운영 매뉴얼 — 도입한 뒤에 실제로 부딪히는 것들 공식 문서 + 우리 랩 실측(2026-09-10) · 회사·고객 값 없음 위 카드가 「어떻게 켜나」라면, 이 카드는 「켜고 나서 무엇이 문제가 되나」 입니다. 스물두 가지 전부 현장 질문에서 나왔습니다. 제목을 누르면 근거와 화면 경로가 열립니다. 🔴 는 문서만 읽어서는 안 나오는 것 , 해 보기 는 본인 계정에서 그대로 밟는 절차 가 함께 들어 있다는 뜻입니다. 인증한 시점부터 정해진 시간이 흐르고 만료됩니다. 트래픽이 있어도 늘어나지 않습니다 (문서가 초기화 사유로 드는 것은 재인증 하나뿐 입니다 — “resets to zero whenever they re-authenticate with the IdP” ). 안쪽 값이 바깥을 이깁니다: ① 단말(Cloudflare One Client) 세션 → ② 정책 세션 → ③ 애플리케이션 세션(즉시~1개월) → ④ 전역 세션 (15분~1개월, 기본 24h). 앱에 「Authenticate with Cloudflare One Client」 가 켜져 있으면 ①이 나머지 셋을 모두 우선 합니다 — 「전역이 24시간인데 왜 안 묻지?」 의 답이 대개 이것입니다. 🔴 「전역만 줄이면 됩니다」는 틀렸습니다. 클라이언트 인증이 꺼진 앱은 Access 가 ②정책 세션을 먼저 보고, 살아 있으면 ④전역을 아예 확인하지 않고 통과시킵니다 (공식 플로차트 Order of enforcement ). 정책 세션 기본값은 앱 세션과 같은 24시간 (최대 1개월)이라, 전역을 15분으로 줄여도 하루 종일 재인증이 안 일어납니다. 그래서 규정 시간에 맞추려면 넷을 함께 봅니다 — 클라이언트 인증을 켠 앱은 ① , 끈 앱은 ②·③·④ . ②를 안 건드리면 ③(앱 세션)이 그대로 ②가 됩니다 (정책 세션 기본값 = 앱 세션). ⚠️ 2단계(MFA) 세션은 이 넷과 별개입니다 — 「MFA 를 매번 묻게」 하려면 그 값을 따로 0 으로 둡니다. 이미 맺힌 SSH·RDP 연결은 만료돼도 끊기지 않습니다. 직접 해 보기 — 네 개의 세션 시계를 한 화면에 모읍니다 (읽기만, 1분) 읽기 전용 토큰이면 됩니다. 아무것도 바뀌지 않습니다. 값이 조직·앱·정책 세 곳에 흩어져 있어 화면으로는 한눈에 못 봅니다. 이 스크립트가 한 표로 모으고, 단말 세션이 우선인 앱 을 따로 찍어 줍니다 — 「전역을 줄였는데 왜 안 묻지?」의 답이 대개 그 줄입니다. ⬇ sessions.py 내려받기 119줄 · 6KB · 표준 라이브러리만 씁니다(설치할 것 없음) ## 터미널에서 바로 받으시려면 (둘 중 아무거나) curl -O https://waf-lab.mzc.cflare.kr/lab/py/sessions.py wget https://waf-lab.mzc.cflare.kr/lab/py/sessions.py 파이썬 코드 보기 — sessions.py · 119줄 · 받기 전에 무엇을 하는지 읽어 보실 수 있습니다 안에 공식 API 문서 주소 도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다. #!/usr/bin/env python3 """세션 시계 네 개를 한 화면에 모읍니다 (운영 매뉴얼 M1). 🟢 읽기만 합니다. 아무것도 바꾸지 않습니다. 표준 라이브러리만 씁니다 — 설치할 것이 없습니다. export CF_API_TOKEN=<읽기 전용 토큰> # 권한: Access Read export CF_ACCOUNT_ID=<계정 ID> python sessions.py 왜 모아 보나 — 값이 **네 곳에 흩어져** 있어서 화면으로는 한눈에 못 봅니다. 그래서 「전역을 15분으로 줄였는데 왜 하루 종일 안 묻지?」가 생깁니다. ① 단말(Cloudflare One Client) 세션 조직 설정 · 앱에서 켜 두면 나머지 셋을 이깁니다 ② 정책 세션 정책마다 · 비워 두면 앱 값을 그대로 씁니다 ③ 앱(애플리케이션) 세션 앱마다 ④ 전역 세션 조직 하나 🔴 **앱에서 「Authenticate with Cloudflare One Client」 를 켜 두면 ①이 이깁니다.** 이 표에서 그 앱은 「단말 세션 우선」으로 찍힙니다 — 그 앱의 ②③④ 는 그날 안 쓰일 수 있습니다. 🔴 **정책 세션이 비어 있으면 앱 값을 따릅니다.** 「②를 안 건드렸으니 ④가 듣겠지」가 아닙니다. 공식 문서 세션 관리 https://developers.cloudflare.com/cloudflare-one/access-controls/access-settings/session-management/ 조직 조회 https://developers.cloudflare.com/api/resources/zero_trust/subresources/organizations/methods/list/ 앱 목록 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/applications/methods/list/ 정책 목록 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/policies/methods/list/ """ import json import os import sys import urllib.error import urllib.parse import urllib.request API = "https://api.cloudflare.com/client/v4" TOKEN = os.environ.get("CF_API_TOKEN", "") ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "") if not TOKEN or not ACCOUNT: sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.") def call(path, params=None): url = API + "/accounts/" + ACCOUNT + path if params: url += "?" + urllib.parse.urlencode(params) req = urllib.request.Request(url) req.add_header("Authorization", "Bearer " + TOKEN) try: with urllib.request.urlopen(req, timeout=30) as r: return json.loads(r.read().decode("utf-8")) except urllib.error.HTTPError as e: raw = e.read().decode("utf-8", "replace") try: msg = json.dumps(json.loads(raw).get("errors"), ensure_ascii=False) except ValueError: msg = raw[:200] sys.exit("GET %s → HTTP %d %s" % (path, e.code, msg)) def get_all(path, params=None): out, cursor = [], "" for _ in range(50): q = dict(params or {}) q["per_page"] = "100" if cursor: q["cursor"] = cursor j = call(path, q) batch = j.get("result") or [] out.extend(batch) nxt = (j.get("result_info") or {}).get("cursor") or "" if not nxt or nxt == cursor or not batch: break cursor = nxt return out org = (call("/access/organizations") or {}).get("result") or {} print("④ 전역 세션 %s" % (org.get("session_duration") or "(응답에 없음 — 기본 24h)")) print("① 단말(WARP) 세션 %s" % (org.get("warp_auth_session_duration") or "(응답에 없음 — 화면에서 확인하십시오)")) print(" 자동 리다이렉트 %s" % ("예" if org.get("auto_redirect_to_identity") else "아니오")) print(" 조직 MFA 강제 %s" % ("예" if (org.get("mfa_config") or {}).get("mfa_required_for_all_apps") else "아니오")) apps = get_all("/access/apps") print("\n앱 %d개 — ③앱 세션 · ②정책 세션 · 단말 세션 우선 여부" % len(apps)) print("%-34s %-12s %-14s %s" % ("앱", "앱 세션", "단말세션 우선", "정책 세션")) print("-" * 86) for a in apps: warp_first = bool(a.get("allow_authenticate_via_warp")) pol_txt = [] for p in (a.get("policies") or []): d = p.get("session_duration") pol_txt.append("%s=%s" % (str(p.get("name") or p.get("id"))[:14], d or "앱 값 따름")) if not pol_txt: # 앱 응답에 정책이 안 실리는 경우가 있어 따로 물어봅니다. try: for p in get_all("/access/apps/%s/policies" % a.get("id")): d = p.get("session_duration") pol_txt.append("%s=%s" % (str(p.get("name") or p.get("id"))[:14], d or "앱 값 따름")) except SystemExit: pol_txt.append("(정책을 못 읽었습니다 — 권한)") print("%-34s %-12s %-14s %s" % ( str(a.get("name") or a.get("id"))[:34], a.get("session_duration") or "기본 24h", "예 (①이 이김)" if warp_first else "아니오", " · ".join(pol_txt) or "-")) print("\n읽는 법") print(" · 🔴 비어 있는 값은 「여기서 설정하지 않았다」는 뜻이고, 0(즉시 만료)이 아닙니다.") print(" 공식 문서 기준 — ④전역 24h(15분~1개월) · ③앱 24h(지연 없이~1개월) · ②정책 = 앱 값.") print(" ①단말 세션은 문서에 기본값이 없어, 화면에서 확인하셔야 합니다.") print(" · 「단말세션 우선 = 예」인 앱은 ①이 나머지를 이깁니다. 규정 시간을 맞추려면 ①을 줄입니다.") print(" · 「정책 세션 = 앱 값 따름」이면 ②를 비워 둔 것입니다 — ③이 그대로 ②가 됩니다.") print(" · 「앱 세션 = 기본 24h」는 그 앱에 값을 안 넣었다는 뜻입니다. ④전역을 따르는 것이 아니라") print(" 앱 자신의 기본값 24h 가 적용됩니다 — 전역을 15분으로 줄여도 이 앱은 24시간입니다.") print(" · 2단계(MFA) 지속시간은 이 넷과 **별개의 시계**입니다(앱·정책의 MFA 설정에서 봅니다).") 어디서 설정하나 — 다섯 개가 네 화면에 흩어져 있습니다 🔵 아래 기본값은 Cloudflare 가 새 계정에 주는 값입니다 — 여러분 계정의 현재 값이 아닙니다. 도입하면서 바꿔 두었을 수 있고, 앱·정책마다 다를 수도 있습니다. 반드시 여러분 계정에서 직접 확인하십시오 — 위 sessions.py 가 다섯 개를 한 표로 모아 줍니다. 딥링크는 지금 로그인돼 있는 계정 의 그 화면으로 갑니다. 무슨 시계 어디서 기본값 범위 ① 단말 세션 Cloudflare One Client Access controls › Access settings › Cloudflare One Client authentication › Session duration 딥링크(내 계정) ↗ 앱에서 「Authenticate with Cloudflare One Client」를 켠 경우에만 씁니다 계정마다 다름 (안 켰으면 해당 없음) — ② 정책 세션 Access controls › Policies › 정책 › Configure › Session duration 딥링크(내 계정) ↗ 앱 세션과 같음 = 안 정하면 ③을 따릅니다 즉시 ~ 1개월 ③ 앱 세션 Access controls › Applications › 앱 › Configure › Overview › Session Duration 딥링크(내 계정) ↗ 24시간 즉시 ~ 1개월 ④ 전역 세션 Access controls › Access settings › Set your global session duration 딥링크(내 계정) ↗ 24시간 15분 ~ 1개월 MFA 세션 위 넷과 별개 앱에 걸면 Applications › 앱 › Configure , 정책에 걸면 Policies › 정책 › Configure 🔴 정책 값이 앱 값을 이깁니다 — 우리 랩 실측: 앱 15분 · 정책 5분이면 실제로 묻는 것은 5분 Independent MFA 를 켠 앱에만 있습니다 즉시(매번) ~ 🔴 「기본값이면 API 응답에 그 값이 아예 안 나옵니다.」 우리 랩을 조회해 보면(2026-09-11) 조직의 session_duration · warp_auth_session_duration 과 정책 넷의 session_duration 이 전부 응답에 없습니다 — 「안 건드렸다」는 뜻이지 0 이라는 뜻이 아닙니다. 없는 것을 「없음」으로 읽으면 정반대로 판단하게 됩니다. 재부팅에 맞춰 끊고 싶다면 셋을 함께 씁니다 — ① 단말 세션을 근무 주기보다 짧게 · MFA 를 Require every login · Windows 라면 no_auth_no_internet . 🔴 셋째는 화면에 없습니다. 대시보드 설정이 아니라 MDM 배포 파일 ( mdm.xml )의 최상위 키이고, 클라이언트 2026.5.0 이상 이어야 합니다. 기본값은 꺼짐 이며, 켜도 잠금 중에 사설 대역(RFC 1918)은 열어 둡니다 (도메인 컨트롤러·MDM 서버·프린터 때문입니다) — 그것까지 막으려면 no_auth_no_internet_block_rfc_1918 을 함께 켭니다. 자세한 것은 M2 에 있습니다. 문서: Session management · Client sessions 화면: Access controls › Access settings · 딥링크(내 계정) ↗ 「Global session duration」과 「Cloudflare One Client session duration」이 여기 있습니다. 1) 단말 세션을 근무 주기보다 짧게(예 8~10h) → 다음 날 첫 접속에 반드시 재로그인. 2) MFA 지속시간을 Require every login → 로그인마다 6자리. 3) Windows 전용 MDM 파라미터 no_auth_no_internet (클라이언트 2026.5.0+) → 미인증 상태면 부팅 직후부터 인터넷 차단. 🔴 3)의 함정 : 「매 부팅마다 인증」 이 아니라 「미인증이면 차단」 입니다. 세션이 살아 있으면 재부팅해도 안 묻습니다 — 반드시 1)과 함께 써야 「부팅 = 로그인」 에 가까워집니다. 인증 창이 내장 브라우저 컴포넌트로 떠서 IdP 흐름을 타는지 먼저 시험해 보십시오. 문서: no_auth_no_internet 화면: Team & Resources › Devices › Device settings · 딥링크(내 계정) ↗ 프로필을 열어 「Auto connect」·「Allow device to leave organization」을 봅니다. 용어가 두 층입니다. 기기(Device) = 실제 장비 한 대(목록의 한 줄). 등록(Registration) = 그 기기에서 클라이언트가 한 사용자 자격으로 인증해 만들어진 기록. 한 대를 두 사람이 쓰면 그 밑에 등록이 2개 붙고, 등록마다 고유 공개키와 가상 IP(v4·v6)가 배정됩니다. Active = 살아있는 등록이 1개 이상. No active registrations = 기기 줄은 남았는데 등록이 0개. 🔴 화면은 이 줄을 기본으로 숨깁니다. Devices › Filters › 「Active registrations」 기본값이 With active registrations 라서입니다. API 도 같습니다 — active_registrations 기본값이 only 이므로 정리 대상을 찾을 땐 include 를 명시해야 누락이 없습니다. 등록 전체는 status=all . 문서: Device registration 직접 해 보기 — 화면이 숨기고 있는 줄을 세어 봅니다 (읽기만, 1분) 읽기 전용 토큰이면 됩니다. 아무것도 바뀌지 않습니다. 스크립트로 하는 것을 권합니다. 숨은 줄을 세기만 하는 것이 아니라 어느 줄인지 목록으로 보여 줍니다 — 세어 놓고 「그래서 어느 것?」에서 다시 막히지 않게. ⬇ hidden.py 내려받기 80줄 · 4KB · 표준 라이브러리만 씁니다(설치할 것 없음) ## 터미널에서 바로 받으시려면 (둘 중 아무거나) curl -O https://waf-lab.mzc.cflare.kr/lab/py/hidden.py wget https://waf-lab.mzc.cflare.kr/lab/py/hidden.py 파이썬 코드 보기 — hidden.py · 80줄 · 받기 전에 무엇을 하는지 읽어 보실 수 있습니다 안에 공식 API 문서 주소 도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다. #!/usr/bin/env python3 """화면이 숨기고 있는 기기 줄을 세어 봅니다 (운영 매뉴얼 M3). 🟢 읽기만 합니다. 아무것도 바꾸지 않습니다. 표준 라이브러리만 씁니다 — 설치할 것이 없습니다. export CF_API_TOKEN=<읽기 전용 토큰> # 권한: Zero Trust Read 면 충분합니다 export CF_ACCOUNT_ID=<계정 ID> # Zero Trust 화면 주소의 32자리 python hidden.py 왜 세어 보나 — Devices 화면의 필터 기본값이 「등록이 살아 있는 기기만」이라 등록 0개짜리 줄은 목록에 아예 안 나옵니다. API 도 똑같습니다: physical-devices active_registrations 기본 "only" (include / only / exclude) registrations status 기본 "active" (active / all / revoked) 그래서 「지웠는데 왜 안 줄지?」의 절반은 **안 보이는 줄**입니다. 공식 문서 기기 목록 https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/devices/methods/list/ 등록 목록 https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/registrations/methods/list/ """ import json, os, sys, urllib.parse, urllib.request API = "https://api.cloudflare.com/client/v4" TOKEN = os.environ.get("CF_API_TOKEN", "") ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "") if not TOKEN or not ACCOUNT: sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.") def get_all(path, params=None): """커서 페이징. 🔴 page= 는 2750 not supported 로 죽습니다 — 커서만 씁니다.""" out, cursor = [], "" for _ in range(50): q = dict(params or {}) q["per_page"] = "100" if cursor: q["cursor"] = cursor url = API + "/accounts/" + ACCOUNT + path + "?" + urllib.parse.urlencode(q) req = urllib.request.Request(url) req.add_header("Authorization", "Bearer " + TOKEN) with urllib.request.urlopen(req, timeout=30) as r: j = json.loads(r.read().decode("utf-8")) if not j.get("success", True): sys.exit("조회 실패: " + json.dumps(j.get("errors"), ensure_ascii=False)) batch = j.get("result") or [] out.extend(batch) nxt = (j.get("result_info") or {}).get("cursor") or "" if not nxt or nxt == cursor or not batch: break cursor = nxt return out shown = get_all("/devices/physical-devices") # 화면 기본값 every = get_all("/devices/physical-devices", {"active_registrations": "include"}) seen = set(str(d.get("id")) for d in shown) hidden = [d for d in every if str(d.get("id")) not in seen] print("① 화면 기본값 그대로 (active_registrations=only) : %d 줄" % len(shown)) print("② 등록 0개인 줄까지 (active_registrations=include) : %d 줄" % len(every)) print(" ─────────────────────────────────────────────────────") print(" 차이 = 화면이 숨기고 있는 기기 줄 : %d 줄" % len(hidden)) for d in hidden[:40]: who = (d.get("last_seen_user") or d.get("user") or {}).get("email") or "-" print(" %-36s %-24s %s" % (str(d.get("id"))[:36], str(d.get("name") or "-")[:24], who)) # 등록 쪽에도 같은 함정이 있습니다. 이쪽 기본값은 status=active 라 「취소된 줄」이 안 보입니다. act = get_all("/devices/registrations") allr = get_all("/devices/registrations", {"status": "all"}) print("\n③ 등록 status 기본값(active) : %d 건" % len(act)) print("④ 등록 status=all : %d 건" % len(allr)) print(" 차이 = 취소(revoke)된 줄 : %d 건" % (len(allr) - len(act))) print(" 🔴 취소는 삭제가 아닙니다. 줄이 남아 있고 가상 IP 도 안 돌려줍니다.") print("\n화면으로 같은 것을 보려면 Team & Resources › Devices › Filters › Active registrations 를") print("「Include devices without active registrations」 로 바꿉니다 — 목록이 늘어납니다.") export CF_API_TOKEN=<읽기 전용 토큰> # 권한: Zero Trust Read 면 충분 export CF_ACCOUNT_ID=<계정 ID> # Zero Trust 화면 주소의 32자리 python hidden.py 네 줄을 냅니다 — ① 화면 기본값 ② 등록 0개인 줄까지 ③ 등록 status 기본값 ④ status=all. ①②의 차이가 화면이 숨기고 있는 기기 줄 이고, ③④의 차이가 취소(revoke)만 되고 남아 있는 등록 입니다 (취소는 가상 IP 를 안 돌려줍니다 — 아래 M5). 숨은 줄은 기기 id·이름·마지막 사용자·마지막 접속까지 함께 나옵니다. 안에서 무슨 일이 일어나나 — API 로 직접 할 때 # 계정 ID 와 읽기 전용 토큰 두 개만 있으면 된다 ACC=<계정 ID>; TOKEN=<읽기 전용 API 토큰> A="Authorization: Bearer $TOKEN" U="https://api.cloudflare.com/client/v4/accounts/$ACC/devices/physical-devices" curl -s "$U" -H "$A" | jq '.result|length' # 화면 기본값(=only) curl -s "$U?active_registrations=include" -H "$A" | jq '.result|length' # 빈 줄까지 두 숫자의 차이가 곧 화면이 숨기고 있는 기기 줄 수 입니다. 0 이 아니면 이미 아래 M4 가 일어난 계정입니다. 화면으로 보려면 Devices › Filters › Active registrations 를 Include devices without active registrations 로 바꿉니다 — 목록이 늘어납니다. 화면: Team & Resources › Devices · 딥링크(내 계정) ↗ 목록 위 필터를 Include devices without active registrations 로 바꿔야 「등록 0개」 줄이 보입니다. 우리 랩에서 등록을 실제로 지우고 재현했습니다(2026-09-10). 등록을 지우고 그 단말이 다시 인증하면, Cloudflare 는 기존 기기 줄에 등록을 다시 붙이지 않고 기기 줄을 새로 만듭니다. 