Cloudflare Tunnel 로그만 보여주려면, 관리자 권한까지 줘야 할까?

세 줄 요약

10월 22일 정식 제공된 Read And Monitor 역할은 선택한 터널의 원격 로그 열람을 허용한다.
기존 세분화 Read 역할에는 로그 스트리밍 권한이 없다.
담당 터널만 보이게 하려면 새 정책뿐 아니라 기존 계정 전체 권한도 함께 확인해야 한다.

설정 변경 없이 로그를 읽는 역할이 생겼다

지원 담당자에게 Cloudflare Tunnel 장애 조사를 맡기기 위해 계정 전체 수정 권한을 줄 필요는 없다. 10월 22일 정식 제공된 역할은 특정 터널을 조회하고 실시간 로그를 스트리밍할 수 있게 한다.

정확한 이름은 Cloudflare Tunnel - Granular Connector cloudflared Read And Monitor다. 선택한 터널과 연결된 IP·호스트명 경로, 커넥터 호스트 정보를 볼 수 있다. 기존 세분화 Read 역할에 원격 로그 열람을 더한 것으로, 이 역할 자체는 터널 설정 변경을 허용하지 않는다.

예를 들어 결제 서비스용 터널의 연결 상태를 지원팀이 조사해야 한다면, 그 터널을 대상으로 이 역할을 부여할 수 있다. 다른 서비스의 터널까지 모두 관리하게 하는 대신 조사할 자원을 지정하는 방식이다.

회원 정책에서 역할과 터널을 함께 지정한다

세분화 권한 설정은 계정 회원 관리에서 진행한다. 역할 이름만 선택하지 말고 적용할 자원까지 지정해야 한다.

Manage Account → Members에서 담당 회원을 열거나 새 회원을 초대한다.
권한 정책을 추가하고 위의 Read And Monitor 역할을 고른다.
Scope를 Specific resources로 설정한다.
Resource type에서 Cloudflare Tunnel instances를 선택한다.
지원 업무에 필요한 터널을 선택하고 정책을 저장한다.

서로 다른 터널에 다른 역할이 필요하면 회원 한 명에게 여러 세분화 정책을 연결할 수 있다. 예를 들어 한 터널을 운영하는 사람에게 다른 터널의 로그 조사만 추가로 맡기는 식이다.

좁은 역할을 추가해도 기존 넓은 권한은 남는다

이미 계정 전체의 터널을 수정할 수 있는 회원에게 이 역할을 추가해도 읽기 전용 사용자가 되지는 않는다. 세분화 정책은 기존 권한에 더해지는 구조이며, 계정 수준에서 받은 권한을 제거하지 않는다.

따라서 ‘이 터널만 보게 했다’는 판단은 새 정책 하나로 끝나지 않는다. 담당 회원의 기존 역할도 함께 봐야 한다. 계정 전체 터널 접근 권한이 남아 있으면 목록에서도 모든 터널을 계속 볼 수 있다.

역할의 범위를 이해할 때는 계정·도메인·개별 자원 역할 구분이 도움이 된다. 이번 변경은 회원의 모든 관리 권한을 대체하는 기능이 아니라, 특정 터널의 조사 권한을 따로 부여할 선택지를 추가한 것이다.

Live logs에서 연결 구간을 확인한다

지원 담당자는 대시보드 로그 화면의 Networking → Tunnels에서 대상 터널을 열고, Live logs → Live를 선택한다. 원격 스트림은 터널 서버에 SSH로 접속하지 않고 볼 수 있으며, 터널이 활성 상태로 요청을 받을 수 있어야 한다.

같은 터널에 여러 커넥터 복제본이 있으면 로그를 호스트별로 살펴보고 Replicas 필터로 범위를 좁힐 수 있다. 이 화면은 실시간 스트림이므로 과거 장애 시점의 로그 보관과도 구별해야 한다.

터널 상태의 Healthy 표시는 커넥터와 Cloudflare 사이 연결을 뜻한다. 내부 애플리케이션까지 정상 응답한다는 뜻은 아니다. 로그 조사 권한을 부여한 뒤에는 ‘터널이 연결돼 있는가’와 ‘터널 뒤 서비스에 도달하는가’를 나눠 살펴야 장애 위치를 좁힐 수 있다.