Cloudflare bổ sung kiểm soát truy cập theo từng Worker
"Cloudflare introduced resource-level access controls for Workers, allowing users to scope permissions to a single Worker and assign one of four roles: Metadata Read-Only, Content Read-Only, Editor, or Admin. The change is designed to enforce least privilege for teammates, CI/CD systems, and agents, limiting access to observability data, source code, deployment actions, or full management as needed, with plans to extend the model to D1, R2, and KV."
Giảm nguy cơ lạm dụng quyền và lan rộng ảnh hưởng khi token hoặc tài khoản bị xâm phạm; hỗ trợ phân quyền tối thiểu cho người dùng và agent.
Giúp kiểm soát tốt hơn quy trình triển khai và vận hành đa nhóm; giảm rủi ro gián đoạn do cấu hình sai hoặc quyền quá rộng.
Cloudflare đã giới thiệu resource-level access controls cho Workers, cho phép giới hạn quyền ở phạm vi một Worker thay vì toàn bộ tài khoản. Hệ thống mới có 4 vai trò: Metadata Read-Only, Content Read-Only, Editor và Admin, nhằm hỗ trợ nguyên tắc least privilege cho cộng tác viên, CI/CD và các agent tự động.
Với Metadata Read-Only, người dùng có thể xem metrics, logs, traces và cấu hình để hỗ trợ gỡ lỗi, nhưng không truy cập được mã nguồn. Content Read-Only cho phép đọc Worker code hoặc dữ liệu nội dung nhưng không được sửa đổi. Editor có thể đọc, ghi và cập nhật thiết lập, phù hợp cho triển khai thay đổi nhưng không cho phép xóa tài nguyên. Admin có toàn quyền với một Worker, bao gồm tạo, đổi tên, xóa và cấp quyền cho người khác.
Các vai trò này hiện đã khả dụng cho toàn bộ khách hàng. Quản trị viên có thể gán quyền cho từng người dùng trong dashboard hoặc tạo API token theo phạm vi để cấp cho agent. Cloudflare cho biết mô hình này sẽ được mở rộng sang D1, R2 và KV trong thời gian tới.
Khuyến nghị: rà soát lại quyền truy cập hiện có, tách riêng token cho từng workflow, và ưu tiên cấu hình theo từng tài nguyên để giảm rủi ro khi tài khoản hoặc token bị lộ.