물리적으로 같은 장비인데 목록에 두 줄 이 되고, 옛 줄이 「등록 0개」 로 남습니다. 그리고 화면은 그 줄을 숨깁니다. 기기 1줄·등록 1개 → 등록 삭제 → 기기 1줄·등록 0개 → 재인증(약 1분 30초, 자동) → 기기 2줄 → 다음 정리 때 또 반복. 그래서 「지웠는데 왜 안 줄지?」 로 보입니다. 정리할 때는 active_registrations=include 로 빈 줄까지 보고, 등록 조회의 seen_before · seen_after 로 last_seen 기준 선별을 합니다. 직접 해 보기 — 「한 대가 두 줄이 되는」 순간을 재현합니다 (약 3분) 시험용 단말로만 합니다. 이 절차는 실제로 등록을 지웁니다 — 사무실에서 쓰는 PC 로 하면 그 사람이 다시 로그인해야 합니다. 스크립트로 하는 것을 권합니다. 계정 ID·등록 id 를 손으로 찾을 필요가 없고, 기본이 미리보기 라 --apply 를 붙이기 전에는 아무것도 지우지 않습니다. ⬇ demo.py 내려받기 131줄 · 7KB · 표준 라이브러리만 씁니다(설치할 것 없음) ## 터미널에서 바로 받으시려면 (둘 중 아무거나) curl -O https://waf-lab.mzc.cflare.kr/lab/py/demo.py wget https://waf-lab.mzc.cflare.kr/lab/py/demo.py 파이썬 코드 보기 — demo.py · 131줄 · 받기 전에 무엇을 하는지 읽어 보실 수 있습니다 안에 공식 API 문서 주소 도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다. #!/usr/bin/env python3 """「한 대가 두 줄이 되는」 순간을 직접 재현합니다 (운영 매뉴얼 M4). 🔴 **이것만 실제로 지웁니다.** 시험용 단말로만 하십시오 — 사무실에서 쓰는 PC 로 하면 그 사람이 다시 로그인해야 합니다. 기본은 미리보기이고, `--apply` 를 붙여야 지웁니다. export CF_API_TOKEN=<토큰> # 권한: Zero Trust Read + Write export CF_ACCOUNT_ID=<계정 ID> python demo.py you@company.com # ① 미리보기 — 무엇을 지울지만 python demo.py you@company.com --apply # ② 실제로 지우고 재인증을 기다립니다 무엇을 보나 — 등록을 지우고 그 단말이 다시 인증하면, Cloudflare 는 기존 기기 줄에 등록을 다시 붙이지 않고 **기기 줄을 새로 만듭니다.** 물리적으로 같은 장비인데 목록에 두 줄이 되고, 옛 줄이 「등록 0개」로 남아 화면에서 숨겨집니다. 그래서 「지웠는데 왜 안 줄지?」로 보입니다. 공식 문서 등록 목록 https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/registrations/methods/list/ 등록 삭제 https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/registrations/methods/delete/ 개념 https://developers.cloudflare.com/cloudflare-one/team-and-resources/devices/device-registration/ """ import json, os, sys, time, urllib.parse, urllib.request API = "https://api.cloudflare.com/client/v4" TOKEN = os.environ.get("CF_API_TOKEN", "") ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "") if not TOKEN or not ACCOUNT: sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.") args = [a for a in sys.argv[1:] if not a.startswith("--")] APPLY = "--apply" in sys.argv if not args: sys.exit("누구의 단말인지 지정해야 합니다: python demo.py you@company.com\n" "아무 등록이나 지우게 두지 않습니다 — 그것이 이 코드의 유일한 안전장치입니다.") WANT = args[0].strip().lower() WAIT = 180 def call(method, path, params=None): url = API + "/accounts/" + ACCOUNT + path + ("?" + urllib.parse.urlencode(params) if params else "") req = urllib.request.Request(url, method=method) req.add_header("Authorization", "Bearer " + TOKEN) with urllib.request.urlopen(req, timeout=30) as r: return json.loads(r.read().decode("utf-8")) def get_all(path, params=None): out, cursor = [], "" while True: q = dict(params or {}) q["per_page"] = "100" if cursor: q["cursor"] = cursor j = call("GET", path, q) out.extend(j.get("result") or []) nxt = (j.get("result_info") or {}).get("cursor") or "" if not nxt or nxt == cursor or not j.get("result"): return out cursor = nxt def email_of(reg): for k in ("user", "last_seen_user"): v = (reg.get(k) or {}).get("email") if v: return v.lower() return "" # ── ① 지금 줄 수 ──────────────────────────────────────────────── before_devices = get_all("/devices/physical-devices", {"active_registrations": "include"}) # status=all 로 받되 **취소(revoke)된 줄은 표적에서 뺍니다.** 이미 죽은 줄이라 # 지워도 재인증이 일어나지 않아 M4 가 재현되지 않고, 「왜 안 늘지?」로 헛다리를 짚게 됩니다. before_regs = [r for r in get_all("/devices/registrations", {"status": "all"}) if email_of(r) == WANT and not r.get("revoked_at")] print("① 지금 기기 줄: %d개 (active_registrations=include 로 세었습니다)" % len(before_devices)) print(" 그중 %s 의 등록: %d건" % (WANT, len(before_regs))) if len(before_regs) != 1: print("\n② 표적을 하나로 좁혀야 합니다 — 지금 %d건입니다:" % len(before_regs)) for r in before_regs: print(" %s %s" % (r.get("id"), r.get("name") or "-")) sys.exit(0 if before_regs else 1) target = before_regs[0] print("\n② 표적: %s %s" % (target.get("id"), target.get("name") or "-")) print("\n③ 할 일 — 이 등록을 지우고, 단말이 스스로 재인증하기를 기다립니다.") print(" DELETE /devices/registrations/%s" % target.get("id")) print(" 그다음 ①을 다시 세면 **줄 수가 1 늘어 있습니다.** 같은 장비인데 목록에 두 줄입니다.") if not APPLY: print("\n미리보기였습니다. 실제로 해 보려면 --apply 를 붙이십시오 — 시험용 단말로만.") sys.exit(0) # ── ④ 지웁니다 ────────────────────────────────────────────────── call("DELETE", "/devices/registrations/" + str(target.get("id"))) print("\n④ 지웠습니다: %s" % target.get("id")) # ── ⑤ 기다립니다 ──────────────────────────────────────────────── print("⑤ 단말이 알아서 다시 인증하기를 기다립니다 (우리 랩에서 약 1분 30초, 최대 %d초)" % WAIT) print(" 그동안 그 단말에 아무것도 하지 마십시오 — 손대면 무엇 때문에 늘었는지 알 수 없습니다.") deadline = time.time() + WAIT old_ids = set(str(r.get("id")) for r in before_regs) fresh = None while time.time() < deadline: time.sleep(10) now = [r for r in get_all("/devices/registrations", {"status": "all"}) if email_of(r) == WANT] new = [r for r in now if str(r.get("id")) not in old_ids] if new: fresh = new[0] break print(" … 아직입니다 (남은 %d초)" % max(0, int(deadline - time.time()))) # ── ⑥ 다시 셉니다 ─────────────────────────────────────────────── after = get_all("/devices/physical-devices", {"active_registrations": "include"}) delta = len(after) - len(before_devices) print("\n⑥ 다시 세었습니다: %d → %d (%+d)" % (len(before_devices), len(after), delta)) if fresh: print(" 새 등록: %s %s" % (fresh.get("id"), fresh.get("name") or "-")) if delta > 0: print("\n🔴 **줄이 늘었습니다.** 같은 장비인데 목록에 두 줄입니다 — 이것이 M4 입니다.") print(" 옛 줄은 이제 「등록 0개」로 남아 있고, 그 줄은 아무 일도 하지 않습니다.") elif fresh: print("\n재인증은 됐는데 줄 수가 그대로입니다 — 옛 줄이 이미 정리됐거나 같은 줄에 붙은 것입니다.") else: print("\n아직 재인증이 안 됐습니다. 조금 뒤 다시 세어 보십시오.") print("\n⑦ 되돌리기 — 새로 생긴 줄은 그대로 두고 **옛 「등록 0개」 줄만** 지우면 원래 개수로 돌아옵니다.") print(" ⚠️ 새로 생긴 줄까지 지우면 그 단말이 또 재인증해서 또 늘어납니다. 그것이 이 실험의 교훈입니다.") export CF_API_TOKEN=<토큰> # 권한: Zero Trust Read + Write export CF_ACCOUNT_ID=<계정 ID> # Zero Trust 화면 주소의 32자리 python demo.py you@company.com # ① 미리보기 — 무엇을 지울지만 python demo.py you@company.com --apply # ② 실제로 지우고 재인증을 기다립니다 스크립트가 ①~⑤를 대신합니다: 지금 줄 수를 세고 → 표적을 고르고 → 지우고 → 재인증을 기다리고(최대 3분) → 다시 세어 늘어난 줄 을 보여 줍니다. 되돌리는 방법도 마지막에 출력합니다. 안에서 무슨 일이 일어나나 — API 로 직접 할 때 지금 줄 수를 적습니다 — GET /devices/physical-devices?active_registrations=include 의 result 길이 그 단말의 등록 id 를 찾습니다 — GET /devices/registrations?status=all 지웁니다 — DELETE /devices/registrations/{id} 손대지 말고 1~2분 기다립니다. 클라이언트가 알아서 다시 인증합니다(우리 랩에서 약 1분 30초) 1번을 다시 셉니다 → 🔴 줄 수가 1 늘어 있습니다. 물리적으로 같은 장비인데 목록에 두 줄입니다 되돌리기: 새로 생긴 줄은 그대로 두고 옛 「등록 0개」 줄만 지우면 원래 개수로 돌아옵니다. 문서: Device registration · 등록 API 화면: Team & Resources › Devices · 딥링크(내 계정) ↗ 지우기 전과 후에 같은 화면을 두 번 봅니다 — 줄이 늘어나는 것이 여기서 보입니다. 삭제 직전·직후에 Zero Trust 설정 11종을 전부 조회해 비교했습니다. 사용자·좌석(좌석 식별자까지) · Access 정책 · 그룹 · 애플리케이션 · 단말 프로파일 · 단말 설정 · 자세 검사 · Gateway 정책 — 전부 변화 없음. 정책과 그룹이 사용자·기기 객체 를 가리키는 것이 아니라 이메일·도메인·IdP 그룹 같은 조건 으로 쓰여 있어서입니다. 조건에 적힌 값은 그 사용자를 지워도 남습니다 → 정리는 두 갈래 입니다: ① 단말·기기 정리 ② 이메일이 직접 적힌 정책·목록에서 그 줄 제거. 함께 확인된 것: 삭제한 등록은 status=all 로도 안 보입니다 (완전히 사라집니다). 취소(revoke)는 다릅니다 — revoked_at 이 붙은 채 목록에 남고 가상 IP 를 회수하지 않습니다 . 가상 IP 는 유한하므로 Cloudflare 도 취소보다 삭제를 권합니다. 직접 해 보기 — 지우기 전후를 통째로 비교합니다 읽기 전용 토큰이면 됩니다. 아무것도 바뀌지 않습니다. 삭제 직전과 직후 에 설정을 통째로 받아 두고 비교합니다. 스크립트로 하는 것을 권합니다. 이건 diff 로 직접 하면 거의 반드시 틀립니다 — 아래 「왜 손으로 하면 틀리나」 참고. ⬇ snapshot.py 내려받기 160줄 · 8KB · 표준 라이브러리만 씁니다(설치할 것 없음) ## 터미널에서 바로 받으시려면 (둘 중 아무거나) curl -O https://waf-lab.mzc.cflare.kr/lab/py/snapshot.py wget https://waf-lab.mzc.cflare.kr/lab/py/snapshot.py 파이썬 코드 보기 — snapshot.py · 160줄 · 받기 전에 무엇을 하는지 읽어 보실 수 있습니다 안에 공식 API 문서 주소 도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다. #!/usr/bin/env python3 """등록을 지우기 전후로 Zero Trust 설정을 통째로 받아 비교합니다 (운영 매뉴얼 M5). 🟢 읽기만 합니다. 아무것도 바꾸지 않습니다. export CF_API_TOKEN=<읽기 전용 토큰>; export CF_ACCOUNT_ID=<계정 ID> python snapshot.py before # ① 지우기 전 # …여기서 등록을 지웁니다… python snapshot.py after before # ② 지운 뒤 + 비교 🔴 이것을 `diff` 로 직접 하면 **거의 반드시 틀립니다.** updated_at · last_successful_login · last_seen 은 아무것도 안 건드려도 흐릅니다. 그대로 비교하면 「사용자가 바뀌었다」가 나오고, 그러면 이 절의 결론 (설정은 그대로다)이 통째로 뒤집혀 보입니다. 그래서 그 필드들을 빼고 비교하고, **뺀 목록을 화면에 함께 찍습니다** — 무엇을 안 셌는지 감추면 그것대로 거짓말입니다. 공식 문서 정책 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/policies/methods/list/ 그룹 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/groups/methods/list/ 앱 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/applications/methods/list/ 등록 https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/registrations/methods/list/ """ import json, os, sys, urllib.parse, urllib.request API = "https://api.cloudflare.com/client/v4" TOKEN = os.environ.get("CF_API_TOKEN", "") ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "") if not TOKEN or not ACCOUNT: sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.") if len(sys.argv) < 2: sys.exit("사용법: python snapshot.py <받을 폴더> [비교할 폴더]") OUT = sys.argv[1] DIFF = sys.argv[2] if len(sys.argv) > 2 else None # 「바뀌지 않아야 하는」 설정 11종. STABLE = [ ("access-users", "/access/users"), ("access-policies", "/access/policies"), ("access-groups", "/access/groups"), ("access-apps", "/access/apps"), ("access-idps", "/access/identity_providers"), ("access-tokens", "/access/service_tokens"), ("devices-profiles", "/devices/policies"), ("devices-posture", "/devices/posture"), ("devices-settings", "/devices/settings"), ("gateway-rules", "/gateway/rules"), ("gateway-lists", "/gateway/lists"), ] # 「바뀌어야 하는」 대조군 2종. 이쪽이 안 움직였으면 애초에 아무것도 안 지운 것입니다. MOVING = [ ("devices-registrations", "/devices/registrations", {"status": "all"}), ("devices-physical", "/devices/physical-devices", {"active_registrations": "include"}), ] VOLATILE = {"updated_at", "last_successful_login", "last_seen", "last_seen_at", "last_used", "seen_at", "modified_on"} def get(path, params=None, paged=False): out, cursor = [], "" while True: q = dict(params or {}) if paged: q["per_page"] = "100" if cursor: q["cursor"] = cursor url = API + "/accounts/" + ACCOUNT + path + ("?" + urllib.parse.urlencode(q) if q else "") req = urllib.request.Request(url) req.add_header("Authorization", "Bearer " + TOKEN) with urllib.request.urlopen(req, timeout=30) as r: j = json.loads(r.read().decode("utf-8")) if not paged: return j.get("result") out.extend(j.get("result") or []) nxt = (j.get("result_info") or {}).get("cursor") or "" if not nxt or nxt == cursor or not j.get("result"): return out cursor = nxt def strip_volatile(o): if isinstance(o, dict): return dict((k, strip_volatile(v)) for k, v in o.items() if k not in VOLATILE) if isinstance(o, list): return [strip_volatile(x) for x in o] return o def index(rows): if isinstance(rows, dict): return {"(단일 객체)": rows} return dict((str((r or {}).get("id") or (r or {}).get("name") or i), r) for i, r in enumerate(rows or [])) os.makedirs(OUT, exist_ok=True) got = {} for item in STABLE + MOVING: name, path = item[0], item[1] params = item[2] if len(item) > 2 else None try: got[name] = get(path, params, paged=name.startswith("devices-r") or name.startswith("devices-p")) except Exception as e: # 🔴 한 곳이 막혀도 나머지는 계속 받습니다. 여기서 통째로 죽으면 # 「비교할 수 없다」가 「바뀐 게 없다」로 둔갑합니다. got[name] = {"_error": str(e)[:120]} print(" ⚠️ %s — 못 받았습니다: %s" % (name, str(e)[:70])) with open(os.path.join(OUT, name + ".json"), "w", encoding="utf-8") as f: json.dump(got[name], f, ensure_ascii=False, indent=2, sort_keys=True) n = len(got[name]) if isinstance(got[name], list) else 1 print(" %-24s %s" % (name, n)) if not DIFF: print("\n받았습니다. 등록을 지운 뒤 한 번 더 받아 비교합니다:") print(" python snapshot.py after %s" % OUT) sys.exit(0) print("\n비교: %s → %s" % (DIFF, OUT)) print(" 시각 필드는 뺍니다(%s) — 그냥 흐르는 값이라" % ", ".join(sorted(VOLATILE))) print(" 그것까지 세면 「전부 바뀌었다」가 나와 결론이 통째로 틀려집니다.") moving_names = set(m[0] for m in MOVING) stable_changed, moving_changed = [], [] for item in STABLE + MOVING: name = item[0] old_path = os.path.join(DIFF, name + ".json") if not os.path.exists(old_path): continue old = json.load(open(old_path, encoding="utf-8")) new = got[name] if isinstance(old, dict) and old.get("_error") or isinstance(new, dict) and new.get("_error"): print(" %-24s 한쪽이 오류라 비교하지 못합니다" % name) continue a, b = index(old), index(new) canon = lambda o: json.dumps(strip_volatile(o), sort_keys=True, ensure_ascii=False) added = [k for k in b if k not in a] removed = [k for k in a if k not in b] changed = [k for k in b if k in a and canon(a[k]) != canon(b[k])] total = len(added) + len(removed) + len(changed) mark = "그대로" if not total else "+%d / -%d / 변경 %d" % (len(added), len(removed), len(changed)) flag = "" if total and name not in moving_names: flag, _ = " 🔴", stable_changed.append(name) elif total: flag, _ = " ← 여기는 바뀌어야 정상입니다", moving_changed.append(name) print(" %-24s %4d → %4d %s%s" % (name, len(a), len(b), mark, flag)) for k in added[:5]: print(" + " + k) for k in removed[:5]: print(" - " + k) print("") if not moving_changed: print("⚠️ 단말 쪽도 안 바뀌었습니다 — 두 스냅샷 사이에 아무것도 안 지운 것입니다.") elif not stable_changed: print("🟢 설정 11종 전부 그대로. 바뀐 것은 단말뿐입니다. 이것이 M5 입니다 —") print(" 정책·그룹은 사용자·기기 객체가 아니라 이메일·도메인·IdP 그룹 조건으로 쓰여 있습니다.") print(" 조건에 적힌 값은 그 사용자를 지워도 남습니다.") print(" → 정리는 두 갈래입니다: ① 단말·기기 정리 ② 이메일이 직접 적힌 정책·목록에서 그 줄 빼기.") else: print("🔴 바뀌면 안 되는 것이 바뀌었습니다: " + ", ".join(stable_changed)) print(" 등록 삭제만으로는 이렇게 되지 않습니다. 