Voorbeelden van contextbewuste toegang voor de basismodus

Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus en Cloud Identity Premium. Versies vergelijken

In dit artikel vindt u veelvoorkomende toepassingen van contextbewuste toegang en voorbeeldconfiguraties die zijn gemaakt in de basismodus.

Ga naar Voorbeelden van contextbewuste toegang voor de geavanceerde modus voor voorbeelden van toegangsniveaus die zijn gemaakt in de geavanceerde modus (met de CEL-editor).

Toegang voor opdrachtnemers alleen toestaan via het bedrijfsnetwerk

Veel bedrijven willen de toegang van opdrachtnemers tot bedrijfsbronnen beperken. Bijvoorbeeld bedrijven die contractanten gebruiken om algemene supportgesprekken te beantwoorden of in helpcentrums en callcenters te werken. Net als fulltime medewerkers moeten contractanten een ondersteunde licentie hebben om onder het beleid voor contextbewuste toegang te vallen.

In dit voorbeeld krijgen freelancers alleen toegang tot bedrijfsbronnen vanuit een specifiek IP-adresbereik van het bedrijf.

Naam van toegangsniveau toegang_opdrachtnemers
Opdrachtnemers krijgen toegang als deze Voldoen aan de kenmerken
Voorwaarde 1 kenmerk IP-subnet (openbaar)
74.125.192.0/18
Waar wordt toegangsniveau toegewezen Organisatie-eenheden voor opdrachtnemers
Alle apps die opdrachtnemers gebruiken

Toegang blokkeren vanaf bekende IP-adressen van hackers

Veel bedrijven blokkeren de toegang tot bekende bronnen met een hoog risico om te voorkomen dat bedrijfsbronnen worden gecompromitteerd.

In dit voorbeeld is het IP-adres 74.125.195.105 geblokkeerd. Gebruikers krijgen toegang tot bedrijfsbronnen als hun sessies afkomstig zijn van een ander IP-adres. Je kunt meerdere IP-adressen en -bereiken invoeren.

Naam van toegangsniveau blokkeren_hoog_risico
Gebruikers krijgen toegang als ze Ze voldoen niet aan de kenmerken
Voorwaarde 1 kenmerk IP-subnet (openbaar)
74.125.195.105
Waar wordt toegangsniveau toegewezen Organisatie-eenheid op het hoogste niveau
Alle apps

Toegang toestaan vanuit een specifiek privénetwerk in Google Cloud

Veel bedrijven leiden gebruikersverkeer naar Google via een Virtual Private Cloud (VPC). Een VPC is een beveiligd, geïsoleerd netwerk binnen de Google Cloud-omgeving.

Verkeer dat via uw VPC wordt gerouteerd, kan privé-IP-adressen gebruiken. Dit kan problemen veroorzaken met openbare IP- of regiobeleidsregels.

In dit voorbeeld kun je verkeer van deze specifieke VPC's toestaan.

Naam van toegangsniveau vpc_toegang
Gebruikers krijgen toegang als ze… Voldoen aan de kenmerken
Voorwaarde 1 kenmerken

IP-subnet (privé)

Privé-IP-subnet:

//compute.googleapis.com/projects/project-

name-test/global/networks/network-name

VPC-subnet: 74.125.192.0/18
Waar wordt toegangsniveau toegewezen

Organisatie-eenheden voor alle gebruikers

Alle apps die contractanten gebruiken

Belangrijk om te onthouden:

  • Alleen direct verkeer: Dit toegangsniveau werkt alleen voor verkeer dat de servers van Google rechtstreeks bereikt vanuit de VPC op de toelatingslijst. Als het verkeer eerst via een ander netwerk of een andere tunnel loopt, krijgt het geen toegang. Google herkent alleen de laatste VPC die het verkeer naar de servers stuurt.
  • Beheerdersrechten: Als beheerders VPC's willen bekijken en dit toegangsniveau willen instellen, moeten ze de juiste IAM-rol (Identity and Access Management) hebben (bijvoorbeeld compute.networks.list of compute.subnetworks.list).
  • Externe VPC's: De VPC die u op de toelatingslijst zet, kan zich buiten uw huidige Google Cloud-domein bevinden. Een beheerder heeft weergaverechten nodig om de externe VPC toe te voegen.

Toegang vanaf specifieke locaties wel of niet toestaan

Als je werknemers hebt die regelmatig naar externe bedrijfs- of partnerkantoren reizen, kun je de geografische locaties opgeven waar ze toegang hebben tot bedrijfsbronnen.

Als een groep verkopers bijvoorbeeld regelmatig klanten in Australië en India bezoekt, kunt u de toegang van de groep beperken tot hun thuiskantoor, Australië en India. Als ze naar andere landen reizen voor een persoonlijke vakantie als onderdeel van een zakenreis, hebben ze vanuit die andere landen geen toegang tot bedrijfsbronnen.

In dit voorbeeld heeft de salesgroep alleen toegang tot bedrijfsbronnen vanuit de VS (hoofdkantoor), Australië en India.

