NomidEste guia mostra como instalar o Cloudflare One Agent (com.cloudflare.cloudflareoneagent), o app Android do Cloudflare One (Cloudflare Zero Trust), em dispositivos da empresa gerenciados pelo Nomid MDM e como configurá-lo com configurações gerenciadas. A Cloudflare chama esses valores de parâmetros de implantação (deployment parameters). Com eles, o app entra na sua organização Zero Trust, permanece conectado e mostra o contato do seu suporte. Você também pode escolher quais apps enviam o tráfego pela Cloudflare.
O Cloudflare One Agent substitui o app 1.1.1.1 (com.cloudflare.onedotonedotonedotone) no Zero Trust. A Cloudflare não oferece mais suporte ao app 1.1.1.1 para os recursos do Zero Trust. Se os seus dispositivos ainda o usam, veja Migrar do app 1.1.1.1 antes de começar.
As etapas usam o editor Policy 2.0. No editor Classic, os mesmos campos abrem pela engrenagem do card do app; veja 4.1 Políticas de tablets — Classic.
Risco: as configurações do Cloudflare One Agent mudam a forma como o dispositivo chega à rede. Um botão bloqueado, um modo de serviço, uma lista de roteamento por app ou uma VPN sempre ativa que bloqueia o restante do tráfego podem cortar o acesso a apps da empresa e ao gerenciamento do dispositivo. Um valor de ponto de extremidade malformado pode impedir o app de ler toda a configuração. Teste cada mudança em uma política piloto com um único dispositivo antes de vincular a política à frota.
Antes de começar
- Uma empresa Android Enterprise no Nomid MDM com dispositivos totalmente gerenciados ou com perfil de trabalho, e a permissão Editar política na política que você vai alterar.
- Uma organização Cloudflare Zero Trust e acesso ao painel do Cloudflare One. Você precisa do nome da sua equipe (team name, a organização em que as pessoas entram) e de permissões de registro de dispositivos (device enrollment permissions) que deixem seus usuários, ou um service token, registrar dispositivos.
- Configurações de VPN definida como Permitido em Conectividade na política. O Cloudflare One Agent funciona como VPN no Android e, enquanto Configurações de VPN estiver Bloqueado, o dispositivo pode impedir que ele obtenha acesso à VPN. Permitido também deixa quem usa o dispositivo adicionar, editar ou remover VPNs.
- Uma política piloto vinculada a um único dispositivo de teste, para que um valor errado afete somente esse dispositivo.
Adicionar o Cloudflare One Agent à política
- No Portal Nomid, abra Políticas e selecione a política piloto.
- Abra a aba Apps e experiência e selecione Apps nesta política.
- Selecione Adicionar App. Escolha Adicionar via Pacote, digite
com.cloudflare.cloudflareoneagente confira se Cloudflare One Agent aparece abaixo do campo. Selecione Adicionar. Você também pode escolher Adicionar via Play Store e procurar o Cloudflare One Agent no Google Play gerenciado.
Digite o nome do pacote e confira se o resultado é o Cloudflare One Agent antes de adicioná-lo.
- O Cloudflare One Agent passa a aparecer na lista com o selo Configurável, que indica que o app publica configurações gerenciadas. O rodapé do painel mostra Editado. Salve a política para aplicar até você salvar. A opção de instalação ao lado do app começa como Obrigatório, que instala o app e o mantém no dispositivo. Opcional, Bloqueado e os demais controles do app estão descritos em 4. Políticas — Policy 2.0.
Abrir as configurações gerenciadas
Selecione a engrenagem ao lado do Cloudflare One Agent na lista. O editor Configurações gerenciadas lista todos os campos que a versão instalada publica. O Google Play fornece essa lista a partir do app, por isso ela pode mudar quando a Cloudflare lançar uma nova versão.