같은 시간에 다른 작업이 끼어들었는지") print(" 감사 로그(actor.email · interface)를 보십시오.") export CF_API_TOKEN=<읽기 전용 토큰>; export CF_ACCOUNT_ID=<계정 ID> python snapshot.py before # ① 지우기 전 # …여기서 등록을 지운다 (demo --apply 또는 devices --apply)… python snapshot.py after before # ② 지운 뒤 + 비교 설정 11종 (사용자·정책·그룹·앱·IdP·서비스 토큰·단말 프로파일·자세 검사·단말 설정·Gateway 룰·Gateway 목록)과 대조군 2종 (등록·기기)을 받습니다. 대조군을 함께 받는 이유는 「아무것도 안 바뀜」이 「애초에 안 지움」일 수 있어서 입니다 — 단말 쪽이 안 움직였으면 스크립트가 그렇게 말해 줍니다. 토큰 권한이 모자라 한 곳이 막혀도 나머지는 계속 받고, 막힌 것은 「비교 못 함」으로 따로 냅니다 (조용히 「변화 없음」으로 둔갑하지 않게). 판정까지 해 줍니다 — 설정 11종 그대로 · 단말 2종만 바뀜 이면 🟢, 바뀌면 안 되는 것이 바뀌었으면 🔴 와 바뀐 필드 이름 을 찍습니다. 🔴 왜 손으로 diff 하면 틀리나 updated_at · last_successful_login · last_seen 같은 시각 필드는 그냥 흐릅니다. 아무것도 안 건드려도 두 파일이 달라집니다 — 그대로 diff 하면 「사용자가 바뀌었습니다」가 나오고, 그러면 이 절의 결론이 통째로 뒤집혀 보입니다. 스크립트는 이 필드들을 빼고 비교하고, 뺀 목록을 화면에 함께 찍습니다 (무엇을 안 셌는지 감추지 않으려고). 안에서 무슨 일이 일어나나 — API 로 직접 할 때 ACC=<계정 ID>; TOKEN=<읽기 전용 API 토큰> A="Authorization: Bearer $TOKEN" B="https://api.cloudflare.com/client/v4/accounts/$ACC" for P in access/users access/policies access/groups access/apps \ devices/policies devices/posture gateway/rules; do curl -s "$B/$P" -H "$A" | jq -S . > "before-$(echo $P | tr / -).json" done # 지운 뒤 같은 것을 after- 로 한 번 더 받아서 diff before-access-users.json after-access-users.json # ⚠️ 시각 필드를 먼저 걷어내야 한다: jq -S 'walk(if type=="object" then del(.updated_at,.last_seen) else . end)' 전부 그대로입니다. 「사용자를 지웠는데 정책이 안 지워졌습니다」가 정상 이라는 뜻입니다 — 정책은 객체가 아니라 이메일·도메인·그룹 조건 으로 쓰여 있기 때문입니다. 취소(revoke)와의 차이도 같은 방법으로 봅니다: 취소한 뒤 GET /devices/registrations?status=all 에 revoked_at 이 붙은 줄이 그대로 남아 있고 , 그 줄이 물고 있던 가상 IP 도 돌아오지 않습니다. ( python hidden.py 의 ③④ 줄이 그 개수를 바로 냅니다.) 화면: Team & Resources › Devices · 딥링크(내 계정) ↗ 등록을 지운 뒤 같은 사용자의 좌석 이 그대로인지 Users 화면에서 함께 확인합니다. 🔴 지우는 것만으로는 끝나지 않습니다. 공식 문서가 못박습니다 — “Deleting or revoking a registration will not be permanent if the user can re-authenticate.” 클라이언트가 설치된 채 재인증되면 새 등록이 자동으로 생깁니다. 끝내려면 등록 정책(device enrollment policies)·IdP 계정·서비스 토큰 에서 함께 빼야 합니다. 참고: 삭제 는 가상 IP 를 돌려주지만 취소(revoke) 는 돌려주지 않습니다. 그리고 어느 쪽도 좌석에는 영향이 없습니다 — 좌석은 기기가 아니라 신원에 붙습니다. 문서: Device registration · Seat management 공식 문서 두 곳이 서로 다르게 읽혀 오래 헷갈리던 지점입니다. 감사 로그로 확정했습니다 — 서로 다른 두 동작을 각각 설명 하고 있었습니다. 화면 버튼 → 감사 로그에 access_patch_seats / interface=UI 로 남고 보낸 값이 [{seat_uid, access_seat:false, gateway_seat:false}, …] 배열입니다. 즉 PATCH /access/seats 입니다. 좌석을 반납하고 그 사용자의 단말 등록을 지우되 사용자 레코드는 목록에 남습니다 (직접 호출해 확인). DELETE /access/users/{id} → 화면에 대응 버튼이 없는 API 전용 동작. 레퍼런스는 「좌석과 토큰을 회수합니다」 고 합니다. 실무 결론 : 화면 정리를 스크립트로 옮기려면 쓸 것은 PATCH /access/seats 입니다. 그리고 영구 차단은 Cloudflare 만으로 안 됩니다 — 지운 사용자가 다시 로그인하면 좌석을 도로 차지합니다. IdP 계정 비활성화를 반드시 병행합니다. 직접 해 보기 — 두 동작의 차이를 한 사람으로 직접 확인합니다 (기본은 미리보기) 기본은 미리보기입니다 — --apply 를 붙일 때만 바뀌고, 한 사람씩만 합니다. 같은 사람에게 좌석 반납(PATCH seats) 과 사용자 삭제(DELETE users) 를 각각 걸어 보고 전후를 비교 합니다. 열린 세션 수도 함께 세므로 어느 쪽도 세션을 끊지 않는다 는 것을 눈으로 봅니다. ⬇ remove.py 내려받기 180줄 · 8KB · 표준 라이브러리만 씁니다(설치할 것 없음) ## 터미널에서 바로 받으시려면 (둘 중 아무거나) curl -O https://waf-lab.mzc.cflare.kr/lab/py/remove.py wget https://waf-lab.mzc.cflare.kr/lab/py/remove.py 파이썬 코드 보기 — remove.py · 180줄 · 받기 전에 무엇을 하는지 읽어 보실 수 있습니다 안에 공식 API 문서 주소 도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다. #!/usr/bin/env python3 """화면의 「Remove users」 와 API 의 사용자 삭제는 무엇이 다른가 (운영 매뉴얼 M6). 🟢 기본은 읽기만 합니다. 바꾸는 것은 --release-seat / --delete-user 를 --apply 와 함께 줄 때뿐이고, 그때도 한 사람씩만 합니다. 표준 라이브러리만 씁니다 — 설치할 것이 없습니다. export CF_API_TOKEN=<토큰> # 읽기만 할 때: Access Read · 바꿀 때: Access Write export CF_ACCOUNT_ID=<계정 ID> # Zero Trust 화면 주소의 32자리 python remove.py --email someone@example.com # 지금 상태만 봅니다 python remove.py --email someone@example.com --release-seat --apply python remove.py --email someone@example.com --delete-user --apply --yes 왜 두 동작이 헷갈리나 — 이름이 비슷한데 **바뀌는 것이 다릅니다.** 화면의 「Remove users」 → PATCH /access/seats 좌석만 놓습니다. 사용자 줄은 남습니다. API 의 사용자 삭제 → DELETE /access/users/{id} 화면에 대응 버튼이 없는 동작입니다. 🔴 **어느 쪽도 지금 열려 있는 세션을 끊지 않습니다.** 이 스크립트는 그것을 말로만 하지 않고 `active_sessions` 를 전후로 세어 보여 줍니다 — 「지웠는데 왜 화면이 그대로 열려 있나」의 답입니다. 🔴 **영구 차단은 Cloudflare 만으로 되지 않습니다.** 명단(정책)에 이메일이 남아 있으면 다시 로그인해서 좌석을 다시 차지합니다. IdP 계정 비활성화를 함께 해야 끝납니다. 공식 문서 좌석 관리 https://developers.cloudflare.com/cloudflare-one/team-and-resources/users/seat-management/ 좌석 PATCH https://developers.cloudflare.com/api/resources/zero_trust/subresources/seats/methods/edit/ 사용자 목록 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/users/methods/list/ 사용자 삭제 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/users/methods/delete/ 열린 세션 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/users/subresources/active_sessions/methods/list/ """ import argparse import json import os import sys import urllib.error import urllib.parse import urllib.request API = "https://api.cloudflare.com/client/v4" TOKEN = os.environ.get("CF_API_TOKEN", "") ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "") if not TOKEN or not ACCOUNT: sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.") def call(method, path, body=None, params=None): """한 번 호출. 실패하면 **조용히 넘기지 않고** 그 자리에서 보여 줍니다.""" url = API + "/accounts/" + ACCOUNT + path if params: url += "?" + urllib.parse.urlencode(params) data = None if body is None else json.dumps(body).encode("utf-8") req = urllib.request.Request(url, data=data, method=method) req.add_header("Authorization", "Bearer " + TOKEN) if data: req.add_header("Content-Type", "application/json") try: with urllib.request.urlopen(req, timeout=30) as r: return json.loads(r.read().decode("utf-8")) except urllib.error.HTTPError as e: raw = e.read().decode("utf-8", "replace") try: j = json.loads(raw) msg = json.dumps(j.get("errors"), ensure_ascii=False) except ValueError: msg = raw[:300] sys.exit("%s %s → HTTP %d %s" % (method, path, e.code, msg)) def get_all(path, params=None): """커서 페이징. 🔴 page= 는 2750 not supported 로 죽습니다 — 커서만 씁니다.""" out, cursor = [], "" for _ in range(50): q = dict(params or {}) q["per_page"] = "100" if cursor: q["cursor"] = cursor j = call("GET", path, params=q) batch = j.get("result") or [] out.extend(batch) nxt = (j.get("result_info") or {}).get("cursor") or "" if not nxt or nxt == cursor or not batch: break cursor = nxt return out def find_user(email): want = email.strip().lower() for u in get_all("/access/users"): if str(u.get("email") or "").strip().lower() == want: return u return None def sessions(user_id): """열린 세션 수. 권한이 없거나 기능이 꺼져 있으면 세지 못한 것으로 둡니다.""" try: j = call("GET", "/access/users/%s/active_sessions" % user_id) return len(j.get("result") or []) except SystemExit: return None def show(label, u): seat = u.get("access_seat") gw = u.get("gateway_seat") n = sessions(u.get("id")) print(" %-6s 좌석(access) %-5s · 좌석(gateway) %-5s · 열린 세션 %s" % (label, "예" if seat else "아니오", "예" if gw else "아니오", "못 셈(권한)" if n is None else "%d개" % n)) def main(): ap = argparse.ArgumentParser(description="좌석 반납과 사용자 삭제를 구분해 보여 줍니다 (M6)") ap.add_argument("--email", required=True, help="대상 한 사람") ap.add_argument("--release-seat", action="store_true", help="화면의 「Remove users」 와 같은 요청(PATCH seats)") ap.add_argument("--delete-user", action="store_true", help="화면에 없는 API 전용 동작(DELETE users)") ap.add_argument("--apply", action="store_true", help="이것이 없으면 아무것도 바꾸지 않습니다") ap.add_argument("--yes", action="store_true", help="--delete-user 에 함께 필요합니다") a = ap.parse_args() u = find_user(a.email) if not u: sys.exit("그 주소는 이 계정의 Zero Trust 사용자 목록에 없습니다: " + a.email) print("사용자 %s" % u.get("email")) print(" id %s" % u.get("id")) print(" seat_uid %s" % (u.get("seat_uid") or "-")) print(" 마지막 로그인 %s" % (u.get("last_successful_login") or "-")) print("\n[전]") show("지금", u) if not (a.release_seat or a.delete_user): print("\n무엇도 바꾸지 않았습니다. 바꾸려면 --release-seat 또는 --delete-user 를 --apply 와 함께 주십시오.") print("두 동작의 차이:") print(" --release-seat PATCH /access/seats 좌석만 놓습니다. 사용자 줄과 세션은 남습니다.") print(" --delete-user DELETE /access/users/{id} 화면에 대응 버튼이 없는 동작입니다.") return if not a.apply: print("\n미리보기입니다(--apply 없음). 보낼 요청:") if a.release_seat: print(" PATCH /accounts/%s/access/seats" % ACCOUNT) print(" [{\"seat_uid\": \"%s\", \"access_seat\": false, \"gateway_seat\": false}]" % (u.get("seat_uid") or "?")) if a.delete_user: print(" DELETE /accounts/%s/access/users/%s" % (ACCOUNT, u.get("id"))) return if a.delete_user and not a.yes: sys.exit("--delete-user 는 --yes 도 필요합니다. 되돌릴 수 없는 동작입니다.") if a.release_seat: if not u.get("seat_uid"): sys.exit("seat_uid 가 없습니다 — 좌석을 쓰고 있지 않아 반납할 것이 없습니다.") call("PATCH", "/access/seats", body=[{ "seat_uid": u.get("seat_uid"), "access_seat": False, "gateway_seat": False, }]) print("\n좌석을 반납했습니다(화면의 「Remove users」 와 같은 요청).") if a.delete_user: call("DELETE", "/access/users/%s" % u.get("id")) print("\n사용자를 삭제했습니다(API 전용 동작).") after = find_user(a.email) print("\n[후]") if after: show("지금", after) print("\n🔴 사용자 줄이 **그대로 남아 있습니다.** 좌석을 놓은 것과 사람을 지운 것은 다른 일입니다.") else: print(" 사용자 목록에서 사라졌습니다.") print("🔴 열린 세션은 어느 쪽으로도 끊기지 않습니다 — 만료까지 그 브라우저는 계속 열립니다.") print("🔴 명단(Access 정책)에 이메일이 남아 있으면 다시 로그인해 좌석을 다시 차지합니다.") print(" 영구 차단은 IdP 계정 비활성화까지 해야 끝납니다.") if __name__ == "__main__": main() 문서: Seat management · 등록 API 화면: Team & Resources › Users · 딥링크(내 계정) ↗ 화면의 Remove users 버튼이 있는 곳입니다. 눌러 보고 감사 로그와 대조합니다. 계정당·사용자당 등록 단말 수를 제한하는 설정은 제품에 없습니다. 등록을 「삭제」하는 것은 관리자만 할 수 있지만, 「Allow device to leave organization」을 켜면 사용자가 클라이언트에서 Logout from Zero Trust 로 조직을 스스로 나갈 수 있습니다 (수동 등록한 단말만 — MDM 으로 밀어 넣은 단말은 불가). 자동으로 도는 것은 하나뿐 입니다 — Settings › Admin controls › Remove inactive users from seats (1개월~1년). 인증 이벤트와 단말 Last seen 을 둘 다 매일 검사해 기간 내에 둘 다 없는 사용자를 좌석에서 빼면서 그 사용자의 등록을 전부 지웁니다. 🔴 활성 사용자에게 쌓인 옛 단말은 이 설정으로 안 지워집니다. 그건 M4 의 경로로 쌓인 것이라 스크립트로 골라내야 합니다. 🔴 그리고 좌석은 단말이 아니라 「신원」에 붙습니다 — 기기를 아무리 지워도 좌석 수는 그대로입니다. 등록 화면에 로그인만 해도 좌석을 차지합니다 (등록이 완료되지 않아도 그렇습니다 — 랩에서 확인). 직접 해 보기 — 자동 정리가 누구를 데려가는지 미리 봅니다 (읽기만, 1분) 읽기 전용 토큰이면 됩니다. 아무것도 바뀌지 않습니다. 조직에 설정된 기간을 읽어 지금 그 기준에 걸리는 사람 을 줄로 냅니다. --days 90 처럼 주면 「기간을 바꾸면 누가 걸리나」를 바꾸기 전에 볼 수 있습니다. ⬇ inactive.py 내려받기 143줄 · 6KB · 표준 라이브러리만 씁니다(설치할 것 없음) ## 터미널에서 바로 받으시려면 (둘 중 아무거나) curl -O https://waf-lab.mzc.cflare.kr/lab/py/inactive.py wget https://waf-lab.mzc.cflare.kr/lab/py/inactive.py 파이썬 코드 보기 — inactive.py · 143줄 · 받기 전에 무엇을 하는지 읽어 보실 수 있습니다 안에 공식 API 문서 주소 도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다. #!/usr/bin/env python3 """자동 정리가 **누구를** 데려가는지 미리 봅니다 (운영 매뉴얼 M7). 🟢 읽기만 합니다. 아무것도 바꾸지 않습니다. 표준 라이브러리만 씁니다 — 설치할 것이 없습니다. export CF_API_TOKEN=<읽기 전용 토큰> # 권한: Access Read export CF_ACCOUNT_ID=<계정 ID> python inactive.py # 조직에 설정된 기간으로 셉니다 python inactive.py --days 90 # 「90일로 바꾸면 누가 걸리나」를 미리 봅니다 무엇을 하나 — Zero Trust 에서 자동으로 도는 정리는 **사용자 단위 하나뿐**입니다 (Settings › Admin controls › Remove inactive users from seats · 1개월~1년). 이 스크립트는 그 설정값을 읽고, **지금 그 기준에 걸리는 사람**을 줄로 보여 줍니다. 🔴 **활성 사용자에게 쌓인 옛 단말은 이 설정으로 안 지워집니다.** 정리는 「사람」 단위라서, 매일 들어오는 사람의 오래된 기기 줄은 그대로 남습니다 — 그건 M4 의 경로로 쌓인 것이고 기기 쪽 스크립트(hidden.py · cleanup.py)로 골라내야 합니다. 🔴 **좌석에서 빼는 것이 차단은 아닙니다.** 명단에 남아 있으면 다시 로그인해 다시 차지합니다(M6). 공식 문서 좌석 관리 https://developers.cloudflare.com/cloudflare-one/team-and-resources/users/seat-management/ 조직 조회 https://developers.cloudflare.com/api/resources/zero_trust/subresources/organizations/methods/list/ 사용자 목록 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/users/methods/list/ """ import argparse import datetime import json import os import sys import urllib.error import urllib.parse import urllib.request API = "https://api.cloudflare.com/client/v4" TOKEN = os.environ.get("CF_API_TOKEN", "") ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "") if not TOKEN or not ACCOUNT: sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.") def call(path, params=None): url = API + "/accounts/" + ACCOUNT + path if params: url += "?" + urllib.parse.urlencode(params) req = urllib.request.Request(url) req.add_header("Authorization", "Bearer " + TOKEN) try: with urllib.request.urlopen(req, timeout=30) as r: return json.loads(r.read().decode("utf-8")) except urllib.error.HTTPError as e: raw = e.read().decode("utf-8", "replace") try: msg = json.dumps(json.loads(raw).get("errors"), ensure_ascii=False) except ValueError: msg = raw[:200] sys.exit("GET %s → HTTP %d %s" % (path, e.code, msg)) def get_all(path): out, cursor = [], "" for _ in range(50): q = {"per_page": "100"} if cursor: q["cursor"] = cursor j = call(path, q) batch = j.get("result") or [] out.extend(batch) nxt = (j.get("result_info") or {}).get("cursor") or "" if not nxt or nxt == cursor or not batch: break cursor = nxt return out def parse_when(s): """ISO 시각을 날짜로. 못 읽으면 None — **못 읽은 줄은 대상에 넣지 않습니다.