📘 תיעוד 84

יצירת אישור לקוח

עודכן לאחרונה: 8 בספטמבר 2026

השתמשו בתשתית המפתח הציבורי (PKI) של Cloudflare כדי ליצור אישורי לקוח שמונפקים מרשות אישורים (CA) שמנוהלת על ידי Cloudflare. לאחר מכן אפשר להשלים את הגדרת ה-mTLS, כפי שמוסבר באיך mTLS עובד.

אישורים שהונפקו על ידי Cloudflare או BYOCA

התהליך הבא מתייחס רק לאישורים שמונפקים מרשות האישורים שמנוהלת על ידי Cloudflare. כדי להביא רשות אישורים משלכם, עיינו ב-BYOCA. זמין רק לחשבונות Enterprise.

#מכסה ומגבלות

כברירת מחדל, כל אזור מאפשר עד 100 אישורי לקוח פעילים שהונפקו על ידי רשות האישורים שמנוהלת על ידי Cloudflare. רק אישורים פעילים נספרים במגבלה הזו. ביטול אישור משחרר את המקום שלו מיד.

אם מגיעים למגבלה, ה-API מחזיר את השגיאה 1445 עם ההודעה Hit maximum certificate allocation: 100 certificates per zone are allowed. כדי לבקש הגדלה, פנו לצוות החשבון שלכם. הגדלות דורשות תוכנית Enterprise עם API Shield.

עומסי עבודה עם תחלופה גבוהה

אם תרחיש השימוש כולל אישורים קצרי חיים או אישורים שמוחלפים בתדירות גבוהה, לדוגמה אישור אחד לכל מכשיר או סשן זמני, ברירת המחדל של 100 אישורים יכולה להתמלא במהירות.

בטלו אישורים מיד כשמכשיר או סשן מסתיים. הביטול משחרר את מקום המכסה מיד. אם צריך להנפיק נפח גדול של אישורים, השתמשו ב-BYOCA. עם BYOCA, Cloudflare שומרת רק את אישור ה-CA שלכם, ולא כל אישור שהונפק בנפרד, ולכן אין מגבלת מלאי לכל אישור.

כדי ליצור אישור לקוח בלוח הבקרה של Cloudflare:

1. עברו אל הדף Client Certificates. מעבר אל Client Certificates ↗
2. בחרו ב-Add Certificate. רשות האישורים שמנוהלת על ידי Cloudflare היא Certificate Authority ברירת המחדל.
3. מלאו את השדות הנדרשים. אפשר לבחור באחת מהאפשרויות הבאות:

• יצירת מפתח פרטי ו-Certificate Signing Request (CSR) עם Cloudflare.
• שימוש במפתח פרטי וב-CSR משלכם. אפשרות זו מאפשרת גם לתייג אישורי לקוח.

דוגמה לפקודת OpenSSL

כדי ליצור CSR משלכם ולהשתמש בו, אפשר להריץ פקודה כמו זו:

openssl req -new -newkey rsa:2048 -nodes -keyout client1.key -out client1.csr -subj '/C=GB/ST=London/L=London/O=Organization/CN=CommonName'

3. בחרו ערך עבור Certificate Validity, ובחרו ב-Continue.

4. הקפידו להעתיק את האישור ואת המפתח הפרטי, כי הם לא יוצגו עוד לאחר היצירה.

5. (אופציונלי) ציינו שמות מארח שבהם תרצו להפעיל mTLS.

   כשמשייכים שמות מארח דרך טופס זה, הם צריכים להיות בפורמט של שם מתחם מלא (FQDN) ולהתאים לשם מארח שקיים באזור שבו אתם נמצאים. לדוגמה, אם אתם באזור example.com, אפשר לציין host.example.com אבל אי אפשר לציין host.example.net.

6. בחרו ב-Save כדי לאשר.

#השלבים הבאים

לאחר יצירת אישור הלקוח, ודאו שהוא מותקן במכשירי הלקוח, והפעילו mTLS לכל שם מארח שאמור לדרוש אישור מהלקוחות.

עיינו במסלול הלמידה mTLS at Cloudflare להקשר נוסף.