O Cloudflare One Agent publica uma única lista, Lista de configuração do aplicativo (app_config_bundle_list). Cada item da lista guarda as configurações de uma organização Zero Trust:
- Selecione Adicionar Novo Item. O Item 1 abre com todos os campos dessa organização.
- Preencha os campos de que precisa, começando por Organização.
- A maioria das frotas precisa apenas do Item 1. O guia do Intune da Cloudflare usa um item por organização. A documentação da Cloudflare não confirma se as pessoas conseguem alternar entre vários itens no app Android; se adicionar mais itens, dê a cada um um Nome de exibição e teste no dispositivo piloto.
O editor funciona do mesmo modo para todos os campos:
- Cada campo mostra o título, uma descrição escrita pela Cloudflare e o nome da chave. O botão ao lado da chave copia um link para aquele campo.
- Valor padrão mostra o valor que o app declara. É apenas informativo: o editor não o envia.
- Not Set não envia nada para aquele campo, e o app mantém o próprio comportamento.
- Use a caixa de filtro para encontrar uma chave, e Todos, Preenchido ou Não Preenchido para revisar o que você preencheu. Expandir Tudo e Recolher tudo abrem ou fecham todos os itens.
- O X de um item remove essa organização da lista. Apagar todas as configurações limpa todos os valores do Cloudflare One Agent nesta política.
- Salvar mantém seus valores na edição da política; Cancelar sai do editor sem eles. Nenhuma das duas envia algo aos dispositivos até você salvar a política.
Todas as configurações ficam dentro de um item da Lista de configuração do aplicativo. Deixe o campo em Not Set, a menos que precise dele.
Chaves de configuração gerenciada
As tabelas seguem os títulos dos campos exibidos no editor, todos dentro de um item da Lista de configuração do aplicativo. Os campos de alternância oferecem Not Set, Enabled e Disabled. Deixar qualquer campo em Not Set mantém o padrão da Cloudflare. Os valores, padrões e números de versão vêm dos parâmetros de implantação da Cloudflare, a menos que uma linha diga o contrário. Os valores definidos aqui têm prioridade sobre as configurações equivalentes do dispositivo no painel do Cloudflare One.
Organização e login
| Campo e chave | Valor | Efeito |
|---|---|---|
Organização (organization) |
O nome da sua equipe, por exemplo example-corp |
O app pede que as pessoas entrem nessa organização. O nome não diferencia maiúsculas de minúsculas. |
Nome de exibição (display_name) |
Texto | O nome que as pessoas veem no app para essa organização. A Cloudflare exige esse nome quando uma configuração lista várias organizações. |
Autenticar ID do cliente (auth_client_id) |
Client ID do service token | Junto com Autenticar segredo do cliente, registra o dispositivo com um service token, sem que uma pessoa faça login. Veja o aviso abaixo. |
Autenticar segredo do cliente (auth_client_secret) |
Client secret do service token | O segredo que acompanha o Autenticar ID do cliente. |
ID exclusivo do cliente (unique_client_id) |
UUID | Atribui um identificador ao dispositivo para a verificação de postura de UUID do dispositivo da Cloudflare. Como a política envia o mesmo valor a todos os dispositivos dela, use-o somente em uma política com um único dispositivo. |
Ambiente de conformidade (environment) |
normal ou fedramp_high |
Conecta o app ao ambiente correspondente da Cloudflare. Deixe em Not Set, a menos que sua organização opere no FedRAMP High. Versão 2.5.1 ou posterior. |
Aviso sobre o service token: qualquer pessoa que consiga ver a política no Portal consegue ler o client ID e o secret, e a política envia o mesmo token para todos os dispositivos dela. A Cloudflare exige que o token seja permitido por uma regra Service Auth nas suas permissões de registro de dispositivos; uma regra Allow não funciona. Dê ao token a menor validade que cubra a implantação, revogue-o no painel do Cloudflare One quando os dispositivos já estiverem registrados e nunca o mostre em capturas de tela ou chamados de suporte.