**""" if not s: return None t = str(s).replace("Z", "+00:00") try: return datetime.datetime.fromisoformat(t) except ValueError: return None ap = argparse.ArgumentParser(description="자동 정리에 걸릴 사람을 미리 봅니다 (M7)") ap.add_argument("--days", type=int, default=0, help="기준 일수를 직접 넣어 봅니다(조직 설정 대신)") a = ap.parse_args() org = (call("/access/organizations") or {}).get("result") or {} # 조직 설정값은 **분 단위**로 옵니다(user_seat_expiration_inactive_time 은 예: "43200m"). raw = str(org.get("user_seat_expiration_inactive_time") or "") set_days = 0 if raw.endswith("m") and raw[:-1].isdigit(): set_days = int(raw[:-1]) // (60 * 24) elif raw.endswith("h") and raw[:-1].isdigit(): set_days = int(raw[:-1]) // 24 elif raw.isdigit(): set_days = int(raw) // (60 * 24) days = a.days or set_days print("조직 설정 user_seat_expiration_inactive_time : %s%s" % (raw or "(꺼져 있습니다)", "" if not set_days else " (약 %d일)" % set_days)) if a.days: print("이 실행에서 쓰는 기준 : %d일 (직접 주신 값)" % days) if not days: print("\n🔴 기준이 없습니다. 조직에 설정이 없으면 **자동 정리가 아예 돌지 않습니다** —") print(" Settings › Admin controls › Remove inactive users from seats 에서 켭니다.") print(" 지금 누가 걸릴지 보려면 --days 90 처럼 직접 주십시오.") sys.exit(0) now = datetime.datetime.now(datetime.timezone.utc) users = get_all("/access/users") old, unknown, seated = [], [], 0 for u in users: if u.get("access_seat") or u.get("gateway_seat"): seated += 1 when = parse_when(u.get("last_successful_login")) if when is None: unknown.append(u) continue idle = (now - when).days if idle >= days: old.append((idle, u)) old.sort(key=lambda x: -x[0]) print("\n사용자 %d명 · 좌석을 쓰는 사람 %d명" % (len(users), seated)) print("기준(%d일) 이상 로그인 없는 사람 : %d명" % (days, len(old))) print("%-34s %-10s %s" % ("이메일", "안 들어온 날", "좌석")) print("-" * 60) for idle, u in old[:60]: print("%-34s %-10s %s" % ( str(u.get("email") or "-")[:34], "%d일" % idle, "쓰는 중" if (u.get("access_seat") or u.get("gateway_seat")) else "없음")) if unknown: print("\n마지막 로그인을 못 읽은 줄 %d개 — **대상에 넣지 않았습니다.**" % len(unknown)) print("한 번도 로그인하지 않은 사람일 수 있습니다(좌석도 없습니다).") print("\n🔴 이 목록은 **사람**입니다. 활성 사용자에게 쌓인 옛 기기 줄은 여기 안 나옵니다 —") print(" 그건 hidden.py / cleanup.py 로 봅니다(M4).") 문서: Device registration · Seat management 화면: Settings › Admin controls · 딥링크(내 계정) ↗ 「Remove inactive users from seats」가 여기 있습니다(1개월~1년). 앱 조건을 실행파일로 거는 것은 목적지 조건 (호스트·IP·포트)으로는 안 됩니다. 대신 단말 자세 검사(Device posture)의 Application check 를 정책의 Require 로 겁니다. Windows·macOS·Linux 모두 지원하고 필수 입력은 실행 파일 경로 하나 (서명 지문·SHA-256 은 선택). 랩 단말에서 프로그램을 켜고 끄며 확인했습니다 — 정해진 주기마다 실제로 돌고, 끄면 다음 주기에 판정이 뒤집힙니다. 🔴 경로에는 「실제 실행 파일」 을 넣어야 합니다. 배치 파일·스크립트를 넣으면 실행 중이어도 「아니오」 로 나옵니다 — 검사가 보는 것은 실행 중 프로세스의 실제 실행 파일 경로 여서, 스크립트를 돌리면 그 값이 해석기(셸)가 되기 때문입니다. 🔵 「설치돼 있나」 와 「돌고 있나」 는 다른 신호입니다. 파일이 있으면 실행 여부와 무관하게 체크섬이 계산되고, 없으면 빕니다. 나눠서 쓸 수 있습니다. 전제: 단말에 클라이언트가 설치돼 있어야 합니다. 문서: Application check 직접 해 보기 — ① 내 계정에 이 함정이 있나 (1분, 읽기만) · ② 왜 그런지 눈으로 (Linux 단말 1대) ① 먼저 스크립트로 — 「내 계정에 이미 이 함정이 있나」 (1분, 읽기만) 아래 ②는 왜 그런지 를 눈으로 보는 것이고, 이건 그 다음 질문 에 답합니다 — 이미 만들어 둔 검사 중에 경로가 스크립트로 박힌 것이 있나. 단말을 한 대씩 볼 수 없는 것을 한 번에 봅니다. ⬇ posture.py 내려받기 111줄 · 5KB · 표준 라이브러리만 씁니다(설치할 것 없음) ## 터미널에서 바로 받으시려면 (둘 중 아무거나) curl -O https://waf-lab.mzc.cflare.kr/lab/py/posture.py wget https://waf-lab.mzc.cflare.kr/lab/py/posture.py 파이썬 코드 보기 — posture.py · 111줄 · 받기 전에 무엇을 하는지 읽어 보실 수 있습니다 안에 공식 API 문서 주소 도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다. #!/usr/bin/env python3 """경로에 실행 파일이 아니라 스크립트가 박힌 자세 검사를 찾아냅니다 (운영 매뉴얼 M8). 🟢 읽기만 합니다. 아무것도 바꾸지 않습니다. export CF_API_TOKEN=<읽기 전용 토큰>; export CF_ACCOUNT_ID=<계정 ID> python posture.py 무엇을 찾나 — Application check 의 경로에 셸 스크립트·배치 파일을 넣으면 **실행 중이어도 「아니오」로 나옵니다.** 검사가 보는 것은 실행 중 프로세스의 실제 실행 파일 경로(리눅스면 /proc//exe)여서, 스크립트를 돌리면 그 값이 해석기(/bin/sh)가 되어 지정한 경로와 안 맞기 때문입니다. 🔵 단말이 실제로 어떻게 판정됐는지(running · sha256)를 주는 **공개 API 는 없습니다** (2026-09-11 OpenAPI 전수 확인). 그것은 대시보드에서 봅니다. 이 코드는 **설정 쪽**을 봅니다 — 단말을 한 대씩 열어 볼 수 없는 것을 한 번에 봅니다. 공식 문서 자세 검사 API https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/posture/methods/list/ Application check https://developers.cloudflare.com/cloudflare-one/reusable-components/posture-checks/client-checks/application-check/ """ import json, os, sys, urllib.request API = "https://api.cloudflare.com/client/v4" TOKEN = os.environ.get("CF_API_TOKEN", "") ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "") if not TOKEN or not ACCOUNT: sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.") SCRIPT_EXT = (".sh", ".bash", ".zsh", ".ksh", ".py", ".rb", ".pl", ".php", ".lua", ".bat", ".cmd", ".ps1", ".vbs", ".js", ".jar") WIN_EXEC_EXT = (".exe", ".com", ".msi", ".dll", ".sys") def get(path): req = urllib.request.Request(API + "/accounts/" + ACCOUNT + path) req.add_header("Authorization", "Bearer " + TOKEN) with urllib.request.urlopen(req, timeout=30) as r: return json.loads(r.read().decode("utf-8")).get("result") or [] def posture_uids(o, out): """정책 안 어디에 있든 device_posture.integration_uid 를 긁어 옵니다. (Access 정책의 자세 검사 조건은 {"device_posture": {"integration_uid": "<검사 id>"}} 모양입니다.)""" if isinstance(o, dict): dp = o.get("device_posture") if isinstance(dp, dict) and dp.get("integration_uid"): out.add(str(dp["integration_uid"])) for v in o.values(): posture_uids(v, out) elif isinstance(o, list): for v in o: posture_uids(v, out) rules = get("/devices/posture") path_rules = [r for r in rules if r.get("type") in ("application", "file")] print("자세 검사 %d개 중 경로를 보는 것 %d개 (Application check · File check)" % (len(rules), len(path_rules))) if not path_rules: print("경로형 검사가 없습니다 — 아직 이 함정에 빠질 자리가 없습니다.") sys.exit(0) # 어느 정책이 이 검사를 물고 있는지 — 판정이 뒤집히면 막히는 것이 그것입니다. used = {} for path, label in (("/access/policies", "재사용 정책"), ("/access/apps", "앱")): try: for item in get(path): got = set() posture_uids(item, got) for u in got: used.setdefault(u, []).append("%s 「%s」" % (label, item.get("name") or item.get("id"))) except Exception as e: print(" ⚠️ %s 를 못 읽었습니다(%s) — 사용처는 비워 둡니다" % (path, str(e)[:50])) bad = 0 for r in path_rules: inp = r.get("input") or {} p = str(inp.get("path") or "") osname = str(inp.get("operating_system") or "-") low = p.lower() kind = "Application check(돌고 있나)" if r.get("type") == "application" else "File check(설치돼 있나)" if low.endswith(SCRIPT_EXT): mark = "🔴" why = ("스크립트 경로입니다. 실행 중이어도 running:false 로 나옵니다 — 검사가 보는 것은 " "실행 중 프로세스의 실제 실행 파일이라 여기서는 해석기(/bin/sh 등)가 잡힙니다.") elif osname == "windows" and low and not low.endswith(WIN_EXEC_EXT): mark, why = "⚠️", "윈도우인데 실행 파일 확장자가 아닙니다. 바로가기·스크립트면 안 잡힙니다." else: mark, why = "🟢", "" if mark != "🟢": bad += 1 print("\n%s %s" % (mark, r.get("name") or r.get("id"))) print(" %s · OS %s" % (kind, osname)) print(" 경로 %s" % (p or "(없음)")) where = used.get(str(r.get("id")), []) print(" 쓰는 곳: " + (", ".join(where[:4]) if where else "없음 — 만들어만 두고 아무 정책에도 안 걸었습니다")) if why: print(" → " + why) print("") if bad: print("🔴 손봐야 할 검사 %d개. 경로를 진짜 실행 파일로 바꾸십시오." % bad) print(" 「설치돼 있나」만 보고 싶은 것이라면 Application check 가 아니라 File check 를 씁니다 —") print(" 파일이 있으면 돌든 안 돌든 sha256 이 계산됩니다. 다른 신호입니다.") else: print("🟢 스크립트 경로로 잘못 건 검사는 없습니다.") export CF_API_TOKEN=<읽기 전용 토큰>; export CF_ACCOUNT_ID=<계정 ID> python posture.py 경로를 보는 검사(Application check · File check)를 전부 훑어 🔴 스크립트 확장자 ( .sh .py .bat .ps1 … )와 ⚠️ 윈도우인데 실행 파일이 아닌 경로 를 잡아냅니다. 그리고 그 검사를 어느 정책·앱이 물고 있는지 까지 함께 냅니다 — 판정이 뒤집히면 막히는 것이 그것이라서요. 아무 정책도 안 건 검사는 「쓰는 곳: 없음」으로 표시합니다(있어도 아무 일 안 합니다). 🔵 판정 결과 자체를 주는 공개 API 는 없습니다. 단말별 running · sha256 은 화면(Devices › 그 단말)에서 봅니다 — 그래서 ②가 필요합니다. ② 단말 한 대로 — 「왜 그런지」를 눈으로 (리눅스 1대) Reusable components › Posture checks › Cloudflare One Client checks › Device posture › Add › Application check — OS Linux , Path /usr/local/bin/labproc 그 경로에 셸 스크립트 를 두고 실행합니다 sudo tee /usr/local/bin/labproc >/dev/null <<'EOF' #!/bin/sh while :; do sleep 5; done EOF sudo chmod +x /usr/local/bin/labproc && sudo /usr/local/bin/labproc & 다음 검사 주기 뒤(우리는 1분으로 뒀습니다) 그 단말의 자세 검사 결과 → 🔴 running: false 같은 경로를 진짜 실행 파일 로 바꾸고 다시 띄웁니다 sudo tee /tmp/l.c >/dev/null <<'EOF' #include int main(void){ for(;;) pause(); } EOF sudo gcc /tmp/l.c -o /usr/local/bin/labproc && sudo /usr/local/bin/labproc & 1분 뒤 → running: true 왜 그런가 — 검사가 보는 것은 실행 중 프로세스의 실제 실행 파일 경로 ( /proc//exe )입니다. 스크립트를 돌리면 그 값이 해석기( /bin/sh )라서 지정한 경로와 안 맞습니다. sha256 은 다른 신호 입니다 — 파일이 있으면 돌든 안 돌든 계산되고, 없으면 null 입니다. 「설치돼 있나」와 「돌고 있나」를 나눠 쓸 수 있습니다. 화면: Reusable components › Posture checks · 딥링크(내 계정) ↗ 「Application check」를 만들고 정책의 Require 에 겁니다. ① 다른 수단이 남아 있습니다 (인증 앱을 잃었지만 보안키가 있는 등) → 사용자가 App Launcher › Account › MFA devices 에서 남은 수단으로 본인 확인 뒤 옛 기기를 직접 지우고 새로 등록합니다. 관리자 개입 없음. ② 수단이 하나뿐이었습니다 → 🔴 사용자가 스스로 할 수 있는 일이 없습니다. 기기를 지우려면 기존 수단으로 본인 확인을 해야 하는데 그 수단이 없기 때문입니다. 복구 코드·백업 코드도 없습니다. 관리자가 Users › 사용자 › MFA devices 에서 지워 줘야 다음 접속에 등록 화면이 다시 뜹니다(화면 작업 1~2분). 야간·휴일에 관리자가 없으면 그동안 접근이 막힙니다. 그래서 둘을 함께 권합니다 : 사용자당 수단 2개 이상 (①의 경로가 열리면 관리자가 아예 필요 없습니다) · 지울 수 있는 관리자 2명 이상 . 🔵 공용 계정은 같은 QR 을 여러 휴대폰에 등록하면 됩니다(공식 문서가 안내하는 방법). 사용자당 인증기가 1개라는 뜻이지 휴대폰이 1대라는 뜻이 아닙니다. 직접 해 보기 — 한 사람의 2차 인증 수단을 보고, 필요하면 지웁니다 (기본은 읽기만) 기본은 읽기만 합니다 — 지우는 것은 --delete 를 --apply 와 함께 줄 때뿐입니다. 🔴 목록 API 가 없습니다. 이 목록은 「마지막 로그인 순간에 찍힌 사진」이라, 스크립트가 개수를 단정하지 않고 찍힌 시각을 함께 냅니다 — 그 뒤에 등록한 수단은 안 보입니다. ⬇ mfa.py 내려받기 123줄 · 6KB · 표준 라이브러리만 씁니다(설치할 것 없음) ## 터미널에서 바로 받으시려면 (둘 중 아무거나) curl -O https://waf-lab.mzc.cflare.kr/lab/py/mfa.py wget https://waf-lab.mzc.cflare.kr/lab/py/mfa.py 파이썬 코드 보기 — mfa.py · 123줄 · 받기 전에 무엇을 하는지 읽어 보실 수 있습니다 안에 공식 API 문서 주소 도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다. #!/usr/bin/env python3 """한 사람의 2차 인증 수단을 보고, 필요하면 지웁니다 (운영 매뉴얼 M9). 🟢 기본은 읽기만 합니다. 지우는 것은 --delete 를 --apply 와 함께 줄 때뿐입니다. 표준 라이브러리만 씁니다 — 설치할 것이 없습니다. export CF_API_TOKEN=<토큰> # 읽기: Access Read · 지우기: Access Write export CF_ACCOUNT_ID=<계정 ID> python mfa.py --email someone@example.com python mfa.py --email someone@example.com --delete <인증기 id> --apply 🔴 **목록 API 가 없습니다.** 이 목록은 `last_seen_identity` 안의 `mfa_authenticators` 이고, 그것은 「마지막 로그인 순간에 찍힌 사진」입니다. 그 뒤에 등록한 수단은 **안 보입니다** — 그래서 이 스크립트는 개수를 단정하지 않고 **찍힌 시각을 함께** 냅니다. 한 번 더 로그인하면 갱신됩니다. 🔴 **지우는 것과 등록해 주는 것은 다릅니다.** 관리자가 대신 등록해 줄 수는 없습니다 — 지우면 그 사람이 다음 접속에 「Setup MFA」 화면을 받아 본인이 다시 QR 을 찍습니다. 권하는 예방 — 사용자마다 수단 2개 이상(인증 앱 + 보안키/생체). 그러면 하나를 잃어도 본인이 App Launcher › Account 에서 직접 정리할 수 있고 관리자가 아예 필요 없습니다. 공식 문서 Independent MFA https://developers.cloudflare.com/cloudflare-one/access-controls/access-settings/independent-mfa/ 마지막 신원 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/users/subresources/last_seen_identity/methods/get/ 사용자 목록 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/users/methods/list/ """ import argparse import json import os import sys import urllib.error import urllib.parse import urllib.request API = "https://api.cloudflare.com/client/v4" TOKEN = os.environ.get("CF_API_TOKEN", "") ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "") if not TOKEN or not ACCOUNT: sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.") def call(method, path, params=None): url = API + "/accounts/" + ACCOUNT + path if params: url += "?" + urllib.parse.urlencode(params) req = urllib.request.Request(url, method=method) req.add_header("Authorization", "Bearer " + TOKEN) try: with urllib.request.urlopen(req, timeout=30) as r: return json.loads(r.read().decode("utf-8")) except urllib.error.HTTPError as e: raw = e.read().decode("utf-8", "replace") try: msg = json.dumps(json.loads(raw).get("errors"), ensure_ascii=False) except ValueError: msg = raw[:200] sys.exit("%s %s → HTTP %d %s" % (method, path, e.code, msg)) def get_all(path): out, cursor = [], "" for _ in range(50): q = {"per_page": "100"} if cursor: q["cursor"] = cursor j = call("GET", path, q) batch = j.get("result") or [] out.extend(batch) nxt = (j.get("result_info") or {}).get("cursor") or "" if not nxt or nxt == cursor or not batch: break cursor = nxt return out ap = argparse.ArgumentParser(description="한 사람의 2차 인증 수단 (M9)") ap.add_argument("--email", required=True) ap.add_argument("--delete", metavar="ID", help="지울 인증기 id") ap.add_argument("--apply", action="store_true", help="이것이 없으면 지우지 않습니다") a = ap.parse_args() want = a.email.strip().lower() user = None for u in get_all("/access/users"): if str(u.get("email") or "").strip().lower() == want: user = u break if not user: sys.exit("그 주소는 이 계정의 Zero Trust 사용자 목록에 없습니다: " + a.email) print("사용자 %s" % user.get("email")) print(" id %s" % user.get("id")) print(" 마지막 로그인 %s" % (user.get("last_successful_login") or "-")) seen = (call("GET", "/access/users/%s/last_seen_identity" % user.get("id")) or {}).get("result") or {} auth = seen.get("mfa_authenticators") or [] print("\n찍힌 시각 %s ← 이 시점의 사진입니다" % (seen.get("iat") or user.get("last_successful_login") or "-")) print("등록된 수단 %d개" % len(auth)) for m in auth: print(" %-38s %-14s %s" % ( str(m.get("id") or "-")[:38], str(m.get("type") or "-")[:14], str(m.get("name") or "")[:30])) if not auth: print(" (이 사진에는 없습니다 — 한 번도 등록하지 않았거나, **이 로그인 뒤에 등록**했을 수 있습니다)") if not a.delete: print("\n지우려면 --delete 를 --apply 와 함께 주십시오.") print("지운 뒤 그 사람은 다음 접속에 「Setup MFA」 를 받고 본인이 다시 등록합니다.") sys.exit(0) if not a.apply: print("\n미리보기입니다(--apply 없음). 