Naam van toegangsniveau toegang_verkoop
Verkoopmedewerkers krijgen toegang als ze Voldoen aan de kenmerken
Voorwaarde 1 kenmerk Geografische oorsprong
VS, Australië, India
Waar wordt toegangsniveau toegewezen Groep verkopers
Alle apps die verkopers gebruiken

U kunt ook een beleidsregel maken om de toegang vanuit specifieke landen te weigeren door aan te geven dat gebruikers toegang krijgen als ze niet voldoen aan de voorwaarden. Je vermeldt de landen waarvoor je de toegang wilt blokkeren.

Geneste toegangsniveaus gebruiken in plaats van meerdere toegangsniveaus te selecteren tijdens de toewijzing

In sommige gevallen, als u toegangsniveaus probeert toe te wijzen aan een bepaalde organisatie-eenheid of groep en een app (of een set apps), krijgt u misschien een foutmelding waarin u wordt gevraagd het aantal apps of toegangsniveaus te verminderen.

U kunt deze fout voorkomen door het aantal toegangsniveaus dat tijdens de toewijzing wordt gebruikt, te verminderen door ze te nesten in één toegangsniveau. Het geneste toegangsniveau voegt meerdere voorwaarden samen met een OR-bewerking, waarbij elke voorwaarde een afzonderlijk toegangsniveau bevat.

In dit voorbeeld zijn West, Oost en Midden 3 aparte toegangsniveaus. Stel dat u wilt dat gebruikers toegang hebben tot apps als ze voldoen aan een van de toegangsniveaus USWest OF USEast OF USCentral.U kunt één genest toegangsniveau (met de naam USRegions) maken met de operator OF. Als het tijd is om de toegangsniveaus toe te wijzen, wijst u het toegangsniveau USRegions toe aan de app voor de organisatie-eenheid of groep.

Naam van toegangsniveau

Regio

Gebruikers krijgen toegang als deze

 Voldoen aan de kenmerken

Voorwaarde 1 kenmerk

(slechts 1 toegangsniveau per voorwaarde)

Toegangsniveau

USWest

Voeg voorwaarde 1 en 2 samen door er de volgende operator tussen te plaatsen

OR

Gebruikers krijgen toegang als deze

 Voldoen aan de kenmerken

Voorwaarde 2 kenmerk

Toegangsniveau

Oosten van de VS

Samenvoegingsvoorwaarde 2 en voorwaarde 3 met

OF

Gebruikers krijgen toegang als deze

 Voldoen aan de kenmerken

Voorwaarde 3 kenmerk

Toegangsniveau

USCentral

Vereisen dat desktops eigendom zijn van het bedrijf, maar niet mobiele apparaten

Een bedrijf kan bijvoorbeeld een desktopapparaat vereisen dat eigendom is van het bedrijf, maar geen mobiel apparaat dat eigendom is van het bedrijf.

Maak eerst een toegangsniveau voor desktops:

Naam van toegangsniveau

tndesktop_toegang

Gebruikers krijgen toegang als ze

Voldoen aan de kenmerken

Voorwaarde 1 kenmerk

Apparaatbeleid


Apparaat dat eigendom is van het bedrijf vereist

Apparaatversleuteling = niet ondersteund

Apparaat-OS

macOS = 0.0.0

Windows =0.0.0

Linux OS = 0.0.0

Chrome OS = 0.0.0

Maak vervolgens een toegangsniveau voor mobiele apparaten:

Naam van toegangsniveau

tnmobiel_toegang

Gebruikers krijgen toegang als ze

Voldoen aan de kenmerken

Voorwaarde 1 kenmerk

Apparaat-OS

iOS = 0.0.0

Android = 0.0.0

Algemene apparaatbeveiliging vereisen

De meeste bedrijven vereisen nu dat werknemers toegang krijgen tot bedrijfsbronnen via apparaten die zijn versleuteld en voldoen aan de minimale versies van het besturingssysteem. Sommige bedrijven vereisen ook dat werknemers apparaten gebruiken die eigendom zijn van het bedrijf.

U kunt dit beleid instellen voor al uw organisatie-eenheden of alleen voor de eenheden die werken met gevoelige gegevens, zoals directieleden, financiën of personeelszaken.

U kunt op verschillende manieren beleid instellen voor apparaatversleuteling, minimale versie van het besturingssysteem en apparaten die eigendom zijn van het bedrijf. Beide hebben voor- en nadelen.

1 toegangsniveau dat alle beveiligingsvereisten bevat

In dit voorbeeld zijn apparaatkenmerken voor apparaatversleuteling, minimale versie van het besturingssysteem en apparaten die eigendom zijn van het bedrijf opgenomen in één toegangsniveau. Gebruikers moeten voldoen aan alle voorwaarden om toegang te krijgen.

Als een gebruikersapparaat bijvoorbeeld is versleuteld en eigendom is van het bedrijf, maar niet de juiste versie van het besturingssysteem heeft, krijgt de gebruiker geen toegang.

