前のページで、Zero Trustは「決して信頼せず、常に検証する」という設計思想であり、実現には複数の部品の組み合わせが必要だと学びました。Cloudflareがその部品一式をまとめて提供しているのが、Cloudflare One（クラウドフレア・ワン）です。
Cloudflare Oneには多くの製品が含まれるため、初めて管理画面を開くと圧倒されがちです。しかし、全体は「2つの通信の流れ」で整理すると驚くほど見通しがよくなります。このページはその見取り図です。個々の製品の詳細には深入りせず、それぞれが地図のどこに位置するのかを押さえることに集中します。詳細は次ページ以降で1つずつ扱います。
このページで分かること
- Cloudflare Oneとは何か、SASEという考え方
- 製品群を「2つの流れ」で整理する見取り図
- Access・Tunnel・Gateway・WARPの役割分担
- データを守る製品（DLP・CASBなど）の位置づけ
- 料金体系と無料で使える範囲
Cloudflare Oneとは
ネットワークとセキュリティをクラウドで統合する（SASE）
Cloudflare Oneは、企業ネットワークとZero Trustセキュリティを、Cloudflareの世界規模ネットワーク上で統合して提供するプラットフォームです。業界用語ではSASE（Secure Access Service Edge：サシー）と呼ばれる製品分野にあたります。
SASEの発想はこうです。従来は、ファイアウォール・VPN装置・Webフィルタリング装置といったセキュリティ機器を、会社ごとに買って設置していました。しかし前ページで見たとおり、守る対象も働く人もクラウドに散らばった現在、自社に箱を置くやり方は限界です。ならば、セキュリティの検問所そのものをクラウド側に置き、すべての通信をいったんそこへ通せばよい。Cloudflareは世界中の300以上の都市にデータセンターを持つため、利用者がどこにいても近くに検問所がある、というわけです。
なお、この製品群は名称が何度か変わってきました。旧称の「Cloudflare for Teams」や「Cloudflare Zero Trust」という呼び名が記事や書籍に残っていますが、現在はCloudflare Oneに統合されています（2026年8月時点）。古い情報を読むときは同じものだと読み替えてください。
全体像：2つの流れで整理する
Cloudflare Oneの主要製品は、守る通信の向きで2つに分けられます。
流れ①：外から中へ——社内アプリへのアクセスを守る
1つめは、ユーザーが社内アプリやNASなどの内部リソースにアクセスする流れです。ここを守る仕組みをZTNA（Zero Trust Network Access）と呼び、VPNの置き換えにあたります。担当する製品は次の2つです。
- Cloudflare Access：アプリの前に立つ認証の門番。アクセスのたびに「誰が・どの端末で」を検証し、許可された人だけを通します
- Cloudflare Tunnel：守られる側（サーバーやNAS）をCloudflareへつなぐ接続部品。ポート開放なしの外向き接続なので、アプリ自体はインターネットから見えないままになります
流れ②：中から外へ——社員のインターネット利用を守る
2つめは、社員の端末からインターネットへ出ていく流れです。フィッシングサイトへのアクセスやマルウェアのダウンロードを、出口で検査して止めます。この仕組みをSWG（Secure Web Gateway）と呼びます。
- Cloudflare Gateway：通信を検査するフィルター本体。DNSの段階、通信の中身の段階など、複数の層で危険をブロックします
- WARP（Cloudflare One Client）：社員の端末にインストールするアプリ。端末の通信をCloudflareへ送り届ける接続部品で、端末の健全性（デバイスポスチャ）の報告も担います
つまり、AccessとGatewayが「検問所」、TunnelとWARPが「検問所まで通信を運ぶ接続部品」という役割分担です。Tunnelはサーバー側の、WARPは端末側の接続部品と覚えると整理しやすいでしょう。
データと利用環境を守る製品群
2つの流れに加えて、その上を流れる「データ」を守る製品が乗ります。いずれもこの章の後半や関連ページで扱います。
