ตัวอย่างการเข้าถึงแบบ Context-Aware สําหรับโหมดพื้นฐาน

บทความนี้จะอธิบาย Use Case ที่พบบ่อยเกี่ยวกับการเข้าถึงแบบ Context-Aware และแสดงตัวอย่างการกำหนดค่าที่พัฒนาในโหมดพื้นฐาน

ดูตัวอย่างระดับการเข้าถึงที่พัฒนาในโหมดขั้นสูง (โดยใช้เครื่องมือแก้ไข CEL) ได้ที่ตัวอย่างการเข้าถึงแบบ Context-Aware สำหรับโหมดขั้นสูง

อนุญาตให้พนักงานสัญญาจ้างเข้าถึงผ่านเครือข่ายของบริษัทเท่านั้น

บริษัทหลายๆ แห่งต้องการจำกัดทรัพยากรของบริษัทที่พนักงานสัญญาจ้างเข้าถึงได้ ตัวอย่างเช่น บริษัทที่ใช้ผู้รับเหมาเพื่อรับสายที่โทรเข้ามาเพื่อขอรับการสนับสนุนทั่วไปหรือทำงานที่ศูนย์ช่วยเหลือและคอลเซ็นเตอร์ พนักงานสัญญาจ้างต้องมีใบอนุญาตที่รองรับเพื่อให้อยู่ภายใต้นโยบายการเข้าถึงแบบ Context-Aware เช่นเดียวกับพนักงานเต็มเวลา

ในตัวอย่างนี้ ผู้รับเหมาจะได้รับสิทธิ์เข้าถึงทรัพยากรของบริษัทจากช่วงที่อยู่ IP ของบริษัทที่เฉพาะเจาะจงเท่านั้น

ชื่อระดับการเข้าถึง	contractor_access
พนักงานสัญญาจ้างจะได้รับสิทธิ์เข้าถึงในกรณีที่	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 1	ซับเน็ต IP (สาธารณะ) 74.125.192.0/18
การกำหนดระดับการเข้าถึง	หน่วยขององค์กรสำหรับพนักงานสัญญาจ้าง แอปทั้งหมดที่พนักงานสัญญาจ้างใช้

บล็อกการเข้าถึงจากที่อยู่ IP ที่ทราบว่าเป็นของผู้ลักลอบใช้บัญชี

บริษัทหลายแห่งบล็อกการเข้าถึงแหล่งที่มาที่มีความเสี่ยงสูงที่ทราบเพื่อป้องกันไม่ให้ทรัพยากรของบริษัทถูกบุกรุก

ในตัวอย่างนี้ ระบบจะบล็อกที่อยู่ IP 74.125.195.105 ผู้ใช้จะได้รับสิทธิ์เข้าถึง ทรัพยากรของบริษัทหากเซสชันมาจากที่อยู่ IP อื่น คุณ ระบุที่อยู่ IP และช่วงที่อยู่ IP ได้หลายรายการ

ชื่อระดับการเข้าถึง	block_highrisk
ผู้ใช้จะได้รับสิทธิ์เข้าถึงในกรณีที่	ไม่มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 1	ซับเน็ต IP (สาธารณะ) 74.125.195.105
การกำหนดระดับการเข้าถึง	หน่วยขององค์กรระดับบนสุด แอปทั้งหมด

อนุญาตการเข้าถึงจากเครือข่ายส่วนตัวที่เฉพาะเจาะจงใน Google Cloud

บริษัทหลายแห่งกำหนดเส้นทางการรับส่งข้อมูลของผู้ใช้ไปยัง Google ผ่าน Virtual Private Cloud (VPC) ซึ่งเป็นเครือข่ายที่ปลอดภัยและแยกต่างหากภายในสภาพแวดล้อม Google Cloud

โปรดทราบว่าการรับส่งข้อมูลที่กำหนดเส้นทางผ่าน VPC อาจใช้ที่อยู่ IP ส่วนตัว ซึ่งอาจทำให้เกิดปัญหาเกี่ยวกับนโยบาย IP สาธารณะหรือนโยบายระดับภูมิภาค

ในตัวอย่างนี้ คุณสามารถอนุญาตการรับส่งข้อมูลจาก VPC ที่เฉพาะเจาะจงเหล่านี้ได้

ชื่อระดับการเข้าถึง	vpc_access
ผู้ใช้จะได้รับสิทธิ์เข้าถึงหาก...	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์เงื่อนไข 1	ซับเน็ต IP (ส่วนตัว) เครือข่ายย่อย IP ส่วนตัว: //compute.googleapis.com/projects/project- name-test/global/networks/network-name ซับเน็ต VPC: 74.125.192.0/18
การกำหนดระดับการเข้าถึง	หน่วยขององค์กรสำหรับผู้ใช้ทั้งหมด แอปทั้งหมดที่ผู้รับเหมาใช้

