Cloudflare

Cloudflare wird mit einem kontoeigenen, schreibgeschützten API-Token verbunden. Polylane untersucht und erklärt, was es findet, ohne je etwas in deinem Konto zu ändern; wenn der Fix Code ist, kommt er als Pull Request, den du prüfst. Dein Token wird vor dem Speichern verschlüsselt, und der Agent sieht ihn nie.

Einrichtung

1. Klicke oben auf Create read-only token oder im Verbindungsformular der Konsole auf Create API token. Beides öffnet den Bildschirm für Konto-API-Tokens bei Cloudflare, in dem alle Berechtigungen, die Polylane braucht, bereits ausgewählt sind.
2. Wähle das Konto, das du verbinden willst. Du musst in diesem Konto Super Administrator sein, um einen kontoeigenen Token zu erstellen.
3. Prüfe die vorausgefüllten Berechtigungen, dann klicke auf Continue to summary und Create Token.
4. Kopiere den Token und füge ihn in Polylane ein.
5. Polylane prüft den Token und startet den Sync.

Für die vollständige Ressourcenerkennung brauchst du den Workers Paid plan.

Berechtigungen

Der vorkonfigurierte Link erstellt einen kontoeigenen Token: ein dauerhaftes Service-Principal, das weiterarbeitet, auch wenn die Person, die es erstellt hat, das Konto verlässt. Jede Berechtigung ist schreibgeschützt und gilt für das ganze Konto:

• Developer Platform: Workers, KV, R2, D1, Queues, Pipelines, Hyperdrive, Durable Objects, Containers, Secrets Store, Artifacts und mehr
• AI & Machine Learning: Workers AI, AI Gateway, AutoRAG, Vectorize, AI Search
• DNS & Zones: DNS, Zoneneinstellungen, Registrar, DNS Firewall
• Network Services: Load Balancing, Magic Transit/WAN, Spectrum, Tunnels
• App Security: WAF, Rulesets, DDoS, Bot Management, Page Rules, Zertifikate
• Cache, Email, Media, Rules, Analytics & Logs

Nichts in diesem Token kann in deinem Konto etwas anlegen, ändern oder löschen: keine Deploys, keine Konfigurationsänderungen, keine Rollbacks, keine Abrechnung und keine Verwaltung von API-Tokens. Remediation kommt stattdessen als Pull Request.

Verbindung trennen

Trenne das Konto in Polylane, dann widerrufe den API-Token in deinem Cloudflare-Dashboard unter My Profile → API Tokens (oder Manage Account → API Tokens für kontoeigene Tokens).

Für die Verbindung mit Cloudflare braucht es keinen Browser: Derselbe Endpunkt, den die Konsole aufruft, passt in einen CI-Job. Ein authentifizierter POST erstellt die Verbindung und startet den ersten Sync.

Voraussetzungen

• Ein Polylane-API-Schlüssel mit den Scopes cloud_accounts:write und cloud_accounts:read. Siehe API-Schlüssel und OAuth.
• Deine Workspace-ID, die mit ws_ beginnt. Lies sie mit demselben Schlüssel aus GET /v1/workspaces.
• Ein kontoeigener Cloudflare-API-Token. Der Link Create read-only token oben wählt jede Berechtigung vor, die Polylane braucht.

Verbindung erstellen

curl -X POST https://api.polylane.com/v1/cloud_accounts \
  -H "x-api-key: $POLYLANE_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "provider": "cloudflare",
    "workspaceId": "ws_0abc123",
    "token": "<cloudflare-api-token>",
    "readOnly": true
  }'

Ein Aufruf verbindet jedes Cloudflare-Konto, das der Token erreichen kann, jedes als eigene Verbindung.

• readOnly hält fest, dass der Token schreibgeschützt erstellt wurde; lass es weg (oder false) für einen Token, der schreiben kann.
• createMonitoringAlarms (optional, Standard true) steuert die standardmäßigen Workers-Observability-Alerts.

Die Antwort listet auf, was verbunden wurde, der erste Sync läuft bereits. Gekürzt auf die zwei Felder, die der Rest des Ablaufs liest:

{
  "success": true,
  "result": {
    "provider": "cloudflare",
    "accounts": [{ "id": "acc_34gky74ibc92h8t2efn8csrh", "status": "syncing" }],
    "failures": []
  }
}

Ein bereits verbundenes Konto landet in failures statt in accounts, ein wiederholter Aufruf dupliziert also nie eine Verbindung.

Auf den ersten Sync warten

Frage jedes zurückgegebene Konto über seine id ab, bis status ready erreicht (new bei der Registrierung, syncing, während Ressourcen einlaufen):

until [ "$(curl -s "https://api.polylane.com/v1/cloud_accounts/$WORKSPACE_ID/$ACCOUNT_ID" \
  -H "x-api-key: $POLYLANE_API_KEY" | jq -r '.result.status')" = "ready" ]; do
  sleep 15
done

Gib der Schleife eine Frist, damit ein fehlgeschlagenes Verbinden den Job fehlschlagen lässt, statt ihn hängen zu lassen. Sobald das Konto ready ist, sind seine Ressourcen in der Topologie, und Polylane hat seinen ersten Check gestartet.

Über die API trennen

Das Löschen der Verbindung stoppt jeden Sync und Check und löscht die Zugangsdaten, die Polylane gespeichert hatte. Der Aufruf braucht den Scope cloud_accounts:delete:

curl -X DELETE "https://api.polylane.com/v1/cloud_accounts/$WORKSPACE_ID/$ACCOUNT_ID" \
  -H "x-api-key: $POLYLANE_API_KEY"

Widerrufe dann die Cloudflare-Zugangsdaten auf Anbieterseite, wie unten unter Trennen beschrieben.