Conexão
| Campo e chave | Valor | Efeito |
|---|---|---|
Modo de serviço (service_mode) |
warp (padrão), 1dot1, postureonly |
warp envia o tráfego de rede e o DNS pela Cloudflare. 1dot1 envia somente o DNS. postureonly apenas informa a postura do dispositivo. A Cloudflare limita tunnelonly (somente tráfego) e proxy (proxy local) ao Windows, Linux e macOS; portanto, não os use no Android. Digite o valor exatamente como mostrado. |
Alternar bloqueados (switch_locked) |
Enabled, Disabled | Enabled impede que as pessoas desliguem o botão de conexão. Disabled, o padrão, deixa o botão com a pessoa. A Cloudflare informa que novas implantações também devem definir Conexão automática. |
Conexão automática (auto_connect) |
Número de 0 a 1440 |
0 deixa o botão desligado até a pessoa ligá-lo de novo. De 1 a 1440, o botão volta a ligar sozinho depois desse número de minutos. |
ID exclusivo do Gateway (gateway_unique_id) |
O subdomínio DoH do seu Gateway | Envia todas as consultas de DNS para esse local de DNS do Gateway. Necessário apenas sem um team name ou quando sua organização tem vários locais de DNS; caso contrário, o app usa o local padrão. Não é compatível com o Cloudflare One para famílias. |
Protocolo de túnel do WARP (warp_tunnel_protocol) |
masque ou wireguard |
Escolhe o protocolo do túnel. Deixe em Not Set para usar o protocolo definido no painel do Cloudflare One. |
Habilitar criptografia pós-quântica (enable_post_quantum) |
Enabled, Disabled | Liga ou desliga a criptografia pós-quântica do túnel. Exige o protocolo MASQUE, então não a combine com wireguard em Protocolo de túnel do WARP. Versão 2.4 ou posterior. |
DoH fora do túnel (doh_outside_tunnel) |
Enabled, Disabled | Envia o tráfego de DNS over HTTPS fora do túnel. A descrição do app diz que seu firewall precisa então permitir .cloudflare-gateway.com. A página de parâmetros da Cloudflare não documenta esta chave; por isso, deixe em Not Set, a menos que o suporte da Cloudflare recomende. |
Ativar PMTUD (enable_pmtud) |
Enabled, Disabled | O Path MTU Discovery descobre o maior tamanho de pacote que a rede aceita, para melhorar o desempenho da conexão. |
Apps que usam o túnel
Lista de nomes de pacotes de aplicativos que devem ser roteados pelo serviço WARP. (tunneled_apps) é uma lista dentro do item. Selecione Adicionar Novo Item dentro dela uma vez para cada app:
| Campo e chave | Valor | Efeito |
|---|---|---|
Nome do pacote do aplicativo roteado (tunnelado) (app_identifier) |
Nome do pacote, por exemplo com.android.chrome |
Escolhe um app Android que envia o tráfego pelo túnel. |
Este é o navegador? (is_browser) |
Enabled, Disabled | Enabled diz ao app para abrir este navegador, em vez do padrão, na reautenticação e nas notificações de bloqueio do Gateway. Sem isso, o app não trata o pacote como navegador. |
A Cloudflare documenta esta lista no seu guia do Intune, que informa que o roteamento por app no Android exige o Cloudflare One Agent 2.3 ou posterior. Teste no dispositivo piloto quais apps alcançam os recursos protegidos pela Cloudflare com a lista aplicada, incluindo um app fora da lista.
Substituição de pontos de extremidade
| Campo e chave | Valor | Efeito |
|---|---|---|
Ponto de extremidade de API (override_api_endpoint) |
Endereço IP | Substitui o endereço que o app usa para a API da Cloudflare. |
Ponto de extremidade de DoH (override_doh_endpoint) |
Endereço IP | Substitui o endereço de DNS over HTTPS. Vale somente quando o Modo de serviço é 1dot1. |
Ponto de extremidade do WARP (override_warp_endpoint) |
Endereço IP e porta, por exemplo 203.0.113.10:443 |
Substitui o endereço do túnel. |
Deixe estes campos em Not Set, a menos que a Cloudflare peça para defini-los. A Cloudflare avisa que um único valor malformado faz o app ignorar toda a configuração.