ข้อสำคัญที่ควรคำนึงถึงมีดังนี้

• การเข้าชมโดยตรงเท่านั้น: ระดับการเข้าถึงนี้ใช้ได้กับการเข้าชมที่เข้าถึงเซิร์ฟเวอร์ของ Google โดยตรงจาก VPC ที่อยู่ในรายการที่อนุญาตเท่านั้น หากมีการรับส่งข้อมูลผ่านเครือข่ายหรืออุโมงค์ข้อมูลอื่นก่อน ระบบจะไม่ให้สิทธิ์เข้าถึง Google จะจดจำเฉพาะ VPC สุดท้ายที่ส่งการรับส่งข้อมูลไปยังเซิร์ฟเวอร์ของตน
• สิทธิ์ผู้ดูแลระบบ: หากต้องการดู VPC และกำหนดค่าระดับการเข้าถึงนี้ ผู้ดูแลระบบต้องมีบทบาท Identity and Access Management (IAM) ที่เหมาะสม (เช่น compute.networks.list, compute.subnetworks.list และอื่นๆ)
• VPC ภายนอก: VPC ที่คุณอนุญาตสามารถมาจากภายนอกโดเมน Google Cloud ปัจจุบัน ผู้ดูแลระบบต้องมีสิทธิ์การดูจึงจะเพิ่ม VPC ภายนอกได้

อนุญาตหรือไม่อนุญาตให้เข้าถึงจากสถานที่ที่กำหนด

หากคุณมีพนักงานที่เดินทางไปยังสำนักงานของบริษัทหรือพาร์ทเนอร์ที่อยู่ระยะไกลเป็นประจำ คุณสามารถระบุสถานที่ตั้งทางภูมิศาสตร์ที่พนักงานเข้าถึงทรัพยากรของบริษัทได้

ตัวอย่างเช่น หากกลุ่มพนักงานขายเข้าพบลูกค้าในออสเตรเลีย และอินเดียเป็นประจำ คุณสามารถจำกัดการเข้าถึงของกลุ่มไปยังสำนักงานใหญ่และออสเตรเลีย และอินเดียได้ หากเดินทางไปยังประเทศอื่นเพื่อพักผ่อนส่วนตัวซึ่งเป็นส่วนหนึ่งของ การเดินทางเพื่อธุรกิจ พนักงานจะเข้าถึงทรัพยากรของบริษัทจากประเทศอื่นๆ เหล่านั้นไม่ได้

ในตัวอย่างนี้ กลุ่มฝ่ายขายจะเข้าถึงทรัพยากรของบริษัทได้จากสหรัฐอเมริกา (สำนักงานใหญ่) ออสเตรเลีย และอินเดียเท่านั้น

ชื่อระดับการเข้าถึง	sales_access
ฝ่ายขายจะได้รับสิทธิ์เข้าถึงในกรณีที่	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 1	ต้นทางทางภูมิศาสตร์ สหรัฐอเมริกา ออสเตรเลีย อินเดีย
การกำหนดระดับการเข้าถึง	กลุ่มพนักงานขาย แอปทั้งหมดที่พนักงานขายใช้

คุณยังสร้างนโยบายเพื่อปฏิเสธการเข้าถึงจากบางประเทศได้โดย ระบุว่าผู้ใช้จะได้รับสิทธิ์เข้าถึงหากไม่เป็นไปตามเงื่อนไข คุณจะ แสดงรายการประเทศที่ต้องการบล็อกการเข้าถึง

ใช้ระดับการเข้าถึงที่ซ้อนกันแทนการเลือกระดับการเข้าถึงหลายระดับในระหว่างการมอบหมาย

ในบางกรณีเมื่อพยายามกำหนดระดับการเข้าถึงให้กับหน่วยขององค์กรหรือกลุ่มและแอปพลิเคชัน (หรือชุดแอปพลิเคชัน) คุณอาจเห็นข้อความแสดงข้อผิดพลาดที่ขอให้ลดจำนวนแอปพลิเคชันหรือระดับการเข้าถึง

หากต้องการป้องกันข้อผิดพลาดนี้ คุณสามารถลดจำนวนระดับการเข้าถึงที่ใช้ในระหว่าง การมอบหมายได้โดยการซ้อนระดับการเข้าถึงเหล่านั้นเป็นระดับการเข้าถึงเดียว ระดับการเข้าถึงที่ซ้อนกัน จะรวมเงื่อนไขหลายรายการได้ด้วยการใช้โอเปอเรเตอร์ OR โดยแต่ละเงื่อนไขจะมี ระดับการเข้าถึงแยกกัน