보낼 요청:") print(" DELETE /accounts/%s/access/users/%s/mfa_authenticators/%s" % (ACCOUNT, user.get("id"), a.delete)) sys.exit(0) if auth and not any(str(m.get("id")) == a.delete for m in auth): print("\n⚠️ 그 id 는 이 사진에 없습니다 — 사진이 낡았을 수 있어 그대로 보냅니다.") call("DELETE", "/access/users/%s/mfa_authenticators/%s" % (user.get("id"), a.delete)) print("\n지웠습니다. 그 사람이 다음에 보호된 앱에 접속하면 「Setup MFA」 화면을 받습니다.") print("직접 링크를 보내도 됩니다: https://<팀이름>.cloudflareaccess.com/AddMfaDevice") 문서: Independent MFA · Seat management 화면: Team & Resources › Users · 딥링크(내 계정) ↗ 사용자를 클릭 → 「User identity」 탭 맨 아래 MFA devices 에서 지웁니다. 위 M9 는 Zero Trust 사용자 이야기입니다. 관리자 계정이 Cloudflare 대시보드 자체의 2단계 인증 에 잠기면 콘솔에서 풀 수 없습니다. 1순위 근거는 백업 코드 이고, 없으면 Cloudflare 복구 절차를 본인이 직접 신청해야 합니다 — 로그인 2단계 화면의 「Lost all 2FA devices and backup codes?」 → Try recovery 입니다. 🔴 전에 로그인한 적 있는 기기 에서 해야 하고, 승인 메일까지 3~5일 걸리며 단축되지 않습니다 . 즉 야간에 잠기면 그날 안에 못 풉니다 — 그래서 아래 예방이 실질적인 대책입니다 — 파트너·동료가 대신 신청할 수 없습니다. 예방은 셋: 백업 코드를 초기화되는 환경(VDI 등) 밖에 보관 · 계정에 이메일 2단계 추가 · Super Administrator 2명 이상 . 문서: 2FA · 백업 코드 화면: My Profile › Access Management › Authentication · 딥링크(내 프로필) ↗ 🔴 계정 단위가 아니라 「사람」 단위 화면입니다 — 관리자 각자가 본인 것을 켜야 하고, 남이 대신 못 켭니다. 백업 코드도 여기서 받습니다. AD 그룹을 자동으로 따라가게 — AD FS Claim Rule 에서 Token-Groups - Unqualified Names 를 groups 속성으로 보내면 정책·Rule group 에서 「SAML Group」 선택자로 그룹을 바로 지정할 수 있습니다. 로그인할 때 SAML 응답의 그룹을 읽으므로 AD 에서 그룹만 바꾸면 다음 로그인부터 반영 되고 Cloudflare 쪽 목록을 고칠 필요가 없습니다. 🔴 Reusable components › Lists 의 이메일 목록은 Gateway 정책과 Access 애플리케이션 정책 양쪽에서 쓸 수 있습니다 (API 로는 email_list , 정책의 include·exclude·require 어디에나 들어갑니다). 정책 여러 개가 같은 사람 묶음을 쓰면 Lists 나 Rule group 중 하나로 모아 두면 됩니다 — 어느 쪽이든 됩니다. ⚠️ 정정(2026-09-10) : 여기 「Lists 는 네트워크 정책 전용이라 앱 정책에는 못 씁니다」고 적혀 있었는데 틀린 내용이었습니다. 공식 문서가 “…when creating Gateway policies or Access policies ” 라고 명시하고, 지원 타입에 User email addresses 가 있습니다. 문서·API 재확인으로 바로잡았습니다. 퇴사자 자동 해제(SCIM 2.0) 는 그것을 제공하는 IdP 에서만 됩니다. AD FS 는 SCIM 을 제공하지 않아 해당 없음 → AD 계정 비활성화 + 스크립트 정리를 함께 운영합니다. 앱 일괄 등록 은 Terraform·Pulumi 로. 목록(앱명·호스트/IP·포트·대상 그룹)에서 코드를 만들고 적용 전 변경 내역을 먼저 보여준 뒤 반영합니다. 문서: AD FS · Rule groups · SCIM 화면: Access controls › Policies · Integrations › Identity providers · 딥링크(내 계정) ↗ 그룹 조건은 정책에서, AD FS 클레임 매핑은 Identity providers ↗ 에서 봅니다. 🔴 두 모드가 자주 거꾸로 이해됩니다. Exclude (기본값)는 「 적어 둔 것만 빠지고 나머지 전부가 Gateway 로 갑니다 」이고, Include 는 「 적어 둔 것만 Gateway 로 가고 나머지는 전부 지나칩니다 」입니다. 기본 제외 목록이 사설 대역( 10/8 · 172.16/12 · 192.168/16 )이라, 기본 상태에서는 사내 대역이 터널을 안 타고 인터넷이 Gateway 를 탑니다 — 흔히 반대로 알고 있습니다. 🔴 이렇게 제외한 트래픽은 Gateway 네트워크·HTTP 로그에 남지 않습니다 — 공식 문서도 「로그에서 보고 싶은 사이트는 제외하지 말라」 고 명시합니다. 다만 DNS 질의 는 제외 여부와 무관하게 Gateway 가 처리하므로 DNS 로그에는 남고 DNS 정책도 적용됩니다 — 단 Local Domain Fallback 에 넣은 도메인은 이것마저 빠집니다. 중국 구간 — 중국 안에서 쓰려면 전용 IP 를 따로 발급받습니다. Cloudflare 가 중국 통신사 파트너를 통해 할당하고, 대역폭과 출구(Exit) 지점이 함께 정해져서 나옵니다. 신청해서 받는 것이지 화면에서 켜는 값이 아닙니다. 받은 IP 는 Device profile › Global Acceleration › Tunnel protocol endpoints 에 넣습니다. 포트 규칙이 셋 다 다릅니다: · WireGuard <발급IP>:2408 · MASQUE <발급IP>:443 · API <발급IP> (포트 없음) 🔴 MDM 으로 배포한 단말은 화면만 고쳐서는 안 바뀝니다. 그 단말들은 MDM 파일 안의 endpoint 도 같이 고쳐 재배포 해야 합니다 ( override_warp_endpoint · override_api_endpoint ). 「화면이냐 MDM 이냐」가 아니라 배포 방식에 따라 갈립니다 — 손으로 설치한 단말은 화면 설정이 내려가고, MDM 단말은 파일이 이깁니다. 여기가 오래 헷갈리던 지점이었습니다. 🔴 전환은 한 번에 하지 않습니다. 기존 회선이 살아 있는 동안 일부 단말에만 먼저 넣어 실제로 붙는지 확인하고, 확인된 뒤에 나머지로 넓힙니다. 기존 회선이 끊긴 뒤에 문제를 발견하면 되돌릴 곳이 없습니다. 🔵 2026-09-10 실제 전환 건에서 확인한 절차 🔴 Tunnel protocol 은 「지정 안 하면 기본값을 따릅니다」. 프로파일 목록에서 비어 보이는데 상세에는 값이 뜨는 경우가 있는데, 목록은 지정값 , 상세는 적용값 으로 읽힙니다. 제품 기본값이 MASQUE(HTTP/3) 로 바뀌어 있어, 지정이 없으면 클라이언트 업그레이드 때 프로토콜이 조용히 바뀔 수 있습니다. 경로가 까다로운 구간에서는 이 차이가 접속 성패를 가르기도 합니다. 🔴 「우회시켜 달라」는 요청이 Include 프로필에서는 뒤집힙니다. Include 로 운영하는 프로필은 목록에 없는 것이 이미 전부 우회 입니다 — 그래서 우회가 목적이면 등록할 것이 없습니다 . 같은 요청을 그대로 목록에 넣으면 반대로 그 주소만 터널을 타게 됩니다. 요청을 받으면 먼저 되묻습니다: 「터널을 타야 하나, 지나쳐야 하나」 . 🔴 프로필을 고쳤는데 그 단말만 안 바뀐다면, 그 단말이 그 프로필을 안 받은 것입니다. 프로필은 목록 위에서 아래로 첫 일치 이고(한 번 맞으면 아래는 보지 않습니다), Default 는 항상 맨 아래 에서 아무 조건에도 안 맞은 단말을 받습니다. 그래서 설정을 고치기 전에 그 단말이 어느 프로필을 받았는지 를 확인해야 합니다. 반영에는 최대 10분 이 걸립니다 — 바로 안 바뀌는 것은 고장이 아닙니다. 🔵 다른 VPN 과 같이 쓰는 경우 대역이 겹치는지 대조할 대상이 프로토콜에 따라 다릅니다 . 단말에 생기는 가상 어댑터 주소가 WireGuard 는 172.16.0.2 로 모든 단말이 같고 , MASQUE 는 100.96.0.0/12 에서 단말마다 다른 주소 를 받습니다(지정해서 바꿀 수도 있습니다). 「고정값 하나」로 알고 대조하면 MASQUE 단말에서 어긋납니다. 그리고 이름 조회(DNS)는 두 제품 중 한쪽만 담당해야 합니다 — 둘이 동시에 잡으면 M15 의 「다른 VPN 이 라우팅·DNS 를 두고 다툽니다」 증상이 됩니다. 직접 해 보기 — 프로필을 적용 순서대로 펼치고 분할 터널 모드까지 봅니다 (읽기만, 1분) 읽기 전용 토큰이면 됩니다. 아무것도 바뀌지 않습니다. 프로필은 위에서 아래로 첫 일치 이고 Default 가 맨 아래입니다. 이 스크립트가 그 순서와 조건(match), 그리고 프로필마다 Include 인지 Exclude 인지 를 함께 냅니다 — 고치기 전에 볼 것이 이 표입니다. ⬇ profiles.py 내려받기 103줄 · 5KB · 표준 라이브러리만 씁니다(설치할 것 없음) ## 터미널에서 바로 받으시려면 (둘 중 아무거나) curl -O https://waf-lab.mzc.cflare.kr/lab/py/profiles.py wget https://waf-lab.mzc.cflare.kr/lab/py/profiles.py 파이썬 코드 보기 — profiles.py · 103줄 · 받기 전에 무엇을 하는지 읽어 보실 수 있습니다 안에 공식 API 문서 주소 도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다. #!/usr/bin/env python3 """단말 프로필을 **적용 순서대로** 펼칩니다 — 그리고 분할 터널 모드까지 (운영 매뉴얼 M12). 🟢 읽기만 합니다. 아무것도 바꾸지 않습니다. 표준 라이브러리만 씁니다 — 설치할 것이 없습니다. export CF_API_TOKEN=<읽기 전용 토큰> # 권한: Zero Trust Read export CF_ACCOUNT_ID=<계정 ID> python profiles.py 왜 순서가 중요한가 — 프로필은 **위에서 아래로 첫 일치**입니다. 한 번 맞으면 아래는 보지 않고, 아무 조건에도 안 맞은 단말은 **맨 아래 Default** 가 받습니다. 🔴 그래서 「프로필을 고쳤는데 그 단말만 안 바뀐다」의 대부분은 **그 단말이 그 프로필을 안 받은 것**입니다. 고치기 전에 순서와 조건(match)을 먼저 봅니다. 반영에는 최대 10분이 걸립니다. 🔴 **Include 와 Exclude 는 방향이 반대입니다.** Exclude(기본) = 적어 둔 것만 빠지고 나머지 전부가 Gateway 로 갑니다. Include = 적어 둔 것만 Gateway 로 가고 나머지는 전부 지나칩니다. 그래서 Include 프로필에서 「우회시켜 달라」는 요청은 **등록할 것이 없습니다** — 그 주소를 목록에 넣으면 오히려 터널을 타게 됩니다. 공식 문서 프로필 목록 https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/policies/methods/list/ 분할 터널 https://developers.cloudflare.com/cloudflare-one/team-and-resources/devices/cloudflare-one-client/configure/route-traffic/split-tunnels/ 프로필 문서 https://developers.cloudflare.com/cloudflare-one/team-and-resources/devices/cloudflare-one-client/configure/device-profiles/ """ import json import os import sys import urllib.error import urllib.request API = "https://api.cloudflare.com/client/v4" TOKEN = os.environ.get("CF_API_TOKEN", "") ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "") if not TOKEN or not ACCOUNT: sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.") def call(path, quiet=False): url = API + "/accounts/" + ACCOUNT + path req = urllib.request.Request(url) req.add_header("Authorization", "Bearer " + TOKEN) try: with urllib.request.urlopen(req, timeout=30) as r: return json.loads(r.read().decode("utf-8")) except urllib.error.HTTPError as e: if quiet: return None raw = e.read().decode("utf-8", "replace") try: msg = json.dumps(json.loads(raw).get("errors"), ensure_ascii=False) except ValueError: msg = raw[:200] sys.exit("GET %s → HTTP %d %s" % (path, e.code, msg)) def split_tunnel(pid): """그 프로필의 분할 터널. 🔴 include 가 비어 있지 않으면 **Include 모드**입니다. Default 프로필은 policy_id 가 없는 경로(/devices/policy/include)로 물어봅니다. """ base = "/devices/policy" + ("/" + pid if pid else "") inc = call(base + "/include", quiet=True) or {} exc = call(base + "/exclude", quiet=True) or {} inc_n = len(inc.get("result") or []) exc_n = len(exc.get("result") or []) mode = "Include" if inc_n else ("Exclude" if exc_n else "(못 읽었습니다)") return mode, inc_n, exc_n profiles = (call("/devices/policies") or {}).get("result") or [] # precedence 가 작을수록 위입니다. Default 는 precedence 가 없고 항상 맨 아래입니다. ordered = sorted( profiles, key=lambda p: (1 if p.get("default") else 0, p.get("precedence") if p.get("precedence") is not None else 10 ** 9), ) print("단말 프로필 %d개 — 위에서 아래로 첫 일치, Default 는 맨 아래\n" % len(ordered)) print("%-4s %-26s %-7s %-10s %-22s %s" % ("순서", "이름", "켜짐", "모드", "분할터널", "조건(match)")) print("-" * 108) for i, p in enumerate(ordered, 1): pid = "" if p.get("default") else str(p.get("policy_id") or "") mode, inc_n, exc_n = split_tunnel(pid) st = "%s (포함 %d · 제외 %d)" % (mode, inc_n, exc_n) print("%-4s %-26s %-7s %-10s %-22s %s" % ( "기본" if p.get("default") else str(p.get("precedence") if p.get("precedence") is not None else i), str(p.get("name") or ("Default" if p.get("default") else p.get("policy_id")))[:26], "예" if p.get("enabled", True) else "아니오", str(p.get("service_mode_v2", {}).get("mode") if isinstance(p.get("service_mode_v2"), dict) else "-")[:10], st, (str(p.get("match") or "-"))[:40])) print("\n읽는 법") print(" · 위에서부터 **첫 일치**입니다. 어떤 단말이 위쪽 프로필 조건에 맞으면 아래는 안 봅니다.") print(" · 조건(match)이 비어 있고 Default 로 찍힌 줄이 **아무 조건에도 안 맞은 단말**을 받습니다.") print(" · 「모드」는 클라이언트 동작 방식(service_mode_v2)입니다 — warp / posture_only 등.") print(" · 분할 터널이 **Include** 인 프로필에서는 목록에 없는 것이 이미 전부 우회입니다.") print("\n🔴 설정을 고쳐도 최대 10분 걸립니다. 그리고 MDM 으로 배포한 단말은 화면 설정이 아니라") print(" MDM 파일이 이깁니다 — 그쪽도 함께 고쳐 재배포해야 합니다.") 문서: Split Tunnels · MDM 파라미터 · Tunnel protocol · Device profiles · Client architecture 화면: Team & Resources › Devices › Device settings › Split Tunnels · 딥링크(내 계정) ↗ 프로필을 열어 Split Tunnels 를 봅니다. 여기서 제외한 대역은 로그에도 안 남습니다. 화면에 Firewall policies · Resolver policies 같은 항목이 있는데 하나도 안 켜져 있는 경우가 흔합니다. 고장이 아니라 「아직 안 쓰는 기능」 입니다. Zero Trust 는 막는 자리가 둘 인데, 그 둘이 하는 일이 다릅니다. ① Access (문) — 「이 사람이 이 앱에 들어가도 되나」 . 신원을 보고 판단합니다. 지금 이 실습장에서 다룬 것이 전부 이쪽입니다. ② Gateway (길) — 「이 단말이 이 목적지로 나가도 되나」 . 주로 목적지 (도메인·IP·포트)를 보지만, 사용자 신원과 단말 상태도 조건으로 쓸 수 있습니다 — 「Access 는 신원, Gateway 는 목적지」로 잘라 두면 Gateway 로 할 수 있는 일을 과소평가하게 됩니다. 가르는 기준은 「앱 앞을 지키나, 나가는 길을 지키나」 입니다. 도박·악성코드 도메인 차단, 특정 SaaS 만 허용 같은 것이 여기입니다. Gateway 는 다시 세 층입니다. DNS 정책 은 도메인을 물어보는 단계 에서 답을 안 주는 방식이라 가장 가볍고 빠릅니다. 네트워크 정책 은 IP·포트 단위, HTTP 정책 은 URL·파일 단위로 더 자세히 봅니다. 🔴 전부 꺼져 있어도 Access 는 정상으로 돕니다. 둘은 서로를 필요로 하지 않습니다 — 「사내 앱에 누가 들어오나」만 관리하는 조직은 Gateway 를 안 켜는 것이 오히려 자연스럽습니다. 🔴 켤 때 주의: DNS 정책은 「도메인」 단위라 IP 로 직접 가는 트래픽은 못 막습니다. 그건 네트워크 정책의 몫입니다. 🔴 그리고 Split Tunnels 에서 제외한 대역은 네트워크·HTTP 정책과 로그 를 벗어나지만, DNS 질의는 여전히 Gateway 가 처리하고 DNS 정책·로그가 적용됩니다 (M12). 「제외했으니 아무것도 안 걸립니다」가 아닙니다. 화면: Traffic policies › Firewall policies · 딥링크(내 계정) ↗ · Gateway 정책 문서 ↗ · DNS 정책 문서 ↗ 삭제는 되돌릴 수 없습니다. 다만 쓰고 있는 단말은 재인증으로 자동 복구 되므로, 실제로 정리 효과가 남는 것은 정말 안 쓰는 단말뿐입니다. 순서를 이렇게 둡니다. ① 조회 전용 토큰 으로 대상 목록만 뽑습니다 — 읽기 권한만 준 토큰은 삭제 호출 자체가 실패 해서 사고가 원천적으로 안 납니다. ② 협의된 1대만 지워 보고 재인증까지 확인합니다. ③ 확인 후 일괄. 스크립트에 둘 안전장치: 기본을 미리보기 로(옵션 없이는 아무것도 안 지우고 검토용 목록만) · 실행 시 확인 입력 · 사용자별 최신 1대 보존 옵션(전 단말이 오래된 사용자도 마지막 1대는 남습니다) · last_seen 이 빈 등록은 건드리지 않기 · 호출 제한 자동 재시도 · 실행 결과를 별도 파일로. 🟢 대상 목록은 CSV 로 뽑으실 수 있습니다 — --csv 대상.csv 를 붙이면 됩니다. 미리보기에서도 나옵니다 (아직 아무것도 지우지 않은 상태입니다). 정리는 대개 「우리가 지운다」가 아니라 「목록을 뽑아 부서에 돌려 확인받는다」 로 시작하는데, 화면 출력은 그 용도로 쓸 수 없어서 넣었습니다. 파일은 Excel 에서 바로 열립니다 — 한글이 깨지지 않도록 BOM 을 넣어 씁니다 (그냥 UTF-8 로 쓰면 엑셀이 시스템 인코딩으로 읽어 글자가 깨집니다). 🔵 그 스크립트를 아래에 통째로 실어 두었습니다 — 「파이썬 코드 보기」를 펼치면 전문이 나옵니다. 위 안전장치를 그대로 담았고 표준 라이브러리만 씁니다(설치할 것이 없습니다). 엔드포인트는 이 실습장 워커가 쓰는 것과 같은 것을 옮겼습니다. ⬇ cleanup.py 내려받기 305줄 · 15KB · 표준 라이브러리만 씁니다(설치할 것 없음) ## 터미널에서 바로 받으시려면 (둘 중 아무거나) curl -O https://waf-lab.mzc.cflare.kr/lab/py/cleanup.py wget https://waf-lab.mzc.cflare.kr/lab/py/cleanup.py 파이썬 코드 보기 — cleanup.py · 305줄 · 받기 전에 무엇을 하는지 읽어 보실 수 있습니다 안에 공식 API 문서 주소 도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다. #!/usr/bin/env python3 """Zero Trust 정리 — 기기 등록 · 좌석 · 2차 인증(MFA) (운영 매뉴얼 M13). **기본이 미리보기입니다.** 실제로 바꾸려면 `--apply` 를, 다섯 건을 넘기면 `--yes` 도 붙입니다. 표준 라이브러리만 씁니다 — 설치할 것이 없습니다. export CF_API_TOKEN=<토큰> # 권한: Access Read+Write · Devices Read+Write export CF_ACCOUNT_ID=<계정 ID> # Zero Trust 화면 주소의 32자리 python cleanup.py report # 읽기만 — 좌석·기기·중복 요약 python cleanup.py devices --stale-days 90 # 미리보기 python cleanup.py devices --stale-days 90 --apply --yes python cleanup.py devices --keep-newest # 사람별 최신 1대만 남깁니다 python cleanup.py devices --stale-days 180 --csv 대상.csv # 검토용 목록만 뽑습니다 python cleanup.py seats --inactive-days 60 python cleanup.py seats --inactive-days 180 --csv 좌석.csv python cleanup.py mfa --email 본인@주소 [--apply] 토큰은 인자로 받지 않습니다 — 셸 히스토리에 남기지 않기 위해서입니다. 알고 시작해야 하는 함정 1. active_registrations=include 를 빼면 「등록 0개」 줄이 통째로 안 보입니다(M3). 2. page= 는 2750 not supported 로 죽습니다. **커서 페이징**입니다. 3. 등록을 지우면 그 단말이 재인증할 때 **줄이 새로 생깁니다**(M4). 4. 좌석 반납은 차단이 아닙니다. 다시 로그인하면 다시 점유합니다(M6). 5. **MFA 목록 API 가 없습니다.** last_seen_identity 안의 mfa_authenticators 가 유일한 창구이고, 그것은 「마지막 로그인 순간에 찍힌 사진」입니다 — 그 뒤에 등록한 수단은 안 보입니다. 6. 삭제와 취소(revoke)는 다릅니다. 취소는 가상 IP 를 회수하지 않습니다(M5). 