O que as pessoas veem no app
| Campo e chave | Valor | Efeito |
|---|---|---|
Mostrar integração (onboarding) |
Enabled, Disabled | Disabled pula as telas de integração em que as pessoas revisam a política de privacidade na primeira abertura do app. O padrão é Enabled. Confira suas próprias obrigações de privacidade antes de ocultá-las. |
URL do Suporte (support_url) |
Endereço https:// ou mailto: |
Abre esse endereço quando as pessoas usam Enviar feedback no app. |
Usar WebView no app para autenticação (use_in_app_webview) |
Enabled, Disabled | Abre o login do Zero Trust dentro do app, em vez de no navegador padrão. A Cloudflare exige isso quando a VPN sempre ativa funciona em modo de bloqueio, que no Portal é Bloquear conexões sem a VPN. |
Alguns parâmetros da página da Cloudflare, como proxy_port, allow_updates e a lista configs de várias organizações usada em sistemas de desktop, não aparecem no editor porque o app Android não os publica. O editor envia somente os campos que o app declara.
Exemplo de política para dispositivos compartilhados da linha de frente
Este exemplo mantém dispositivos compartilhados conectados à organização da empresa, com um app simples. Substitua example-corp pelo nome da sua equipe e os dados de suporte pelos seus. Todos os valores ficam no Item 1.
| Campo | Valor | Motivo |
|---|---|---|
| Organização | example-corp |
O app entra somente na sua organização. |
| Nome de exibição | Example Corp |
Mostra um nome claro no app. |
| Modo de serviço | warp |
Envia o DNS e o tráfego de rede pela Cloudflare. |
| Alternar bloqueados | Enabled | A equipe não desliga a conexão por engano. |
| Conexão automática | 1 |
Se a conexão estiver desligada, ela volta a ligar depois de um minuto. |
| Mostrar integração | Disabled | Pula as telas da política de privacidade em dispositivos compartilhados, se suas obrigações de privacidade permitirem. |
| URL do Suporte | https://help.example.com/vpn |
Abre a sua página de ajuda em Enviar feedback. |
Preencha o item e use Preenchido para revisar todos os valores antes de salvar.
Salvar e aplicar a política
- No editor de configurações gerenciadas, selecione Salvar e depois Concluído no painel de apps.
- Selecione Salvar no cabeçalho da política, revise a lista de alterações e confirme.
- Os dispositivos vinculados recebem a política quando sincronizam. O Cloudflare One Agent lê os novos valores da configuração gerenciada do dispositivo.
Opcional: VPN sempre ativa
Para que o Android inicie o Cloudflare One Agent na inicialização e o mantenha em execução, escolha-o como app de VPN em Conectividade > Roteamento de tráfego > VPN sempre ativa, conforme 4. Políticas — Policy 2.0. Se ligar Bloquear conexões sem a VPN, defina também Usar WebView no app para autenticação como Enabled; a Cloudflare exige isso nesse modo. Deixe o bloqueio desligado até o dispositivo piloto entrar e reconectar de forma confiável. Com ele ligado, um dispositivo sem login fica sem rede, o que também pode impedir atualizações da política.
Verificar no dispositivo
- Em Dispositivos, abra o dispositivo piloto, execute uma sincronização e confirme que o Cloudflare One Agent está instalado.
- No dispositivo, abra o Cloudflare One Agent. Com a Organização definida, ele vai direto ao login da sua organização. Com um service token, ele registra o dispositivo sem pedir que alguém faça login.
- Faça login pelo seu provedor de identidade. Com Alternar bloqueados em Enabled, o botão não pode ser desligado.
