AI Agent 的临时 Cloudflare 账户

Cloudflare 发布临时账户以简化 AI 驱动的自动化

核心观点： Cloudflare 的新 临时账户 功能使 AI agent 可以获取短寿命、权限受限的凭据，从而允许自动化工作流在不暴露长期密钥的情况下与 Cloudflare API 进行交互。

为什么临时账户对 AI 自动化至关重要

临时账户 解决了核心的安全问题：AI 驱动的机器人经常需要调用 Cloudflare API（例如，创建 DNS 记录、清除缓存或管理防火墙规则）。传统方法依赖于静态 API token，或服务账户密钥，这些是高价值凭据，必须安全地存储并手动轮换。如果遭到破坏，攻击者可能会获得对 Cloudflare zone 的持久访问权限。

通过签发在可配置的短时间间隔（几分钟到几小时）后自动过期的凭据，Cloudflare 降低了攻击面。

该功能的工作原理

  1. 请求临时 token – AI agent 调用新的 /temporary-accounts 端点，使用具有 temporary_accounts:create 权限的现有长期 token 进行身份验证。
  2. 定义范围和 TTL – 请求负载（payload）指定了所需的权限（例如， dns:edit、cache:purge）和生存时间（TTL）值。Cloudflare 会验证请求的范围是否超过了调用者的自身权限。
  3. 接收短寿命 token – Cloudflare 返回一个 JWT 风格的 token，其中编码了授予的范围和过期时间戳。该 token 可以用于任何标准的 Cloudflare API 端点，直到它过期。
  4. 自动撤销 – 一旦 TTL 到期，token 会在服务器端失效；任何使用该 token 的后续 API 调用都将返回 401 Unauthorized 响应。

该流程镜像了现有的 OAuth 风格的委托，但直接构建在 Cloudflare 的 API 表面，消除了对外部身份提供商（IdP）的需求。

安全优势

  • 最小权限原则执行 – Token 被限制在单个任务所需的精确动作上，从而防止过度授权的访问。
  • 减少凭据寿命 – 短 TTL 限制了被利用的窗口期。
  • 可审计的使用情况 – 每个临时 token 都会记录其创建者、范围和过期时间，从而实现精确的取证分析。
  • 无需密钥存储 – AI agent 可以根据需要请求新的 token，从而避免了高价值密钥的持久化存储。

实际应用场景

  • CI/CD 流水线 – 需要更新 DNS 或清除缓存的部署任务可以在构建时请求一个 token，在任务期间使用它，并让其自动过期。
  • Serverless 函数 – 执行偶尔进行的管理操作的 Edge workers 或 Cloudflare Workers 可以获取一个临时 token，而不是嵌入永久的 API key。
  • 第三方 AI 服务 – 外部 AI 平台（例如，语言模型驱动的监控工具）可以被授予范围狭窄、有时限的访问权限，而无需暴露长期凭据。

实现考虑因素

  • TTL 选择 – 为任务选择最短且实用的 TTL。Cloudflare 目前支持从 5 分钟到 24 小时的 TTL。

  • 权限粒度 – 定义所需的最小权限集。过度指定权限会违背临时账户的 temporary accounts 功能的初衷。

  • 错误处理 – 准备好处理在操作中途 token 过期时返回的 401 响应；如果合适，agent 应请求新的 token 并重试。

与现有方法的比较

方法 凭据寿命 范围控制 管理开销
静态 API token 无限期（直到手动撤销） 广泛（通常是所有 zone 权限） 高 – 需要轮换和密钥存储
OAuth client credentials 可配置，但通常是长期有效的 委托范围，但需要外部 IdP 中 – 需要 IdP 集成
Cloudflare 临时账户 可配置的短期（几分钟到几小时） 精确的每次请求范围 低 – 原生 API，无需外部 IdP

如何开始使用

  1. 启用该功能 – 在 Cloudflare 控制台，导航至 My Profile → API Tokens 并启用 Temporary Accounts（如果尚未激活）。

  2. 创建父级 token – 生成一个具有 temporary_accounts:create 权限的长期 token。

  3. 集成请求n Add a call to POST https://api.cloudflare.com/client/v4/temporary-accounts in your AI agent code, supplying the desired scopes and TTL.

  4. 使用返回的 token – 将其包含在后续 Cloudflare API 调用的 Authorization: Bearer <token> 请求头中。

限制与未来路线图

  • 目前，临时账户仅限于 zone-level 权限；account-wide 范围的权限计划在未来的版本中发布。

  • 该功能已进入通用可用阶段（GA），但可能受到速率限制（rate limits）；详情请参阅 Cloudflare API 速率限制文档。

  • 即将到来的增强功能包括撤销列表和可编程的过期回调。

结论： Cloudflare 的临时账户为 AI agent 提供了一种安全、低维护的方式来获取短寿命、受限范围的权限，在保留自动化工作流所需的灵活性性的同时，大幅度降低了与长期 API key 相关的风险。

Sources