공식 문서 등록 목록 https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/registrations/methods/list/ 등록 삭제 https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/registrations/methods/delete/ 기기 목록 https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/devices/methods/list/ 사용자 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/users/methods/list/ 좌석 반납 https://developers.cloudflare.com/api/resources/zero_trust/subresources/seats/methods/edit/ 마지막 신원 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/users/subresources/last_seen_identity/methods/get/ 토큰 만들기 https://developers.cloudflare.com/fundamentals/api/get-started/create-token/ """ import argparse, csv, json, os, sys, urllib.parse, urllib.request from datetime import datetime, timezone API = "https://api.cloudflare.com/client/v4" TOKEN = os.environ.get("CF_API_TOKEN", "") ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "") if not TOKEN or not ACCOUNT: sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.") def api(method, path, body=None, params=None): url = API + "/accounts/" + ACCOUNT + path + ("?" + urllib.parse.urlencode(params) if params else "") data = json.dumps(body).encode("utf-8") if body is not None else None req = urllib.request.Request(url, data=data, method=method) req.add_header("Authorization", "Bearer " + TOKEN) if data: req.add_header("Content-Type", "application/json") try: with urllib.request.urlopen(req, timeout=30) as r: j = json.loads(r.read().decode("utf-8")) except urllib.error.HTTPError as e: sys.exit("HTTP %s — %s" % (e.code, e.read().decode("utf-8", "replace")[:200])) if not j.get("success", True): sys.exit("; ".join(x.get("message", "") for x in (j.get("errors") or []))) return j.get("result") def get_all(path, params=None): """커서 페이징. page= 를 쓰면 2750 으로 죽으므로 절대 쓰지 않습니다.""" out, cursor = [], "" while True: q = dict(params or {}) q["per_page"] = "100" if cursor: q["cursor"] = cursor url = API + "/accounts/" + ACCOUNT + path + "?" + urllib.parse.urlencode(q) req = urllib.request.Request(url) req.add_header("Authorization", "Bearer " + TOKEN) with urllib.request.urlopen(req, timeout=30) as r: j = json.loads(r.read().decode("utf-8")) out.extend(j.get("result") or []) nxt = (j.get("result_info") or {}).get("cursor") or "" if not nxt or nxt == cursor or not j.get("result"): return out cursor = nxt def email_of(reg): for k in ("user", "last_seen_user"): v = (reg.get(k) or {}).get("email") if v: return v.lower() return "" def age_days(v): if not v: return None try: d = datetime.fromisoformat(str(v).replace("Z", "+00:00")) except ValueError: return None if not d.tzinfo: d = d.replace(tzinfo=timezone.utc) return (datetime.now(timezone.utc) - d).days def guard(items, args, what): """실행 조건. 미리보기가 기본이고, 여러 건을 한꺼번에 바꿀 때는 --yes 를 더 받습니다.""" if not items: print("\n대상 없음 — 바꿀 것이 없습니다.") return False if not args.apply: print("\n미리보기입니다. 실제로 %s 하려면 --apply 를 붙이십시오." % what) return False if len(items) > 5 and not args.yes: print("\n대상이 %d건입니다. 다섯 건을 넘으면 --yes 를 함께 붙여야 합니다." % len(items)) return False return True def cmd_report(args): users = api("GET", "/access/users", params={"per_page": "200"}) or [] regs = get_all("/devices/registrations", {"status": "all"}) devs = get_all("/devices/physical-devices", {"active_registrations": "include"}) seated = [u for u in users if u.get("access_seat")] print("사용자 %d명 · 좌석 점유 %d명" % (len(users), len(seated))) print("기기 줄 %d개 · 등록 %d건" % (len(devs), len(regs))) zero = 0 for d in devs: ar = d.get("active_registrations") if (len(ar) if isinstance(ar, list) else (ar or 0)) == 0: zero += 1 print("등록 0개인 기기 줄 %d개 (include 없이 조회하면 안 보이는 줄입니다)" % zero) by = {} for r in regs: by.setdefault(email_of(r) or "(사람 미상)", []).append(r) many = sorted(((k, v) for k, v in by.items() if len(v) > 1), key=lambda kv: -len(kv[1])) if many: print("\n등록이 여러 건인 사람 %d명 — 「지울수록 목록이 길어진다」(M4)" % len(many)) for email, rows in many[:10]: print(" %s — %d건" % (email, len(rows))) print("\n좌석을 물고 있는데 오래 안 들어온 사람:") idle = [(age_days(u.get("last_successful_login")), u) for u in seated] idle = [(a, u) for a, u in idle if a is not None and a >= 30] for a, u in sorted(idle, reverse=True)[:10]: print(" %s — %d일 전 로그인" % (u.get("email"), a)) if not idle: print(" 없음(30일 기준)") def write_csv(path, header, rows): """검토용 목록을 파일로 냅니다 — **미리보기에서도 씁니다.** 왜 있나 — 정리는 대개 「우리가 지운다」가 아니라 「목록을 뽑아 부서에 돌려 확인받는다」로 시작합니다. 화면 출력은 그 용도로 못 씁니다. 🔴 인코딩은 **utf-8-sig** 입니다. 그냥 utf-8 로 쓰면 Excel 이 한글을 깨뜨립니다 (엑셀은 BOM 이 없으면 시스템 인코딩으로 읽습니다). newline="" 은 줄이 한 칸씩 벌어지는 것을 막습니다 — 윈도우에서만 나는 증상입니다. """ with open(path, "w", encoding="utf-8-sig", newline="") as fh: w = csv.writer(fh) w.writerow(header) w.writerows(rows) print("\n검토용 목록을 넣었습니다: %s (%d줄)" % (path, len(rows))) def cmd_devices(args): regs = get_all("/devices/registrations", {"status": "all"}) if args.email: regs = [r for r in regs if email_of(r) == args.email.lower()] rows = [((age_days(r.get("last_seen") or r.get("created")) or -1), r) for r in regs] if args.stale_days is not None: targets = [r for a, r in rows if a >= args.stale_days] what = "%d일 이상 안 쓴 등록" % args.stale_days elif args.keep_newest: # 🔴 사람을 못 읽은 줄은 대상에서 뺍니다. 빈 문자열로 묶으면 서로 다른 사람의 # 등록이 한 덩어리가 되어 **남의 것을 지웁니다.** by, skipped = {}, 0 for a, r in rows: who = email_of(r) if not who: skipped += 1 continue by.setdefault(who, []).append((a, r)) targets = [] for lst in by.values(): lst.sort(key=lambda x: x[0]) # 나이 오름차순 = 최신이 앞 targets.extend(r for _, r in lst[1:]) what = "사람별 최신 1건을 뺀 나머지" if skipped: print("사람을 못 읽은 등록 %d건은 대상에서 뺐습니다(누구 것인지 모르면 지우지 않습니다)." % skipped) else: sys.exit("무엇을 고를지 지정해야 합니다: --stale-days N 또는 --keep-newest") print("등록 %d건 중 대상 %d건 — %s" % (len(regs), len(targets), what)) for r in targets: print(" %s %s" % (email_of(r) or "(사람 미상)", r.get("name") or "-")) print("\n⚠️ 지운 단말이 재인증하면 줄이 새로 생깁니다(M4). 목록을 줄이는 것이 목적이면") print(" 등록 정책·IdP 계정까지 함께 봐야 합니다 — 이 코드는 등록만 지웁니다.") if args.csv: idle = {id(r): a for a, r in rows} write_csv(args.csv, ["이메일", "단말 이름", "등록 id", "마지막 접속", "안 쓴 일수"], [[email_of(r) or "", r.get("name") or "", r.get("id") or "", r.get("last_seen") or r.get("created") or "", idle.get(id(r), -1)] for r in targets]) if not guard(targets, args, "삭제"): return for r in targets: api("DELETE", "/devices/registrations/" + str(r.get("id"))) print(" 지웠습니다: %s" % r.get("id")) print("\n삭제 %d건" % len(targets)) def cmd_seats(args): users = api("GET", "/access/users", params={"per_page": "200"}) or [] seated = [u for u in users if u.get("access_seat") and u.get("seat_uid")] if args.email: seated = [u for u in seated if str(u.get("email", "")).lower() == args.email.lower()] if args.inactive_days is not None: seated = [u for u in seated if (age_days(u.get("last_successful_login")) or -1) >= args.inactive_days] if not args.email and args.inactive_days is None: sys.exit("무엇을 고를지 지정해야 합니다: --email 또는 --inactive-days N") print("좌석 반납 대상 %d명" % len(seated)) for u in seated: print(" %s seat_uid=%s" % (u.get("email"), u.get("seat_uid"))) print("\n⚠️ 반납은 차단이 아닙니다 — 다시 로그인하면 다시 점유합니다(M6).") print(" 이 요청은 대시보드 「Remove users」 버튼이 보내는 것과 같습니다.") if args.csv: write_csv(args.csv, ["이메일", "seat_uid", "마지막 로그인", "안 쓴 일수"], [[u.get("email") or "", u.get("seat_uid") or "", u.get("last_successful_login") or "", age_days(u.get("last_successful_login")) if u.get("last_successful_login") else -1] for u in seated]) if not guard(seated, args, "반납"): return api("PATCH", "/access/seats", body=[{"seat_uid": u.get("seat_uid"), "access_seat": False, "gateway_seat": False} for u in seated]) print("\n반납 %d건 보냈습니다." % len(seated)) def cmd_mfa(args): users = api("GET", "/access/users", params={"per_page": "200"}) or [] target = next((u for u in users if str(u.get("email", "")).lower() == args.email.lower()), None) if not target: sys.exit("그 주소의 사용자가 없습니다: " + args.email) uid = str(target.get("id") or "") r = api("GET", "/access/users/" + urllib.parse.quote(uid) + "/last_seen_identity") or {} lst = r.get("mfa_authenticators") or [] at = r.get("iat") print("사용자 %s" % target.get("email")) print("MFA 수단 %d개" % len(lst)) print("⚠️ 이 목록은 「마지막 로그인 순간에 찍힌 사진」입니다" + (" 찍힌 시각 " + datetime.fromtimestamp(at, timezone.utc).isoformat() if at else "")) print(" 그 뒤에 등록한 수단은 안 보입니다. 전용 목록 API 가 없어 이 방법뿐입니다(M9).") for m in lst: print(" %s type=%s id=%s" % (m.get("name") or m.get("type"), m.get("type"), m.get("id"))) print("\n⚠️ 지우면 그 사람은 다음 접속에 「Setup MFA」를 받습니다. 복구 코드는 없습니다(M9).") if not guard(lst, args, "삭제"): return for m in lst: api("DELETE", "/access/users/" + uid + "/mfa_authenticators/" + str(m.get("id"))) print(" 지웠습니다: %s" % (m.get("name") or m.get("type"))) p = argparse.ArgumentParser(description="Zero Trust 정리. 기본은 미리보기이고 --apply 로만 바뀝니다.") sub = p.add_subparsers(dest="cmd", required=True) common = argparse.ArgumentParser(add_help=False) common.add_argument("--apply", action="store_true", help="실제로 바꿉니다(없으면 미리보기)") common.add_argument("--yes", action="store_true", help="다섯 건을 넘길 때 함께 붙입니다") # 미리보기에서도 씁니다 — 검토를 받으려면 파일이 있어야 합니다. common.add_argument("--csv", metavar="파일", help="대상 목록을 CSV 로 냅니다(Excel 에서 바로 열립니다)") sub.add_parser("report", help="읽기만 — 좌석·기기·중복 요약").set_defaults(fn=cmd_report) d = sub.add_parser("devices", parents=[common], help="기기 등록 정리") d.add_argument("--stale-days", type=int) d.add_argument("--keep-newest", action="store_true") d.add_argument("--email") d.set_defaults(fn=cmd_devices) s = sub.add_parser("seats", parents=[common], help="좌석 반납") s.add_argument("--inactive-days", type=int) s.add_argument("--email") s.set_defaults(fn=cmd_seats) m = sub.add_parser("mfa", parents=[common], help="MFA 수단 조회·삭제") m.add_argument("--email", required=True) m.set_defaults(fn=cmd_mfa) a = p.parse_args() a.fn(a) export CF_API_TOKEN=... # Access: Read+Write · Devices: Read+Write export CF_ACCOUNT_ID=... # Zero Trust 화면 주소의 32자리 python cleanup.py report # 읽기만 — 좌석·기기·중복 요약 python cleanup.py devices --stale-days 90 # 미리보기(기본) python cleanup.py devices --stale-days 90 --apply --yes python cleanup.py devices --keep-newest # 사람별 최신 1대만 남긴다 python cleanup.py seats --inactive-days 60 python cleanup.py mfa --email 본인@주소 🟢 위쪽 절들의 「직접 해 보기」도 같은 스크립트에 들어 있습니다 — 아래 셋은 읽기 전용 이라 읽기 토큰만 있으면 되고 아무것도 바꾸지 않습니다. python cleanup.py hidden # M3 — 화면이 숨기고 있는 기기 줄을 센다 python cleanup.py snapshot --out before # M5 — 지우기 전 python cleanup.py snapshot --out after --diff before # M5 — 지운 뒤 + 비교 python cleanup.py posture # M8 — 경로가 스크립트로 박힌 자세 검사 찾기 python cleanup.py demo --email 본인@주소 # M4 재현 (--apply 는 실제로 지운다) 🟢 어디까지 확인됐나 — 가짜 API 를 끼운 회귀 검사 74건 이 돕니다. 특히 틀리면 남의 것을 지우는 자리 를 겨냥합니다: --apply 없이는 삭제·변경 호출이 한 건도 나가지 않고 , 대상이 다섯 건을 넘으면 --yes 없이 막히며, 사람을 못 읽은 등록은 「최신 1대만 남기기」 대상에서 빠집니다 (빈 값으로 묶으면 남의 등록이 섞입니다). 🔴 아직 확인 안 된 것 — 가짜 API 는 우리가 기대하는 응답 모양 을 줍니다. 그래서 살아 있는 계정에 붙여 본 적이 없다 는 사실은 그대로입니다: 실제 응답의 필드 이름·중첩, 100건을 넘는 커서 페이징, 호출 제한 재시도, 오류 문구. 그래서 처음 쓸 때는 report 부터 돌려 보고(읽기만 합니다), 삭제 계열은 본인 계정으로 한 건 해 본 뒤에 넓힙니다. 🔴 폐기 예정 엔드포인트에 주의 — 옛 GET /accounts/{acc}/devices 는 deprecated 입니다. 새 스크립트는 기기 /devices/physical-devices , 등록 /devices/registrations 를 씁니다. 시험 환경 은 별도 무료 계정 을 하나 만드는 것이 가장 부담이 없습니다(무료 플랜에도 좌석이 포함됩니다 — 정확한 수는 가입 화면에서 확인). 다만 실제 대상 선정은 결국 운영 계정에서 해야 합니다 — 무료 계정에는 그 조직의 사용자·단말·정책이 없기 때문입니다. 문서: 등록 API · 기기 API · 토큰 만들기 화면: Team & Resources › Devices · 딥링크(내 계정) ↗ API 로 지우기 전에 이 화면에서 대상 건수를 먼저 눈으로 확인합니다. 접속이 중간에서 더 진행되지 않는 증상은, 관리자 화면에 로그인 성공 기록이 남아 있는 채로 나타나는 일이 많습니다. 모순처럼 보이지만 당연합니다 — 신원 확인(로그인) 과 터널 연결 은 다른 단계여서, 앞이 성공해도 뒤에서 멈춥니다. 즉 「로그인은 되는데 연결이 안 됩니다」는 고장의 종류가 아니라 어느 단계까지 갔다는 정보 입니다. 🔴 「재설치·재인증·회선 변경」을 먼저 시키면 근거가 사라집니다. 증상이 사라지면 원인도 같이 사라져서 다음에 또 겪습니다. 순서는 ① 범위를 가르고 ② 근거를 받고 ③ 그다음에 조치 입니다. ① 범위 가르기 — 두 질문으로 절반이 정해집니다 · 같은 네트워크의 다른 단말 도 안 되는가 → 다른 단말도 안 되면 그 네트워크 , 그 단말만이면 단말·계정 . · 다른 회선 (휴대폰 테더링 등)에서는 되는가 → 되면 원래 네트워크에서 필요한 경로가 막힌 것 이 유력합니다(M16). 이때 회선을 바꿔 보는 것은 조치가 아니라 실험 입니다. 목적은 다음에 볼 곳을 정하는 것 이고 「그럼 그 회선을 쓰세요」로 끝나는 것이 아닙니다 — 사용자에게 요청할 때 이 말을 함께 적어 주면 오해가 없습니다. ② 근거 받기 — 진단 묶음 한 줄 단말에서 warp-diag 를 실행하면 진단 묶음이 만들어집니다. Windows·macOS 는 바탕화면 에 warp-debugging-info-<날짜>-<시각>.zip , Linux 도 데스크톱이 있으면 바탕화면 , 바탕화면 폴더가 없는 서버에서는 명령을 실행한 폴더 에 생깁니다(2026-09-23 세 OS 실측). 안에서 볼 것은 넷입니다: · daemon.log — 공식 문서가 「가장 유용한 디버그 로그」 라고 부르는 파일. 클라이언트가 한 일이 시간순으로 다 있습니다. · warp-status.txt 그 순간의 연결 상태 · warp-settings.txt 실제로 적용된 설정 · connectivity.txt — 이름 조회(DNS)와 HTTP 확인 결과 증상이 드문드문 이라면 더 자세히 남길 수 있습니다 — warp-cli debug extra start 로 켜고 재현한 뒤 warp-cli debug extra stop . 패킷 기록·DNS 기록까지 남고, 끄는 것을 잊어도 10분 뒤 자동으로 꺼집니다 . 🔵 단말에 손을 못 대는 경우 (해외 지점·현장 인원)는 대시보드에서 원격으로 받습니다 — DEX › Remote captures (메뉴에 「Client packet capture」로 보이기도 합니다). Windows·macOS·Linux, 클라이언트 v2024.12.492.0 이상 , 그리고 그 단말이 인터넷에 붙어 있는 동안 에만 받아집니다. ③ 로그에서 찾는 문구 All Happy Eyeballs checks failed — 이 줄이 있으면 터널을 맺을 상대에 아예 닿지 못한 것입니다. 공식 문서가 드는 원인은 셋이고, 이 순서로 확인하면 됩니다: ① 로컬·네트워크 방화벽 이 필요한 주소를 막고 있습니다(M16) · ② 다른 VPN 클라이언트 가 라우팅 표와 이름 조회를 두고 다투고 있습니다(M12) · ③ 국가·통신사 차원의 차단 . 인증 단계에서 멈춘다면 시각 과 제한 시간 을 먼저 봅니다. 🔴 단말 시계가 20초 이상 어긋나면 인증 토큰(JWT)이 무효 가 됩니다 — 화면에는 그냥 「인증 만료」로 보입니다. 그리고 브라우저에서 로그인을 마친 뒤 1분 안에 클라이언트로 돌아와야 합니다. 이 둘은 사용자 실수처럼 보이지 않아서 오래 헤맵니다. 🔵 몇 명이 겪는지, 어디에서 겪는지 를 함께 적습니다. 같은 날 서로 다른 지역에서 여러 건이 올라오면 한 단말의 문제가 아니라 공통 경로·정책·클라이언트 버전 을 봐야 한다는 신호입니다. 문서: Common issues · Diagnostic logs · Client with firewall 화면: Insights › Digital experience(DEX) › Remote captures · Cloudflare One 열기 ↗ 로그는 단말 에서 나오고( warp-diag ), 단말에 못 갈 때만 이 화면에서 원격으로 받습니다. 집·휴대폰 회선에서는 되는데 사무실이나 협력사 망에서만 안 된다 면 방화벽·프록시를 봅니다. 허용해야 하는 주소는 계정마다 다르지 않은 고정 공개값 이고 공식 문서에 그대로 있습니다 — 그래서 협력사·타사 보안팀에 그대로 전달해도 됩니다 . 우리 조직 정보가 들어가지 않습니다. 