון פרטי ב-Firefox
מנגנון מניעת המעקב המוגדר כברירת מחדל ב-Firefox בחלונות פרטיים עשוי למנוע את שליחת עוגיית ה-CF_authorization, במיוחד עבור בקשות XHR. כדי לפתור זאת, ייתכן שתצטרך להחריג את דומיין היישום שלך ואת דומיין הצוות שלך מהגנת המעקב.
#נתיבי Workers בנתיב ההתחברות
אם מוגדר אצלך נתיב Cloudflare Worker המשויך לנתיב ההתחברות של היישום שלך, ה-Worker עשוי לדרוס את עוגיית ה-cf-authorization. כדי למנוע זאת, ודא שסקריפט ה-Worker שלך אינו משנה או מסיר את כותרת ה-Set-Cookie עבור עוגיות Access.
#ספקי זהות
#דוא"ל עם OTP לא התקבל
אם משתמש אינו מקבל הודעת דוא"ל עם קוד חד-פעמי (OTP):
- דחיית מדיניות: אם כתובת הדוא"ל של המשתמש אינה תואמת לאף אחת ממדיניויות ה-Allow של היישום, Cloudflare לא תשלח הודעת דוא"ל עם OTP. דף ההתחברות עדיין יציג הודעה שהדוא"ל נשלח, וזאת כדי למנוע ספירת חשבונות (account enumeration).
- השתקת דוא"ל (suppression): כתובת הדוא"ל של המשתמש עשויה להימצא ברשימת השתקה בעקבות כשלי מסירה קודמים. בדוק את יומני הדוא"ל שלך או פנה לתמיכה כדי לנקות השתקות.
#קוד OTP כבר נוצל
השגיאה This One-Time PIN has already been used מתרחשת כאשר קוד ה-OTP כבר נפדה לפני שהמשתמש הזין אותו. קודי OTP מיועדים לשימוש חד-פעמי ותוקפם פג 10 דקות לאחר הבקשה הראשונית. שגיאה זו נפוצה בעיקר כאשר כלי אבטחת דוא"ל או כלי נגד פישינג ברשת שלך עוקב אוטומטית אחר קישורים בהודעות דוא"ל, ובכך צורך את הקוד לפני שיש לך הזדמנות להזין אותו.
כדי לפתור את הבעיה, בחר ב-Request new code בדף ההתחברות. אם השגיאה חוזרת על עצמה בעקביות, הוסף את [email protected] לרשימת ההיתרים (allowlist) של כלי אבטחת הדוא"ל שלך כדי למנוע ממנו לסרוק הודעות דוא"ל לאימות של Cloudflare. להוראות הגדרה, עיין ב-התחברות באמצעות קוד חד-פעמי.
#התחברות של מנהל על ב-Google (Super Admin)
אם אתה משתמש ב-Access כספק ה-SSO עבור ה-Google Workspace שלך, מנהלי על ב-Google אינם יכולים להתחבר באמצעות Access כאשר הם ניגשים אל admin.google.com. חברת Google דורשת ממנהלי על להשתמש בסיסמת Google המקורית שלהם כדי להבטיח שתמיד תהיה להם גישה לממשק הניהול.
#מאפייני SAML חסרים
אם אתה מקבל שגיאת Required attributes are missing במהלך אימות SAML, ודא שה-IdP שלך שולח את מאפיין החובה email. בנוסף, בדוק אם קיימות שגיאות כתיב בשמות המאפיינים (לדוגמה, groups לעומת gropus) בתוך תצורת ה-IdP שלך.
#יישומים ותעודות
#תעודות קצרות מועד עבור SSH
השגיאה Error 0: Bad Request. Please create a ca for application מופיעה אם לא נוצרה תעודה עבור יישום ה-Access. עיין ב-תעודות קצרות מועד עבור SSH כדי ליצור CA עבור היישום.
#שגיאת SSH "Origin auth failed"
שגיאה זו מצביעה לעיתים קרובות על בעיית תצורה ב-daemon של ה-SSH בשרת היעד (sshd):
- תצורת SSHD: ודא שהפרמטר
PubkeyAuthenticationמוגדר כ-yesוש-TrustedUserCAKeysמצביע על קובץ ה-CA הנכון של Cloudflare. - שיטות אימות מרובות: השירות Cloudflare Access for Infrastructure אינו תומך כרגע ב-
AuthenticationMethodsהכולל דרישות מרובות המופרדות בפסיקים (לדוגמה,publickey,keyboard-interactive).
#שגיאה בשינוי דומיין הצוות
השגיאה Access api error auth_domain_cannot_be_updated_dash_sso מתרחשת אם אתה מנסה לשנות את דומיין הצוות שלך בזמן ש-SSO בלוח הבקרה של Cloudflare מופעל. תכונת SSO של לוח הבקרה אינה תומכת כרגע בשינויים בדומיין הצוות.
#ניתוק של הפעלות SSH ארוכות טווח
לכל החיבורים המועברים דרך Cloudflare Gateway, כולל תעבורה אל יעדי SSH של Access for Infrastructure, יש משך זמן מובטח מרבי של 10 שעות. אם חיבור פעיל במהלך שחרור גרסה (release) של Gateway, הוא ינותק 10 שעות לאחר מכן.
כדי למנוע ניתוקים בלתי צפויים, אנו ממליצים לסיים הפעלות לפי לוח זמנים מוגדר מראש (לדוגמה, פסק זמן של 8 שעות במצב חוסר פעילות). באפשרותך להגדיר זאת באמצעות ChannelTimeout בתצורת שרת או לקוח ה-SSH שלך.
#משאבי Access נוספים
למידע נוסף, עיין במדריך המלא לפתרון בעיות ב-Access.