- DLP（Data Loss Prevention）：クレジットカード番号などの機密データが外部へ送られるのを検知・ブロック
- CASB：Google WorkspaceなどのSaaSの設定ミスや危険な共有を点検
- Browser Isolation：危険なサイトをCloudflare側のブラウザーで開き、端末には画面描画だけを届ける隔離技術
- Email Security：フィッシングメールの検知・隔離
- DEX（Digital Experience Monitoring）：社員の通信品質を監視し、「つながらない・遅い」の原因調査を助ける運用ツール
さらに企業の拠点ネットワークそのものをCloudflareへつなぐMagic WANという製品もありますが、これは第4章で扱います。
料金と無料で使える範囲
Cloudflare Oneの料金は、Webサイト向けのFree/Pro/Businessプランとは別体系で、ユーザー数課金です（2026年8月時点）。
- Freeプラン：50ユーザーまで無料。Access・Tunnel・Gateway・WARPといった中核機能が使え、ログ保存は24時間、DLPなど一部機能は制限つき
- Pay-as-you-go：1ユーザーあたり月7ドル。ログ保存期間の延長など
- Contract（Enterprise）：大規模組織向けの年間契約。フル機能のDLP・CASB・Browser Isolationや長期ログ、サポートが含まれます
50ユーザー無料は、他社のZero Trust製品と比べても突出した太っ腹さです。個人・家庭・小規模チームなら、実質無料で企業級のZero Trustを構築できます。
具体例：小さな構成から始める
Cloudflare Oneは全製品を一度に導入するものではありません。典型的な始め方は次のような段階です。
- まずTunnel＋Access：自宅のNASや社内の管理画面を、ポート開放なしで公開し、認証をかける（最小のZTNA）
- 次にWARP＋Gateway：家族や社員の端末にWARPを入れ、フィッシング・マルウェアサイトをDNSでブロックする（最小のSWG）
- 必要になったらデータ保護：SaaSの利用が増えたらCASB、機密データを扱うならDLP、と足していく
この1と2だけでも、前ページで見た「境界型防御の3つの限界」への答えになっていることが分かると思います。
初心者が注意するポイント
- アカウントは同じ、管理画面は別世界：Cloudflare Oneは通常のCloudflareアカウントから使えますが、設定画面はWebサイト向け機能とは別に用意されています。最初にチーム名（team name）を決めると、認証画面のURL（チーム名.cloudflareaccess.com）が作られます
- 名称の変遷に注意：検索して出てくる「Cloudflare for Teams」「Zero Trust ダッシュボード」は現在のCloudflare Oneのことです。設定手順の記事は画面構成が古い場合があります
- 全部使う必要はない：SASEの全体像は壮大ですが、TunnelとAccessだけの利用もまったく問題ありません。必要な部品だけ使えます
- 50ユーザーの数え方：認証を通るユーザー単位です。家庭やチームでの利用で上限に達することはまずありませんが、全社導入を検討する場合は有料プランの見積もりが必要です
関連サービス
- Cloudflare Access：流れ①の認証門番（次ページ）
- Cloudflare Tunnel：サーバー側の接続部品
- Cloudflare Gateway：流れ②の検査フィルター
- WARP：端末側の接続部品
- DLP・CASB：データ保護（この章の最終ページ）
まとめ
- Cloudflare Oneは、Zero Trustを実現するCloudflareの製品群で、SASEと呼ばれる分野のプラットフォーム
- 全体は「外から中へ（アプリを守る＝Access＋Tunnel）」と「中から外へ（通信を守る＝Gateway＋WARP）」の2つの流れで整理できる
- AccessとGatewayが検問所、TunnelとWARPが接続部品という役割分担
- その上にDLP・CASB・Browser Isolationなどのデータ保護が乗る
- 50ユーザーまで無料で、TunnelとAccessだけといった部分利用から始められる
次に読む
※本記事の情報は 2026年8月時点のものです。