무엇에 쓰나 주소 포트 터널 — MASQUE 지금의 기본 방식 162.159.197.0/24 2606:4700:102::/48 UDP 443 폴백 UDP 500 · 1701 · 4500 · 4443 · 8443 · 8095 · TCP 443 터널 — WireGuard 옛 방식. 섞여 있는 조직이 많습니다 162.159.193.0/24 2606:4700:100::/48 UDP 2408 폴백 UDP 500 · 1701 · 4500 등록·설정 받기 터널 밖 HTTPS. 막히면 로그인은 되고 연결이 안 끝납니다 162.159.137.105 · 162.159.138.105 2606:4700:7::a29f:8969 · …:8a69 api.devices.cloudflare.com TCP 443 연결 점검 — 터널 밖 162.159.197.3 · 2606:4700:102::3 engage.cloudflareclient.com TCP 443 연결 점검 — 터널 안 🔴 방화벽에 넣을 필요 없음 162.159.197.4 · 2606:4700:102::4 connectivity.cloudflareclient.com 터널 안에서 일어납니다 이름 조회(DoH) 🔴 DNS 만 쓰는 모드 에서만 해당 162.159.36.1 · 162.159.46.1 2606:4700:4700::1111 · …::1001 <계정ID>.cloudflare-gateway.com TCP 443 무선망 인증 포털 확인 호텔·공항 로그인 페이지 감지 cloudflareportal.com · cloudflareok.com · cloudflarecp.com www.msftconnecttest.com · captive.apple.com · connectivitycheck.gstatic.com TCP 443 시각 동기화 문서상 선택 — 아래 이유로 권합니다 time.cloudflare.com UDP 123 🔴 도메인만 허용하면 막힙니다. 위 도메인들은 조회할 때마다 다른 IP 로 답할 수 있는데, 클라이언트는 받은 답을 무시하고 표의 IP 로 직접 붙습니다 (공식 문서에 명시된 동작). 도메인 기준 정책만 넣고 「열었습니다」고 판단하는 것이 가장 흔한 실패입니다 — IP 도 함께 허용해야 합니다. 🔴 터널 안 점검은 방화벽이 아니라 우리 정책의 문제입니다. 터널 안에서 일어나므로 방화벽 목록에는 넣지 않아도 되지만, Gateway 의 HTTP·네트워크 정책이 그것을 막으면 연결이 안 끝납니다. 막힌 자리가 사내 방화벽이 아닐 수도 있다는 뜻입니다. 🔴 연결 점검은 시스템 프록시를 경유하지 않습니다 — 문서 표현 그대로 “Requests will not use a proxy server, even if one is configured for the system.” 사내 프록시를 강제하는 환경이라면 이 주소들은 직접 통신 예외 로 빼 두어야 합니다. 🔴 클라이언트 버전에 따라 도메인이 다릅니다. 2026.6.0 이상 은 api.devices.cloudflare.com , 그 이전은 zero-trust-client.cloudflareclient.com 과 notifications.cloudflareclient.com 을 씁니다. 버전이 섞인 조직이 대부분이니 셋 다 열어 두는 편 이 안전합니다. ⚠️ UDP 를 먼저 허용합니다. 정상 경로는 MASQUE 는 UDP 443 , WireGuard 는 UDP 2408 이고, 막히면 표의 폴백 포트( TCP 443 포함)로 넘어갑니다. 붙기는 하지만 그건 우회로 입니다 — 「어쨌든 붙었으니 됐습니다」로 끝내면 원인이 그대로 남습니다. ⚠️ 로그인 전에 162.159.192.0/24 가 보일 수 있는데, 그것은 개인용 1.1.1.1 WARP 용이고 Zero Trust 에는 필요 없습니다 . 이걸 허용하려고 시간을 쓰지 않아도 됩니다. 🔵 인증 경로도 함께 열려야 합니다 — 팀 도메인 <팀이름>.cloudflareaccess.com 과 그 조직이 쓰는 IdP(신원 공급자) 주소 둘입니다. 🔴 IdP 가 사내 전용 주소라면 사외망 단말은 로그인 자체를 못 합니다 — 협력사·지점 단말을 붙일 때 여기서 막히는 일이 많습니다. 사외에서 닿는 인증 경로가 있는지 먼저 확인합니다. 🔵 Android·ChromeOS 단말이 있으면 cloudflare-dns.com 도 열어 줍니다 — 그 단말들은 분할 터널 목록의 도메인을 이 주소로 조회합니다. 🔵 방화벽이 프로그램 기준 이면 Windows 는 warp-svc.exe · warp-updater.exe · warp-updater-armed.exe 를 허용합니다 (설치 폴더 Program Files\Cloudflare\Cloudflare WARP\ ). macOS 는 Bundle ID 가 없는 실행 파일 이 있어 전체 경로로 지정해야 합니다. 🔵 시각 동기화는 문서상 「선택」 이지만 열어 두는 편이 낫습니다 — 시계가 20초 이상 어긋나면 인증이 실패하기 때문입니다(M15). 문서: Client with firewall · Common issues 화면: Team & Resources › Devices › Device settings · 딥링크(내 계정) ↗ 어느 대역이 필요한지는 프로필의 Tunnel protocol 이 정합니다 — MASQUE 면 …197.0/24 , WireGuard 면 …193.0/24 입니다. 됩니다. Access 정책에 Require 로 걸면 클라이언트가 없는 단말은 로그인 화면조차 통과하지 못합니다. 이름·비밀번호·2차 인증이 전부 맞아도 막힙니다 — 「누구인가」가 아니라 「어디서 오는가」 를 보는 조건이라서요. 거는 값이 두 가지 인데, 이 둘을 헷갈리면 뚫립니다. 선택자 무엇을 보나 개인용 WARP 로 뚫리나 WARP 클라이언트에 연결돼 있나 뚫립니다. 공식 문서가 못박습니다 — “including the consumer version” . 집에서 개인용 WARP 를 켠 사설 노트북도 통과합니다. Gateway 우리 조직에 등록돼 우리 Gateway 를 지나고 있나 안 뚫립니다. 회사 팀 이름 으로 등록된 단말만 통과합니다. 🔴 「회사 PC 만」이 목적이면 Gateway 입니다. WARP 는 「암호화된 경로로 오나」 까지만 답합니다 — 남의 회사 단말도, 개인 휴대폰도 켜기만 하면 조건을 만족합니다. 공식 문서의 표현 그대로: Gateway 는 “protect company-owned assets by only allowing access to employees” 용입니다. 🔵 로그인할 때 한 번만 보는 것이 아닙니다. 이 둘은 신원 조건과 달리 요청마다 다시 평가됩니다 (공식 문서 「Checked continuously」). 그래서 들어온 뒤에 클라이언트를 끄면 그 자리에서 끊깁니다 — 세션이 남아 있어도 다음 요청이 막힙니다. 어디에 거나 — Require 입니다. Include 는 「이 중 하나라도」(OR)이고 Require 는 「전부 만족」(AND)이라, Include 에 넣으면 다른 Include 조건 하나만 맞아도 들어옵니다. 막는 것이 목적이면 Require 에 겁니다. 🔵 전제가 하나 있습니다 — WARP 검사를 켜려면 Traffic policies › Traffic settings 의 Allow Secure Web Gateway to proxy traffic 가 켜져 있어야 합니다. 우리 랩(Demo2)에서는 gateway_proxy_enabled: true 로 확인했습니다(2026-09-11 조회). 🔵 이 두 검사에는 입력값이 없습니다. 경로·버전 같은 것을 적는 칸이 없고 만들면 끝입니다 — API 명세에서도 type 만 있고 input 변형이 없습니다(2026-09-11 전수 확인). 그래서 「만들었는데 아무 일도 안 일어난다」가 정상 입니다. 정책에 걸어야 동작합니다. 우리 랩 실측(2026-09-11): 검사 두 개( Gateway · WARP )가 만들어져 있고 전제 설정도 켜져 있지만 아직 어느 정책에도 걸려 있지 않습니다 — 그래서 지금은 아무도 막지 않습니다. python posture.py 가 이런 검사를 「쓰는 곳: 없음」으로 표시합니다(M8). ⚠️ 막기 전에 두 가지를 정하고 시작합니다. ① 클라이언트를 설치할 수 없는 사람 (협력사·개인 단말·키오스크)이 그 앱을 써야 하는가 — 쓴다면 그 사람들만 다른 정책으로 갈라 두어야 합니다(Require 는 AND 라 예외가 안 생깁니다). ② 못 들어올 때 무엇이 보이나 — 그냥 거부 화면이 뜨면 사람들은 「고장」으로 읽고 헬프데스크로 옵니다. Access 의 Custom Pages 로 「Cloudflare One Client 을 설치하세요」와 설치 안내 링크를 넣어 두는 편이 낫습니다. 직접 해 보기 — warp 만 걸린 앱을 찾아냅니다 — 개인용 WARP 도 통과하는 그 자리 (읽기만, 1분) 읽기 전용 토큰이면 됩니다. 아무것도 바뀌지 않습니다. 앱마다 정책의 require 를 모아 warp 와 gateway 를 가릅니다. warp 만 걸린 앱은 🔴 로 찍습니다 — 「회사 PC 만」이 목적이라면 그 줄이 곧 구멍입니다. ⬇ require.py 내려받기 143줄 · 6KB · 표준 라이브러리만 씁니다(설치할 것 없음) ## 터미널에서 바로 받으시려면 (둘 중 아무거나) curl -O https://waf-lab.mzc.cflare.kr/lab/py/require.py wget https://waf-lab.mzc.cflare.kr/lab/py/require.py 파이썬 코드 보기 — require.py · 143줄 · 받기 전에 무엇을 하는지 읽어 보실 수 있습니다 안에 공식 API 문서 주소 도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다. #!/usr/bin/env python3 """「클라이언트를 설치하지 않으면 못 들어오게」가 정말 그렇게 되어 있나 (운영 매뉴얼 M17). 🟢 읽기만 합니다. 아무것도 바꾸지 않습니다. 표준 라이브러리만 씁니다 — 설치할 것이 없습니다. export CF_API_TOKEN=<읽기 전용 토큰> # 권한: Access Read export CF_ACCOUNT_ID=<계정 ID> python require.py 무엇을 보나 — 앱마다 정책의 **require** 에 무엇이 걸려 있는지 모아, 두 가지를 가릅니다. warp 「Cloudflare One 클라이언트로 붙었나」 🔴 개인용 WARP 도 통과합니다 gateway 「우리 조직의 Gateway 를 지나왔나」 조직 프로필이 걸린 단말만 통과합니다 🔴 **이것이 제일 비싼 오해입니다.** 「회사 PC 만 들어오게」가 목적이라면 require 는 **gateway** 여야 합니다. warp 만 걸어 두면 집에서 개인용 WARP 를 켠 사설 노트북도 통과합니다 — 공식 문서가 그렇게 적고 있습니다(including the consumer version). 같이 봐야 하는 것 — 기기 자세 검사(device_posture)를 require 에 걸어 두면 「회사가 관리하는 단말」에 훨씬 가까워집니다. 이 스크립트는 그 항목도 함께 세어 보여 줍니다. 공식 문서 Require 규칙 https://developers.cloudflare.com/cloudflare-one/access-controls/policies/ WARP 확인 https://developers.cloudflare.com/cloudflare-one/access-controls/policies/#require-cloudflare-one-client Gateway 확인 https://developers.cloudflare.com/cloudflare-one/access-controls/policies/#require-gateway 정책 목록 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/policies/methods/list/ """ import json import os import sys import urllib.error import urllib.parse import urllib.request API = "https://api.cloudflare.com/client/v4" TOKEN = os.environ.get("CF_API_TOKEN", "") ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "") if not TOKEN or not ACCOUNT: sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.") def call(path, params=None, quiet=False): url = API + "/accounts/" + ACCOUNT + path if params: url += "?" + urllib.parse.urlencode(params) req = urllib.request.Request(url) req.add_header("Authorization", "Bearer " + TOKEN) try: with urllib.request.urlopen(req, timeout=30) as r: return json.loads(r.read().decode("utf-8")) except urllib.error.HTTPError as e: if quiet: return None raw = e.read().decode("utf-8", "replace") try: msg = json.dumps(json.loads(raw).get("errors"), ensure_ascii=False) except ValueError: msg = raw[:200] sys.exit("GET %s → HTTP %d %s" % (path, e.code, msg)) def get_all(path): out, cursor = [], "" for _ in range(50): q = {"per_page": "100"} if cursor: q["cursor"] = cursor j = call(path, q) batch = j.get("result") or [] out.extend(batch) nxt = (j.get("result_info") or {}).get("cursor") or "" if not nxt or nxt == cursor or not batch: break cursor = nxt return out def kinds(rules): """require/include 규칙 목록에서 종류만 뽑습니다(중첩된 any/all 도 펼칩니다).""" found = [] stack = list(rules or []) while stack: r = stack.pop() if not isinstance(r, dict): continue for k, v in r.items(): if k in ("any_valid_service_token", "certificate"): found.append(k) elif isinstance(v, dict): found.append(k) stack.extend([v]) elif isinstance(v, list): stack.extend([x for x in v if isinstance(x, dict)]) else: found.append(k) return found apps = get_all("/access/apps") rows, warp_only, gateway_apps, no_require = [], [], [], [] for a in apps: pols = a.get("policies") or [] if not pols: pols = call("/access/apps/%s/policies" % a.get("id"), quiet=True) pols = (pols or {}).get("result") or [] req = [] for p in pols: req.extend(kinds(p.get("require"))) name = str(a.get("name") or a.get("id"))[:32] has_warp = "warp" in req has_gw = "gateway" in req has_posture = "device_posture" in req rows.append((name, a.get("type") or "-", has_warp, has_gw, has_posture, len(pols))) if has_warp and not has_gw: warp_only.append(name) if has_gw: gateway_apps.append(name) if not (has_warp or has_gw or has_posture): no_require.append(name) print("앱 %d개 — require 에 무엇이 걸려 있나\n" % len(rows)) print("%-32s %-14s %-8s %-9s %-9s %s" % ("앱", "종류", "warp", "gateway", "자세검사", "정책 수")) print("-" * 92) for name, typ, w, g, po, n in rows: print("%-32s %-14s %-8s %-9s %-9s %d" % ( name, str(typ)[:14], "예" if w else "-", "예" if g else "-", "예" if po else "-", n)) print("\n판정") if warp_only: print("🔴 warp 만 걸린 앱 %d개 — **개인용 WARP 로도 통과합니다**: %s" % (len(warp_only), ", ".join(warp_only[:8]))) print(" 「회사 PC 만」이 목적이라면 require 를 gateway 로 바꾸거나 함께 거십시오.") else: print("🟢 warp 만 걸린 앱은 없습니다.") if gateway_apps: print("🟢 gateway 가 걸린 앱 %d개: %s" % (len(gateway_apps), ", ".join(gateway_apps[:8]))) if no_require: print("⚠️ 단말 조건이 아예 없는 앱 %d개 — 신원만 맞으면 어떤 기기로도 들어옵니다: %s" % (len(no_require), ", ".join(no_require[:8]))) print("\n자세 검사(device_posture)를 함께 걸면 「회사가 관리하는 단말」에 더 가까워집니다.") 문서: Require WARP · Require Gateway · Policies (선택자 표 · Include/Require/Exclude) 화면: Reusable components › Posture checks › Cloudflare One Client checks › Add a check · 딥링크(내 계정) ↗ WARP 또는 Gateway 를 고르고 저장합니다(입력할 것 없음). 그다음 Access controls › Applications › 그 앱 › Policies 에서 Require 에 그 선택자를 겁니다. Cloudflare One 과 WARP 는 경쟁하는 두 제품이 아닙니다 — 층이 다릅니다. Cloudflare One 은 제품군 전체를 부르는 우산 이름 입니다(Access·Gateway·DLP·Browser Isolation·Tunnel…). WARP 는 그중 단말에 까는 프로그램 하나 이고, 노트북·휴대폰의 트래픽을 Cloudflare 로 끌어와 위 정책들이 걸리게 해 주는 진입로 역할입니다. 🔵 진입로가 WARP 뿐인 것도 아닙니다. 서버 쪽에서 거는 Tunnel ( cloudflared ), 회선으로 붙이는 GRE·IPsec , 브라우저만 거는 PAC 파일 도 같은 자리에 들어옵니다. 그래서 「Cloudflare One 을 도입한다」가 「WARP 를 전 직원 PC 에 깐다」와 같은 말은 아닙니다. 그리고 지금은 이름이 One 쪽으로 합쳐지는 중입니다. 공식 문서가 “Cloudflare One Client (formerly WARP)” 로 적습니다. 어디 예전 이름 지금 이름 데스크톱 (Windows·macOS·Linux) Cloudflare WARP client Cloudflare One Client 모바일 (iOS·Android) 1.1.1.1: Faster Internet · 1.1.1.1 + WARP Cloudflare One Agent 제품군·문서 Cloudflare for Teams Cloudflare One (대시보드 메뉴 이름은 아직 Zero Trust) 🔴 그래서 「WARP 가 없어지나요」의 답은 「아니요, 간판만 바뀌었습니다」입니다. 기능·설정·요금은 그대로이고, 실제로 물러난 것은 모바일의 옛 1.1.1.1 앱 하나입니다 — 조직에 등록해서 쓰려면 이제 Cloudflare One Agent 를 받습니다. 🔴 바꾸면 안 되는 것 — 속은 전부 아직 warp 입니다. 안내 문서에서 화면에 보이는 이름 은 새 이름으로 고치되, 아래 값은 절대 치환하지 마십시오. 한 번에 찾아 바꾸면 그 자리에서 설치·배포가 깨집니다. 자리 값 — 그대로 둡니다 리눅스 패키지 apt install cloudflare-warp macOS 설치 경로 /Applications/Cloudflare WARP.app MDM 배포 파라미터 service_mode: warp 진단 로그 파일 warp-debugging-info-<날짜>-<시각>.zip Access 정책 선택자 WARP · Gateway (M17 의 그 두 개) 🔵 이 이름 차이가 실제로 사고가 되는 자리는 둘입니다. ① 사용자에게 「앱스토어에서 1.1.1.1 을 받으세요」라고 안내하면 지금은 틀린 안내 입니다 — 조직 등록(팀 이름 입력)은 One Agent 에서 합니다. ② 옛 1.1.1.1 앱을 쓰던 단말은 이전 안내를 따라 옮깁니다 — 그냥 지우면 등록이 끊깁니다. 문서: 클라이언트 내려받기(이름 대조가 여기 있습니다) · 1.1.1.1 → One Agent 이전 안내 · Cloudflare One 개요 화면: 클라이언트 메뉴 › Preferences › About — 지금 깔린 것이 무엇인지는 이름이 아니라 버전 으로 봅니다. 리눅스는 warp-cli --version . 이름이 무엇이든 같은 클라이언트 이고 같은 팀 이름으로 등록됩니다. 막히는 지점은 하나입니다 — 인증 앱(TOTP)은 한 사람에게 하나만 등록됩니다. 공식 문서가 그렇게 못박습니다( “You can only have one TOTP authenticator enrolled at a time” ). 그래서 한 계정을 여러 사람이 돌려 쓰는 자리(관제석·상황실·야간 당직 계정 등)에서는 「담당자마다 자기 휴대폰으로 6자리를 받게」 하는 것이 그대로는 되지 않습니다. 길은 셋이고, 사람이 바뀌는 빈도 로 고르시면 됩니다. 방법 어떻게 회수(한 사람만 빼기) 어울리는 곳 ① 같은 QR 을 여러 휴대폰에 등록 화면의 QR 하나를 담당자 전원이 각자 앱으로 찍습니다 🔴 개별 회수가 안 됩니다 — 수단을 지우고 전원이 다시 찍습니다 인원이 거의 안 바뀌는 계정 ② 담당자마다 보안키·생체 보안키는 여러 개 등록됩니다 . 사람마다 자기 키를 그 계정에 등록합니다 🟢 그 키만 지우면 됩니다 인원이 바뀌는 계정 — 권하는 쪽입니다 ③ 그 앱만 따로 정하기 애플리케이션 설정에서 2차 인증을 앱 단위 로 조정합니다 — 공용 계정만 쓰는 앱이 따로 있을 때 🔴 ①을 고르실 때 — QR 을 사진으로 돌리지 마십시오. 그 이미지(또는 setup key 문자열)는 열쇠 자체 입니다. 메신저·메일로 한 번 지나가면 그 대화방에 남은 모든 사람이 6자리를 만들 수 있게 됩니다. 등록하는 자리에 모여 각자 찍는 편이 낫고, 그러지 못하면 등록 직후 이미지를 지우셔야 합니다. 같은 씨앗값을 받은 휴대폰들은 같은 시각에 같은 6자리 를 보여 줍니다 — 그것이 정상이고, 왜 그런지는 「② 직접 해보기」 카드에 있는 totp.py 로 직접 만들어 보실 수 있습니다. 🔴 ③은 「공용 계정만 예외」가 되지 않습니다. 2차 인증을 켜고 끄는 단위는 사람이 아니라 애플리케이션 입니다. 같은 앱을 개인 계정도 함께 쓰면, 그 앱에 준 예외는 그 앱을 쓰는 전원에게 적용됩니다. 그래서 ③은 「공용 계정 전용 앱이 따로 있을 때」만 쓸 수 있는 길입니다. 🔴 이메일로 오는 One-time PIN 은 2차 인증의 대체가 아닙니다. 그것은 「누구냐」를 확인하는 로그인 수단 이고, 2차 인증은 「로그인한 뒤 한 번 더」 묻는 것입니다. 공용 메일함으로 PIN 을 받으면 그 메일함을 여는 사람 전원이 곧 로그인할 수 있으므로, 「한 번 더」에 해당하는 것이 남지 않습니다. 💬 저희 의견 — 가능하면 공용 계정 자체를 줄이시는 편이 낫습니다. 개인 계정으로 나누고 권한을 그룹으로 주면, 2차 인증도 회수도 사람 단위로 깔끔해지고 「누가 했는지」가 로그에 남습니다 (공용 계정은 이것이 원천적으로 안 됩니다). 교대 근무 때문에 계정을 합쳐 두신 경우라면, 계정을 나누고 같은 그룹 에 넣는 것으로 대개 같은 결과가 나옵니다. 당장 바꾸기 어려운 계정은 위 ② 로 운영하시고, 그 계정 목록을 따로 관리하시는 것을 권합니다. 문서: Independent MFA 화면: 애플리케이션 › Configure › Authentication · 딥링크(내 계정) ↗ 그 계정에 지금 무엇이 등록돼 있는지는 의 mfa.py 로 확인하실 수 있습니다. 먼저 확인할 것은 「초대하는 쪽」입니다. 관리자를 초대할 수 있는 사람은 Super Administrator 이고, 공식 문서는 조건을 하나 더 답니다 — 그 사람의 메일 주소가 확인(verified)된 상태 여야 합니다 ( “you must have a role of Super Administrator and have a verified email address” ). 🔴 「초대 단추가 안 먹습니다」의 흔한 원인이 이것입니다 — 권한은 맞는데 본인 메일 확인이 안 끝난 경우입니다. 