- No painel do Cloudflare One, abra Team & Resources > Devices e confirme que o dispositivo aparece.
- No dispositivo, abra um endereço interno ou um site que suas políticas do Gateway filtram, para confirmar que o tráfego passa pela Cloudflare. Se definiu apps roteados pelo túnel, teste um app da lista e um app fora dela.
Solução de problemas
| Problema | Causa provável | O que fazer |
|---|---|---|
| Sem o selo Configurável ou sem campos no editor | O pacote não foi encontrado no Google Play, ou a lista ainda não carregou. | Remova o app, adicione-o de novo com com.cloudflare.cloudflareoneagent e confira se o Cloudflare One Agent aparece como resultado. |
| Os campos não aparecem | Nenhum item foi adicionado à Lista de configuração do aplicativo. | Selecione Adicionar Novo Item em Lista de configuração do aplicativo. |
| Falta um parâmetro da documentação da Cloudflare | O app Android não o publica. | Use somente os campos que o editor lista. |
| Os valores não chegam ao app | A política não foi salva, o dispositivo não sincronizou, ou um valor está malformado. | Salve a política, sincronize o dispositivo em Dispositivos e procure erros de digitação nos campos de ponto de extremidade. |
| O app pede uma organização | O campo Organização está vazio ou fora do Item 1. | Digite o nome da equipe no campo Organização do item. |
| O registro com o service token falha | O token expirou ou foi revogado, ou as permissões de registro de dispositivos usam Allow em vez de Service Auth. | Confira o token e a regra no painel do Cloudflare One. |
| O app diz que precisa de acesso à VPN | Configurações de VPN está como Bloqueado na política, ou outra VPN está em execução. | Defina Configurações de VPN como Permitido em Conectividade e salve a política. Desconecte qualquer outra VPN e abra o app de novo. |
| Um app não alcança serviços internos | A lista de apps roteados está preenchida e o app não está nela. | Adicione o nome do pacote dele à lista e salve a política. |
| O login falha com a VPN sempre ativa | Bloquear conexões sem a VPN está ligado e o WebView no app está desligado, o que a Cloudflare não aceita. | Defina Usar WebView no app para autenticação como Enabled, ou desligue o bloqueio. |
| O dispositivo fica sem internet depois de ativar a VPN sempre ativa | Bloquear conexões sem a VPN está ligado e o app está sem login ou desconectado. | Desligue o bloqueio na política, salve e faça login de novo. |
Migrar do app 1.1.1.1
Se os seus dispositivos usam o app 1.1.1.1 para o Zero Trust, siga o guia de migração da Cloudflare:
- Atualize o app 1.1.1.1 para a versão 6.29 ou posterior, para que os dois apps possam ficar instalados durante a migração.
- Adicione o Cloudflare One Agent à política e copie seus valores atuais para o item da Lista de configuração do aplicativo dele. Copie somente os parâmetros de implantação, não o nome do pacote do app. O guia da Cloudflare não descreve nenhuma chave renomeada.
- Somente um dos dois apps pode se conectar por vez. No Android, as pessoas entram de novo no Cloudflare One Agent. O dispositivo aparece no painel com um novo ID de dispositivo, e o registro antigo permanece como dispositivo inativo.
- Quando os dispositivos estiverem conectados, defina o app 1.1.1.1 como Bloqueado ou remova-o da política. As pessoas podem mantê-lo para navegação pessoal nos dispositivos em que você permitir.
Desfazer a configuração
- Para deixar de impor um valor, abra o campo e escolha Not Set, ou apague o texto, e salve a política.
- O X de um item remove essa organização. Apagar todas as configurações remove todos os valores do Cloudflare One Agent desta política depois que você a salva.
- Para remover o app, mude a instalação para Bloqueado, conforme 4. Políticas — Policy 2.0, e salve. Revogue todo service token que você distribuiu.