ในตัวอย่างนี้ USWest, USEast และ USCentral อยู่ในระดับการเข้าถึงแยกกัน 3 ระดับ สมมติว่าคุณต้องการให้ผู้ใช้เข้าถึงแอปพลิเคชันได้หากมีคุณสมบัติตามระดับการเข้าถึงใดก็ตามใน USWest OR USEast OR USCentral คุณก็สร้างระดับการเข้าถึงที่ซ้อนกัน 1 ระดับ (เรียกว่า USRegions) โดยใช้โอเปอเรเตอร์ OR ได้ เมื่อถึงเวลา กำหนดระดับการเข้าถึง ให้กำหนดระดับการเข้าถึง USRegions ให้กับแอปพลิเคชัน สำหรับหน่วยขององค์กรหรือกลุ่ม

ชื่อระดับการเข้าถึง	USRegions
ผู้ใช้จะได้รับสิทธิ์เข้าถึงในกรณีที่	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 1 (ระดับการเข้าถึง 1 ระดับต่อเงื่อนไขเท่านั้น)	ระดับการเข้าถึง USWest
รวมเงื่อนไข 1 และเงื่อนไข 2 เข้าด้วยกันด้วย	หรือ
ผู้ใช้จะได้รับสิทธิ์เข้าถึงในกรณีที่	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 2	ระดับการเข้าถึง USEast
รวมเงื่อนไข 2 และเงื่อนไข 3 ด้วย	หรือ
ผู้ใช้จะได้รับสิทธิ์เข้าถึงในกรณีที่	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 3	ระดับการเข้าถึง USCentral

ต้องใช้เดสก์ท็อปของบริษัท แต่ไม่จำเป็นสำหรับอุปกรณ์เคลื่อนที่

บริษัทอาจกำหนดให้ใช้เฉพาะอุปกรณ์เดสก์ท็อปของบริษัท แต่ไม่กำหนดให้ใช้ อุปกรณ์เคลื่อนที่ของบริษัท

ก่อนอื่น ให้สร้างระดับการเข้าถึงสำหรับอุปกรณ์เดสก์ท็อป

ชื่อระดับการเข้าถึง	aldesktop_access
ผู้ใช้จะได้รับสิทธิ์เข้าถึงในกรณีที่	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 1	นโยบายด้านอุปกรณ์ ต้องเป็นอุปกรณ์ของบริษัท การเข้ารหัสอุปกรณ์ = ไม่รองรับ ระบบปฏิบัติการของอุปกรณ์ macOS = 0.0.0 Windows =0.0.0 Linux OS = 0.0.0 Chrome OS = 0.0.0

จากนั้นสร้างระดับการเข้าถึงสำหรับอุปกรณ์เคลื่อนที่

ชื่อระดับการเข้าถึง	almobile_access
ผู้ใช้จะได้รับสิทธิ์เข้าถึงในกรณีที่	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 1	ระบบปฏิบัติการของอุปกรณ์ iOS = 0.0.0 Android = 0.0.0

ต้องมีการรักษาความปลอดภัยของอุปกรณ์ขั้นพื้นฐาน

ปัจจุบันบริษัทระดับองค์กรส่วนใหญ่กำหนดให้พนักงานเข้าถึงแหล่งข้อมูลของบริษัท ผ่านอุปกรณ์ที่เข้ารหัสและมีเวอร์ชันระบบปฏิบัติการขั้นต่ำตรงตามที่กำหนด บางบริษัทยังกำหนดให้พนักงานใช้อุปกรณ์ที่เป็นของบริษัทอีกด้วย

คุณสามารถกำหนดค่านโยบายเหล่านี้สำหรับหน่วยขององค์กรทั้งหมด หรือเฉพาะหน่วยขององค์กรที่ทำงานกับข้อมูลที่ละเอียดอ่อน เช่น ผู้บริหารของบริษัท ฝ่ายการเงิน หรือฝ่ายทรัพยากรบุคคล

คุณกำหนดค่านโยบายที่มีการเข้ารหัสอุปกรณ์ เวอร์ชันระบบปฏิบัติการขั้นต่ำ และอุปกรณ์ที่เป็นของบริษัทได้หลายวิธี โดยแต่ละวิธีมีทั้งข้อดีและข้อเสีย

ข้อมูลที่เกี่ยวข้อง

• ภาพรวมเกี่ยวกับการเข้าถึงแบบ Context-Aware
• ตั้งค่าซอฟต์แวร์และสร้างระดับการเข้าถึงแบบ Context-Aware
• กำหนดระดับการเข้าถึงแบบ Context-Aware ให้แอป
• ปรับแต่งการเข้าถึงแบบ Context-Aware ด้วยกลุ่ม
• ตัวอย่างการเข้าถึงแบบ Context-Aware สําหรับโหมดขั้นสูง
• บันทึกการตรวจสอบการเข้าถึงแบบ Context-Aware