하려는 것 어디서 알아 두실 것 초대하기 Manage Account › Members › Invite 주소 여러 개를 한 번에 · 범위(scope) → 역할 → 요약 확인 → Invite 초대가 만료·분실 같은 화면 › 그 줄 › Resend Invite ⚠️ 만료까지 며칠인지는 공식 문서에 적혀 있지 않습니다 (저희가 지어내지 않겠습니다) 메일 단계를 건너뛰기 같은 화면 › Direct Add 🟢 Enterprise 에서, 이미 Cloudflare 계정이 있는 사람이면 초대 메일 없이 바로 추가됩니다 권한 바꾸기 그 줄 › Edit › 역할·범위 → 요약 → Update — 내보내기 그 줄 › Revoke → 확인 본인이 나가실 때는 자기 주소 아래 Leave 🔴 대시보드 관리자와 Zero Trust 사용자는 서로 다른 명단입니다. 여기 있는 사람은 설정을 바꾸는 관리자 이고, 앱에 접속하는 직원은 좌석(Seats) 쪽에 있습니다. 그래서 여기서 지워도 앱 접속은 막히지 않고 , 반대로 좌석을 회수해도 대시보드 권한은 그대로 남습니다. 좌석 쪽은 과 을 보십시오. 🔴 Super Administrator 가 한 분뿐이면, 그분이 잠기는 날 초대와 권한 변경이 함께 멈춥니다. 2단계 인증 복구는 영업시간에만 진행되므로 야간에 잠기면 그날 안에 풀리지 않습니다 ( ). 그래서 두 명 이상 을 권합니다 — 이것이 이 절에서 실제로 사고를 막는 한 줄입니다. 직접 해 보기 — 관리자 명단을 한 표로 보고, 멈춘 초대와 1인 의존을 찾습니다 (읽기만, 1분) 읽기 전용 토큰이면 됩니다. 아무것도 바뀌지 않습니다. 화면에서는 사람마다 줄을 펼쳐야 상태·역할·2단계 인증 이 보입니다. 여러 명을 초대한 뒤에는 누가 아직 안 들어왔는지 세기 어렵고, Super Administrator 가 몇 명인지 도 한눈에 안 잡힙니다. 이 도구가 그 셋을 한 표로 모으고, 위험한 조합(초대 멈춤 · 최고관리자 1명 · 2단계 인증 꺼진 최고관리자)을 따로 찍어 줍니다. ⬇ members.py 내려받기 195줄 · 8KB · 표준 라이브러리만 씁니다(설치할 것 없음) ## 터미널에서 바로 받으시려면 (둘 중 아무거나) curl -O https://waf-lab.mzc.cflare.kr/lab/py/members.py wget https://waf-lab.mzc.cflare.kr/lab/py/members.py 파이썬 코드 보기 — members.py · 195줄 · 받기 전에 무엇을 하는지 읽어 보실 수 있습니다 안에 공식 API 문서 주소 도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다. #!/usr/bin/env python3 """대시보드 관리자 명단을 한 표로 봅니다 — 멈춘 초대·1인 의존·2단계 인증 (운영 매뉴얼 M20). 🟢 **읽기만 합니다.** 이 도구에는 지우거나 초대하는 기능이 아예 없습니다. 표준 라이브러리만 씁니다 — 설치할 것이 없습니다. export CF_API_TOKEN=<토큰> # 권한: Account Settings Read (계정 · 읽기) export CF_ACCOUNT_ID=<계정 ID> python members.py python members.py --json 다른 도구에 넘기실 때 무엇을 찾아 주나 — 화면에서는 한 사람씩 펼쳐야 보이는 것 셋입니다. 1) **수락되지 않은 초대**. 초대 메일은 만료됩니다. 화면의 「Invite Pending」 은 사람마다 줄을 펼쳐야 보이므로, 여러 명을 초대한 뒤에는 누가 안 들어왔는지 한눈에 세기 어렵습니다. 2) **Super Administrator 가 몇 명인가**. 관리자를 초대할 수 있는 사람은 Super Administrator 뿐입니다. 한 명이면 그 한 사람이 2단계 인증에서 잠기는 날 **초대도 권한 변경도 그날 안에 못 합니다.** 3) **2단계 인증이 꺼진 관리자**. 계정 API 가 사람마다 `two_factor_authentication_enabled` 를 알려 줍니다. 🔴 **이 도구가 답하지 못하는 것 — 초대가 언제 만료되는지.** 공식 문서는 「만료된다」와 「다시 보낼 수 있다」만 적고 **기간을 적지 않습니다.** 그래서 남은 날짜를 계산해 보여 주지 않습니다 — 지어낸 숫자를 운영 기준으로 쓰게 되기 때문입니다. 판단은 「수락 안 됨」이 보이면 다시 보내는 것으로 충분합니다. 🔵 **초대 대신 바로 넣는 길이 있습니다(Enterprise).** 이미 Cloudflare 계정이 있는 사람이면 메일 확인 단계를 건너뛰고 바로 추가할 수 있습니다(화면의 Direct Add). 초대 메일이 계속 만료되는 상황이라면 이 길이 더 빠릅니다. ⚠️ **대시보드 관리자와 Zero Trust 사용자는 다른 명단입니다.** 여기 나오는 사람은 설정을 바꾸는 관리자이고, 앱에 접속하는 직원은 좌석(seats) 쪽입니다. 좌석은 remove.py · inactive.py 를 보십시오. 공식 문서 멤버 관리 https://developers.cloudflare.com/fundamentals/manage-members/manage/ 멤버 목록 API https://developers.cloudflare.com/api/resources/accounts/subresources/members/methods/list/ 역할 목록 API https://developers.cloudflare.com/api/resources/accounts/subresources/roles/methods/list/ """ import argparse import json import os import sys import urllib.error import urllib.parse import urllib.request API = "https://api.cloudflare.com/client/v4" TOKEN = os.environ.get("CF_API_TOKEN", "") ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "") if not TOKEN or not ACCOUNT: sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.") def call(path, params=None): url = API + "/accounts/" + ACCOUNT + path if params: url += "?" + urllib.parse.urlencode(params) req = urllib.request.Request(url, method="GET") req.add_header("Authorization", "Bearer " + TOKEN) try: with urllib.request.urlopen(req, timeout=30) as r: return json.loads(r.read().decode("utf-8")) except urllib.error.HTTPError as e: raw = e.read().decode("utf-8", "replace") try: msg = json.dumps(json.loads(raw).get("errors"), ensure_ascii=False) except ValueError: msg = raw[:200] sys.exit("GET %s → HTTP %d %s" % (path, e.code, msg)) def members(): """멤버 전부. 🔴 첫 장만 읽으면 조용히 일부만 봅니다 — total_pages 까지 따라갑니다.""" out, page = [], 1 while True: d = call("/members", {"page": page, "per_page": 50}) out.extend(d.get("result") or []) info = d.get("result_info") or {} total = info.get("total_pages") or 1 if page >= total: return out page += 1 def role_names(m): """역할 이름. 예전 방식은 roles[], 범위를 지정한 방식은 policies[] 에 들어 있습니다. 🔴 **두 곳에 같은 이름이 같이 들어 있습니다**(실제 계정에서 확인). 그대로 이으면 같은 역할이 두 번 찍혀 「권한이 두 배로 있는 것처럼」 보입니다 — 그래서 중복을 걷어냅니다. """ names = [r.get("name", "") for r in (m.get("roles") or []) if r.get("name")] for p in m.get("policies") or []: for g in p.get("permission_groups") or []: if g.get("name"): names.append(g["name"]) seen, out = set(), [] for n in names: if n not in seen: seen.add(n) out.append(n) return out def role_summary(names): """역할이 100개를 넘는 멤버가 실제로 있습니다 — 줄을 잘라 버리면 정작 중요한 Super Administrator 가 안 보입니다. 그래서 최고 권한을 앞으로 끌고 개수를 함께 냅니다.""" if not names: return "(역할 없음)" first = [n for n in names if "super administrator" in n.lower()] or names[:1] rest = len(names) - 1 return first[0][:44] + (" 외 %d개" % rest if rest > 0 else "") def is_super(m): return any("super administrator" in n.lower() for n in role_names(m)) def main(): ap = argparse.ArgumentParser(description="대시보드 관리자 명단 점검 (읽기만)") ap.add_argument("--json", action="store_true", help="사람이 읽는 표 대신 JSON") a = ap.parse_args() rows = [] for m in members(): user = m.get("user") or {} # 🔴 status 의 글자를 단정하지 않습니다. 「accepted 가 아니면 아직 안 들어온 것」 # 으로만 봅니다 — 문자열이 바뀌어도 판정이 틀리지 않습니다. status = m.get("status") or "?" rows.append({ "email": m.get("email") or user.get("email") or "?", "status": status, "accepted": status == "accepted", "super": is_super(m), "two_factor": bool(user.get("two_factor_authentication_enabled")), "api_access_enabled": bool(m.get("api_access_enabled")), "roles": role_names(m), "member_id": m.get("id"), }) rows.sort(key=lambda r: (r["accepted"], not r["super"], r["email"])) pending = [r for r in rows if not r["accepted"]] supers = [r for r in rows if r["super"]] super_no_2fa = [r for r in supers if not r["two_factor"]] if a.json: print(json.dumps({ "members": rows, "pending": [r["email"] for r in pending], "super_admins": [r["email"] for r in supers], "super_admins_without_2fa": [r["email"] for r in super_no_2fa], }, ensure_ascii=False, indent=2)) return print("대시보드 멤버 %d명" % len(rows)) print("%-38s %-12s %-5s %-5s %s" % ("이메일", "상태", "최고", "2단계", "역할")) for r in rows: print("%-38s %-12s %-5s %-5s %s" % ( r["email"], "수락" if r["accepted"] else "수락 안 됨", "예" if r["super"] else "", "켜짐" if r["two_factor"] else "꺼짐", role_summary(r["roles"]), )) print("") if pending: print("🔴 수락되지 않은 초대 %d건 — 다시 보내 주십시오(화면: Members › 해당 줄 › Resend Invite)." % len(pending)) for r in pending: print(" · " + r["email"]) else: print("🟢 멈춰 있는 초대는 없습니다.") if len(supers) == 0: print("⚠️ Super Administrator 를 찾지 못했습니다 — 토큰 권한이 좁아 역할이 안 보일 수 있습니다.") elif len(supers) == 1: print("🔴 Super Administrator 가 1명(%s)뿐입니다. 그 한 분이 2단계 인증에서 잠기면" % supers[0]["email"]) print(" 초대·권한 변경이 그날 안에 안 됩니다. 2명 이상을 권합니다.") else: print("🟢 Super Administrator %d명 — 한 사람이 잠겨도 나머지가 풀 수 있습니다." % len(supers)) if super_no_2fa: print("🟠 2단계 인증이 꺼진 Super Administrator %d명 — 켜는 것을 권합니다." % len(super_no_2fa)) for r in super_no_2fa: print(" · " + r["email"]) if __name__ == "__main__": main() 🔴 이 도구에는 지우거나 초대하는 기능이 아예 없습니다 — 읽기만 합니다. 권한은 Account Settings Read 하나면 됩니다. 목록이 여러 장으로 나뉘어 오므로 끝 장까지 따라가야 하고(첫 장만 읽으면 관리자 몇 명이 조용히 빠집니다), 역할 이름이 두 곳에 같이 들어 있어 중복을 걷어냅니다 (실제 계정에서 확인했습니다 — 한 분은 역할이 131개였습니다). 문서: Manage account members 화면: Manage Account › Members · 딥링크(내 계정) ↗ 이 절은 읽는 분이 아니라 직원분들 을 위한 것입니다. 2차 인증을 켜기로 정하셨으면 남는 일은 「전 직원에게 무엇을 어떻게 안내하는가」입니다. 그 문장을 아래에 그대로 써 두었습니다 — 고칠 곳은 한 곳(팀 이름)뿐 입니다. 💡 팀 이름은 어디서 보나 — 대시보드 Access controls › Access settings 의 「Manage your App Launcher」 설명줄에 여러분팀이름.cloudflareaccess.com 형태로 적혀 있습니다. 아래 공지문의 <팀이름> 두 곳을 그 값으로 바꾸시면 됩니다. 딥링크(내 계정) ↗ ① 직원용 — 그대로 복사해 보내시면 됩니다 [사내 안내] 회사 시스템 접속에 휴대폰 인증(2차 인증)이 추가됩니다 무엇이 바뀌나요 회사 계정으로 로그인한 뒤, 휴대폰 인증 앱의 6자리 숫자를 한 번 더 넣게 됩니다. 비밀번호가 바뀌는 것은 아니고, 로그인 뒤에 한 단계가 더 생기는 것입니다. 미리 해 두실 일 (3분) 1. 휴대폰에 인증 앱을 설치합니다. (Microsoft Authenticator, Google Authenticator, Authy 중 아무거나) 2. PC 브라우저로 아래 주소를 엽니다. https:// < 팀이름>.cloudflareaccess.com/AddMfaDevice 3. 회사 계정으로 로그인합니다. 4. 「Authenticator application」을 고릅니다. 5. 화면의 QR 코드를 휴대폰 인증 앱으로 찍습니다. 6. 앱에 나오는 6자리 숫자를 화면에 입력하고 저장합니다. 다음 로그인부터 회사 로그인을 마치면 6자리를 묻는 화면이 나옵니다. 인증 앱을 열어 그때 보이는 숫자를 넣으시면 됩니다. 숫자는 30초마다 바뀌며, 지나간 숫자는 쓸 수 없습니다. 휴대폰을 바꾸거나 잃어버렸을 때 다른 인증 수단(보안키·지문 등)을 등록해 두셨으면 그것으로 본인 확인 후 https:// < 팀이름>.cloudflareaccess.com 의 Account 화면에서 직접 지우고 다시 등록하실 수 있습니다. 등록한 수단이 인증 앱 하나뿐이었다면 직접 지울 수 없습니다 — 담당자에게 알려 주십시오. 문의 [담당 부서·연락처를 적어 주십시오] 🔴 「인증 앱을 두 대 이상의 휴대폰에 쓰겠다」는 분이 있으면 등록할 때 같은 QR 코드를 각 휴대폰으로 찍게 하십시오. 나중에 한 대를 추가로 등록하는 방법은 없습니다 (인증 앱은 사람당 하나입니다 — ). ② 운영 담당자용 — 배포하면 실제로 오는 요청 셋 요청 답 어디서 「등록 주소를 열었는데 관리자에게 문의하라 고 나옵니다」 🔴 App Launcher 에 정책이 없는 것입니다. 직원 문제가 아닙니다 — 아래 ③을 먼저 하십시오 Access settings › App Launcher 「개인 메일로 등록이 안 됩니다」 등록 관문이 회사 도메인만 허용하도록 되어 있으면 그것이 정상입니다. 개인 주소는 거절됩니다 같은 App Launcher 정책 「휴대폰을 바꿨는데 못 들어갑니다」 수단이 하나뿐이면 관리자가 지워 줘야 합니다. 지우면 다음 접속에 재등록 화면이 뜹니다. 🔴 백업 코드는 없습니다 에 절차와 스크립트 🔵 요청을 줄이는 방법은 하나입니다 — 안내문에 「수단을 두 개 등록해 두시면 휴대폰을 바꾸셔도 직접 처리하실 수 있습니다」를 넣는 것입니다. 인증 앱은 하나지만 보안키·생체는 여러 개 등록됩니다. 그러면 위 세 번째 요청이 거의 사라집니다. ③ 관리자용 — 안내문을 보내기 전에 확인할 것 셋 🔴 순서가 거꾸로 되면 전 직원이 같은 자리에서 막힙니다. 아래 셋을 먼저 끝내십시오. 확인할 것 안 해 두면 1 App Launcher 에 정책이 하나라도 있는지 Access settings › Manage your App Launcher › 정책 추가(예: 사내 도메인 허용) 🔴 기본값이 꺼짐 이라 손대지 않은 계정에는 이 앱이 아예 없습니다 . 그리고 이 정책은 포털 문만 엽니다 — 뒤에 있는 앱 권한과는 별개입니다 (화면 경로·딥링크·캡처는 「② 직접 해보기」 카드의 1단계 에 있습니다) 등록 화면이 그 안에 있어서, 직원이 주소를 열어도 「관리자에게 문의」에서 끝납니다 2 쓸 수 있는 수단을 켰는지 Access settings › Allow multi-factor authentication — 인증 앱·보안키·생체 고를 수단이 없어 등록 화면이 빈 채로 뜹니다. 최소한 인증 앱은 켜야 합니다 3 어느 앱에 2차 인증을 걸지 정했는지 앱 › Configure › Authentication — 조직 값 따름 / 앱별로 정하기 / 끄기 켜 두고 아무 앱에도 걸지 않으면 직원은 등록만 하고 아무 일도 일어나지 않습니다 ⚠️ 인증 지속시간 (한 번 통과하면 얼마 동안 다시 안 묻나)도 같은 화면에 있습니다. 규정이 짧으면 여기부터 줄이시고, 「매 접속마다」가 필요하면 그 값을 0 으로 두십니다. 이 값은 로그인 세션 넷과 별개의 시계 입니다 — 을 함께 보십시오. 🔵 이 안내문에는 회사 이름도 계정 값도 들어 있지 않습니다. <팀이름> 두 곳만 바꾸시면 그대로 쓰실 수 있고, 사내 공지·위키에 붙여 넣으셔도 됩니다. 직원분들께 이 페이지 주소를 그대로 보내셔도 됩니다 — 로그인 없이 열립니다. 문서: Independent MFA · App Launcher Cloudflare 는 단말 안이 아니라 단말과 서버 사이 길목 에 섭니다. 그래서 앱 설치·실행은 막지 못하고 , 앱이 서버와 통신하는 순간 을 막습니다. 내용 검사(DLP)는 그 통신을 풀어서(TLS 복호화) 볼 수 있을 때만 됩니다 — «앱이냐 웹이냐»가 아니라 «복호화가 되느냐»가 기준입니다. 화면: Traffic policies › Firewall policies (DNS · Network · HTTP 탭) · 딥링크(내 계정, HTTP) ↗ 앱 차단은 DNS·Network 탭, DLP·격리는 HTTP 탭입니다. DLP 탐지 기준은 Data loss prevention › Profiles 에 있습니다. ① 무엇이 어디까지 되나 기능 하는 일 앱에서도 되나 앱 차단 DNS · Network 앱 이름(Application)으로 통신을 끊습니다. 도메인을 하나씩 적지 않아도 Cloudflare 가 목록을 관리합니다 ✅ 복호화 없이 됩니다 기록 누가·언제·어느 앱/사이트에 붙었는지 사용자·단말별로 남습니다 ✅ 접속 사실은 남습니다. 내용은 아닙니다 DLP HTTP 올리거나 보내는 내용에서 주민번호·카드번호·자격증명 같은 민감정보를 찾아 막습니다 ⚠️ 복호화되는 HTTP 만 — 브라우저·웹은 되고, 인증서 고정 앱 ·웹이 아닌 프로토콜은 안 됩니다 격리 브라우저 HTTP · Isolate 웹을 원격 브라우저로 열고 붙여넣기·업로드·다운로드·인쇄를 막습니다 웹 전용입니다. 유료 애드온 (Pay-as-you-go·Enterprise) — Free 계정에는 없습니다 💡 왜 모바일 앱은 DLP 가 안 걸리나 — 대부분의 모바일 앱은 인증서 고정(certificate pinning) 을 씁니다. Cloudflare 인증서를 거부하므로 복호화하면 앱이 깨집니다. Cloudflare 앱 목록에 … (Do Not Inspect) 항목이 따로 있는 앱(예: ChatGPT · Kakao Talk)이 그런 구간입니다. 이런 앱은 «Do Not Inspect» 로 빼야 하고, 빼면 DLP·HTTP 기록도 함께 빠집니다. 그래서 앱은 통째로 막거나 허용 하고, 내용 통제가 필요하면 웹으로 쓰게 해서 DLP·격리 를 겁니다. ② 우리 랩에서 확인한 것 (2026-10-15) 시험 구성 결과 ChatGPT 차단 Free 계정 · 페르소나 6명 DNS 정책 any(app.ids[*] in {1199 1862}) Block + 같은 조건의 Network 정책 Block. 업무 대역만 터널을 타는 단말(Include 모드)도 DNS 는 Gateway 를 거치므로 DNS 정책이 걸립니다 ✅ 단말에서 chatgpt.com · openai.com → 162.159.36.12 (Gateway 차단 응답), 대조군 example.com 은 정상 DLP · 격리 격리 권한이 있는 데모 계정 · 시험 사용자만 G0 시험 사용자 외 Do Not Inspect → G1 인증서 고정 앱 분류 Do Not Inspect → G2 ChatGPT Isolate (붙여넣기·업로드·다운로드·인쇄 차단) → G3 DLP 프로필(주민번호·핸드폰 번호·PII·자격증명) Block. 그다음 TLS 복호화를 켰습니다 정책 적용까지 확인. 단말 시험은 아래 ③ 체크리스트로 합니다 ③ 해 보기 — 본인 계정에서 확인하는 순서 앱 차단 — DNS 정책 «Application in ChatGPT» Block, Network 정책에 같은 조건 Block. 단말에서 nslookup chatgpt.com → 162.159.36.12 이면 막힌 것입니다. 앱을 열면 실행은 되고 대화가 안 됩니다. 범위부터 좁힙니다 — 여러 사람이 쓰는 계정이면 «시험 사용자 목록 밖 = Do Not Inspect» 정책을 복호화를 켜기 전에 만듭니다. TLS 복호화를 켜고 시험 단말에 Cloudflare 루트 인증서를 설치합니다. 인증서가 없으면 HTTPS 사이트가 인증서 오류로 깨집니다. DLP — HTTP 정책 «DLP Profile in (개인정보 프로필)» Block. 아무 웹 폼에 주민번호 형식 의 값(실제 번호 말고)을 넣어 보내면 차단 화면이 떠야 합니다. 격리 — HTTP 정책 «Application in ChatGPT» Isolate + 붙여넣기·업로드 «차단». chatgpt.com 이 격리 화면으로 열리고, 복사해 둔 글을 붙여넣으면 들어가지 않아야 합니다. 클라이언트 없이 보려면 https://<팀이름>.cloudflareaccess.com/browser/https://chatgpt.com 으로 엽니다(설정 «클라이언트 없이 원격 브라우저 열기»가 켜져 있어야 합니다). 기록 — Insights › Logs › HTTP request logs 에서 정책 이름으로 거릅니다. 차단·격리가 정책 이름과 함께 남아 있으면 끝입니다. 🔴 함정 셋 — ① TLS 복호화는 계정 전체 설정입니다. 범위를 좁히는 Do Not Inspect 를 먼저 만들지 않으면 그 계정의 모든 단말이 영향을 받습니다. ② Do Not Inspect 는 목록 순서와 상관없이 가장 먼저 평가되고, 걸린 트래픽은 평문 HTTP 까지 나머지 HTTP 정책을 건너뜁니다. ③ 브라우저가 HTTP/3(QUIC)로 붙으면 HTTP 정책이 안 걸릴 수 있습니다 — Gateway 의 UDP 프록시를 켜거나 브라우저에서 QUIC 를 끕니다. 문서: TLS decryption · Applications and app types · DLP logging · Remote browser isolation · HTTP/3 inspection 🔴 여기 적힌 것은 우리 랩에서 직접 지우고 켜 보고 확인한 것 이거나 화면이 기본값으로 감추는 지점입니다. 「해 보기」가 붙은 절에는 내려받아 그대로 돌릴 수 있는 파이썬 파일 이 들어 있습니다 — 대부분 읽기만 하고, 바꾸는 것은 --apply 를 붙일 때뿐입니다. M4·M8 은 시험용 단말로만 하십시오.

실습장 검색

자주 찾는 내용