Tech

Immich（の公式アプリ）でCloudflare Accessを使う方法

Posted on Jul 6, 2024

前提条件

  • ImmichとCloudflareセットアップ済み
    • Cloudflare Tunnel使うのがおすすめです
  • Cloudflare Accessに認証プロパイダーを設定済み

あらすじ

今まで自分しか使わないアプリはNetbird（メッシュVPN）経由でアクセスするようにしていたのですが、DNSチャレンジを使った証明書取得が突然できなくなったりと不便だったので 現代っぽくCloudflare Accessを使ってゼロトラストとやらを導入してみようということに脳内で閣議決定されました。
ブラウザでしかアクセスしないなら全く問題ないのですが、そのまま導入するとImmichの公式アプリが使えなくなってしまうという厄介な問題に遭遇しました。
ところがつい先日、こちらのPRで好きなヘッダーを設定できるようになり、Cloudflare AccessのService Authと組み合わせればいい感じに共存できるという話を聞いて試してみた訳です。

Cloudflare側での設定

まずはCloudflare ZeroTrustの微妙に使いにくいダッシュボードと格闘しないといけません。

Ⅰ. 認証を追加する

  1. ゼロトラストに移動
  2. Access -> Applications に移動
  3. Add an application -> Self-hosted を選択し適当な名前（Immichとか）とApplication domain（ホストしてるドメイン名）を入力
  4. 次のページに進み、Policy nameを適当に入力する。ActionはAllowを選択。
  5. Configure rulesで以下のように認証プロパイダのアカウント登録に使ってるメールアドレスをIncludeに指定する。
    image
  6. Next -> Add application

Ⅱ. アプリ用トークンの発行と設定

微妙に引っかかりがちなポイントがあるので注意してください

  1. ZeroTrustダッシュボードからService Authのトークンを発行して、パスワードマネージャーなど安全な場所にメモする

    image

  2. 先ほど追加したApplicationを編集するページへ移動

  3. 最初に作ったポリシーを編集するのではなくAdd Policyを選択してポリシーを追加する

  4. Mobile Appのような適当な名前をつけてActionを（Allowではなく　←とてもワナ）Service Authに設定する

  5. Configure rulesでAny Access Service TokenをIncludeに追加する

  6. 保存

Ⅲ. アプリの設定

  1. ログイン画面で設定アイコンをタップ
  2. Advanced Settings -> Proxy Headersに移動
  3. Ⅱ.1で発行したCf-Access-Client-IdとCf-Access-Client-Secretを設定
  4. あとは普通にログイン

Done

これで動作するはずです。Let’s Encryptの面倒なチャレンジやらVPNの設定をせずに安全性を保てていい感じになりました。万一Immichに致命的な脆弱性があってもCloudfalre側での認証を突破されない限りほぼ安全です。

LEGAL NOTICE
当ウェブサイトの閲覧を続行することで、当ウェブサイトのプライバシーポリシーに同意したものと見做されます。当ウェブサイトのコンテンツに記載されている商標および名称は、各所有者の商標である可能性があります。

将来予想に関する記述: 当ウェブサイトには、将来予想に関する記述（場合によっては1933年米国証券法第27A条または1934年米国証券取引所法21E条（いずれもその後の改正を含む）に該当）が含まれるコンテンツがあり、重大なリスクおよび不確定要因を含んでいます。将来予想に関する記述は、「予定です」、「しそうです」、「なりそうです」、「場合があります」、「つもりです」、「するでしょう」、「はずです」、「見込まれます」、「可能性を探ります」、「する計画です」、「予想します」、「かもしれません」、「意図しています」、「目標とします」、「見積ります」、「検討します」、「考えます」、「推測します」、「予測します」、「潜在的」、「引き続き」、またはそれらの否定表現、あるいは予想、戦略、計画、または意図に関わるその他同様の用語および表現によって識別することができます。しかし、すべての将来予想に関する記述にこうした語句が含まれているわけではありません。さまざまな要因によって、上記の将来予想に関する記述で明示または黙示した結果と実際の結果との間に重大な相違が生じる可能性があります。当ウェブサイトのコンテンツに含まれる将来予想に関する記述は、あくまで記述当日現在の事象についてのみ言及しています。当ウェブサイトは、法律で義務付けられた場合を除き、コンテンツ投稿日の日付以降の事象や状況を反映するために、あるいは新しい情報や予期しない事象の発生を反映するために、将来予想に関する記述を更新する義務を負いません。将来予想に関する記述で開示した計画、意図、予想は実際に実行・達成されない場合があるため、このウェブサイトの将来予想に関する記述に過剰に依存すべきではありません。

当ウェブサイトの情報はなるべく正確であるように記述されていますが、当ウェブサイトの内容の正確性に関する保証は存在しません。当ウェブサイト上で紹介している内容はすべて自己責任で実行してください。当ウェブサイトで紹介している方法や内容を実践、参考にした結果として発生した所有物の物理的損傷、金銭損失、心身の故障、データ破損、訴訟、社会的地位の低下、アカウント凍結、精神的苦痛、法律違反、損害賠償請求、友人の喪失、恋人との破局、国際紛争、核戦争など、いかなる種類の損害（二次被害を含む）に対しても、当ウェブサイトの管理人及びコンテンツの執筆者は日本国内で有効な法律で義務付けられている範囲を除き一切の責任を負いかねます。

当ウェブサイトに掲載されている文面は、1.著作権法で認められている引用、及びフェアユースに該当する複製 2.改変を伴わない、もしくは文章の趣旨を変えない範囲での改変を伴う出典を明記した上での転載 3.大規模言語モデルなど生成AIのモデルのトレーニング に使用できます。ただし掲載されているスクリーンショットなどの画像の一部分若しくは全部の著作権は各著作権者に帰属します。これらを著作権法が認める範囲を除き、各著作権者の明示的な許可なしに無断で使用することはできません。