Voordeel: Makkelijk in te stellen. Als u dit toegangsniveau toewijst aan een app, moet een gebruiker aan alle vereisten voldoen.
Nadeel: Als u de beveiligingsvereisten afzonderlijk wilt toewijzen aan verschillende organisatie-eenheden, moet u voor elke beveiligingsvereiste een afzonderlijk toegangsniveau maken.

Naam van toegangsniveau apparaatbeveiliging
Gebruikers krijgen toegang als deze Voldoen aan de kenmerken
Voorwaarde 1 kenmerk
(U kunt alle kenmerken toevoegen aan één voorwaarde of
3 voorwaarden maken en deze samenvoegen met AND.)

Apparaatbeleid
Apparaatversleuteling = versleuteld
Apparaat dat eigendom is van het bedrijf vereist

Besturingssysteem van apparaat
macOS
Windows
Chrome-versies

3 aparte toegangsniveaus

In dit voorbeeld zijn apparaatkenmerken voor apparaatversleuteling, minimale versie van het besturingssysteem en apparaten die eigendom zijn van het bedrijf opgenomen in 3 aparte toegangsniveaus. Gebruikers moeten voldoen aan de voorwaarden in slechts een van de toegangsniveaus om toegang te krijgen. Dit is een logische OR van toegangsniveaus.

Een gebruiker met een versleuteld apparaat en een oudere versie van het besturingssysteem op een persoonlijk apparaat krijgt bijvoorbeeld toegang.

Voordeel: Een gedetailleerde manier om toegangsniveaus te definiëren. U kunt toegangsniveaus afzonderlijk toewijzen aan verschillende organisatie-eenheden.
Nadeel: Gebruikers hoeven maar aan de voorwaarden van één toegangsniveau te voldoen.

Naam van toegangsniveau apparaatversleuteling
Gebruikers krijgen toegang als deze Voldoen aan de kenmerken
Voorwaarde 1 kenmerk

Apparaatbeleid
Apparaatversleuteling = versleuteld
Naam van toegangsniveau bedrijfsapparaat
Gebruikers krijgen toegang als deze Voldoen aan de kenmerken
Voorwaarde 1 kenmerk

Apparaatbeleid
Apparaat dat eigendom is van het bedrijf = vereist
Naam van toegangsniveau min_os
Gebruikers krijgen toegang als deze Voldoen aan de kenmerken
Voorwaarde 1 kenmerk

Apparaatbeleid
Minimale versie van het besturingssysteem =
Windows-, Mac- en Chrome-versies

Eén toegangsniveau met geneste toegangsniveaus

In dit voorbeeld zijn beveiligingsvereisten voor apparaatversleuteling, minimale versie van het besturingssysteem en apparaten die eigendom zijn van het bedrijf opgenomen in 3 aparte toegangsniveaus. Deze 3 toegangsniveaus zijn genest in een vierde toegangsniveau.

Als u het 4e toegangsniveau toewijst aan apps, moeten gebruikers voldoen aan de voorwaarden in elk van de 3 geneste toegangsniveaus om toegang te krijgen. Dit is een logische AND van toegangsniveaus.

Een gebruiker met een versleuteld apparaat en een oudere versie van het besturingssysteem op een persoonlijk apparaat krijgt bijvoorbeeld geen toegang.

Voordeel: Je behoudt de flexibiliteit om beveiligingsvereisten te scheiden tussen toegangsniveaus 1, 2 en 3. Met toegangsniveau 4 kunt u beleid afdwingen met alle beveiligingsvereisten.
Nadeel: In het controlelogboek wordt alleen de geweigerde toegang tot toegangsniveau 4 vastgelegd (niet tot toegangsniveaus 1, 2 en 3), omdat toegangsniveaus 1, 2 en 3 niet rechtstreeks aan apps zijn toegewezen.

Maak 3 toegangsniveaus zoals hierboven beschreven in 3 afzonderlijke toegangsniveaus: device_encryption, corp_device en min_os. Maak daarna een 4e toegangsniveau met de naam device_security met 3 voorwaarden. Elke voorwaarde heeft een toegangsniveau als kenmerk. (U kunt per voorwaarde slechts 1 toegangsniveaukenmerk toevoegen.)

Naam van toegangsniveau apparaatbeveiliging
Gebruikers krijgen toegang als deze Voldoen aan de kenmerken
Voorwaarde 1 kenmerk
(slechts één toegangsniveau per voorwaarde)		 Toegangsniveau
device_encryption
Voeg voorwaarde 1 en 2 samen door er de volgende operator tussen te plaatsen AND
Gebruikers krijgen toegang als deze Voldoen aan de kenmerken
Voorwaarde 1 kenmerk Toegangsniveau
corp_device
Samenvoegingsvoorwaarde 2 en voorwaarde 3 met AND
Gebruikers krijgen toegang als deze Voldoen aan de kenmerken
Voorwaarde 1 kenmerk Toegangsniveau
min_os