דוגמאות לבקרת גישה מבוססת-הקשר במצב בסיסי

התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard ו-Education Plus,‏ Enterprise Essentials Plus ו-Cloud Identity Premium. השוואה בין מהדורות

במאמר הזה מתוארים תרחישים נפוצים של בקרת גישה מבוססת-הקשר, ומוצגות הגדרות לדוגמה שפותחו במצב בסיסי.

במאמר דוגמאות לבקרת גישה מבוססת-הקשר במצב מתקדם תוכלו למצוא דוגמאות לרמות גישה שפותחו במצב מתקדם (באמצעות עורך CEL).

לאפשר לקבלני משנה לגשת רק דרך הרשת של הארגון

חברות רבות רוצות להגביל את הגישה של קבלני משנה למשאבים של החברה. לדוגמה, חברות שמשתמשות בקבלנים כדי לענות לשיחות תמיכה כלליות או לעבוד במרכזי עזרה ובמוקדים טלפוניים. בדומה לעובדים במשרה מלאה, לקבלני משנה חייב להיות רישיון נתמך כדי שהם יהיו כפופים למדיניות של בקרת גישה מבוססת-הקשר.

בדוגמה הזו, קבלני משנה מקבלים גישה למשאבים של החברה רק מטווח ספציפי של כתובות IP של החברה.

שם רמת הגישה	contractor_access
קבלן מקבל גישה אם הוא:	מתאימים למאפיינים
מאפיין של תנאי 1	רשת משנה של כתובות IP (גלויה לכולם) 74.125.192.0/18
הקצאה של רמת גישה	יחידות ארגוניות לקבלנים כל האפליקציות שהקבלנים משתמשים בהן

חסימת גישה מכתובות IP של חוטפי דפדפנים ידועים

כדי להגן על משאבי החברה מפני פריצה, חברות רבות חוסמות את הגישה למקורות שידועים כבעלי סיכון גבוה.

בדוגמה הזו, כתובת ה-IP‏ 74.125.195.105 חסומה. המשתמשים מקבלים גישה למשאבים של הארגון אם הסשנים שלהם מגיעים מכתובת IP אחרת. אפשר לציין כמה כתובות וטווחי IP.

שם רמת הגישה	block_highrisk
משתמשים מקבלים גישה אם הם:	לא מתאימים למאפיינים
מאפיין של תנאי 1	רשת משנה של כתובות IP (גלויה לכולם) 74.125.195.105
הקצאה של רמת גישה	היחידה הארגונית ברמה העליונה כל האפליקציות

מתן גישה מרשת פרטית ספציפית ב-Google Cloud

חברות רבות מנתבות את תנועת המשתמשים ל-Google דרך ענן וירטואלי פרטי (VPC). ‫VPC היא רשת מאובטחת ומבודדת בתוך סביבת Google Cloud.

חשוב לזכור שתנועה שמנותבת דרך ה-VPC עשויה להשתמש בכתובות IP פרטיות. זה יכול לגרום לבעיות בכללי מדיניות שקשורים לכתובות IP ציבוריות או לאזורים.

בדוגמה הזו, אתם יכולים לאפשר תנועה מרשתות ה-VPC הספציפיות האלה.

שם רמת הגישה	vpc_access
משתמשים מקבלים גישה אם הם…	מתאימים למאפיינים
מאפיינים של תנאי 1	רשת משנה של כתובות IP (פרטית) רשת משנה פרטית של כתובות IP: //compute.googleapis.com/projects/project- name-test/global/networks/network-name רשת משנה של VPC: ‏ 74.125.192.0/18
הקצאה של רמת גישה	יחידות ארגוניות לכל המשתמשים כל האפליקציות שקבלני משנה משתמשים בהן

דברים חשובים שכדאי לזכור:

• תנועה ישירה בלבד: רמת הגישה הזו פועלת רק לתנועה שמגיעה ישירות לשרתים של Google מה-VPC שברשימת ההיתרים. אם התנועה עוברת קודם דרך רשת או מנהרה אחרת, לא תתקבל גישה. ‫Google מזהה רק את ה-VPC האחרון ששולח את התנועה לשרתים שלה.
• הרשאות אדמין: כדי להציג רשתות VPC ולהגדיר את רמת הגישה הזו, לאדמינים צריך להיות תפקיד מתאים בניהול זהויות והרשאות גישה (IAM) (לדוגמה, compute.networks.list,‏ compute.subnetworks.list וכו').
• רשתות VPC חיצוניות: רשת ה-VPC שאתם מוסיפים לרשימת ההיתרים יכולה להיות מחוץ לדומיין הנוכחי שלכם ב-Google Cloud. לאדמין צריכה להיות הרשאת צפייה כדי להוסיף את ה-VPC החיצוני.

איך מאשרים או חוסמים גישה ממיקומים ספציפיים

אם יש לכם עובדים שנוסעים באופן קבוע למשרדים מרוחקים של החברה או של שותפים, אתם יכולים לציין את המיקומים הגיאוגרפיים שמהם הם יכולים לגשת למשאבי החברה.

לדוגמה, אם קבוצה של אנשי מכירות מבקרת באופן קבוע לקוחות באוסטרליה ובהודו, אתם יכולים להגביל את הגישה של הקבוצה למשרד הביתי שלהם, לאוסטרליה ולהודו. אם הם נוסעים למדינות אחרות לחופשה אישית כחלק מנסיעת עסקים, הם לא יכולים לגשת למשאבים של הארגון מהמדינות האחרות האלה.

בדוגמה הזו, קבוצת המכירות יכולה לגשת למשאבים של הארגון רק מארה"ב (המשרד הראשי), מאוסטרליה ומהודו.

שם רמת הגישה	sales_access
צוות המכירות מקבל גישה אם הוא	מתאימים למאפיינים
מאפיין של תנאי 1	מקור גיאוגרפי ארה"ב, אוסטרליה, הודו
הקצאה של רמת גישה	קבוצה של אנשי מכירות כל האפליקציות שאנשי המכירות משתמשים בהן

אפשר גם ליצור מדיניות שמונעת גישה ממדינות מסוימות, על ידי ציון שהמשתמשים מקבלים גישה אם הם לא עומדים בתנאים. אתם צריכים לציין את המדינות שאתם רוצים לחסום את הגישה מהן.

שימוש ברמות גישה בתצוגת עץ במקום לבחור כמה רמות גישה במהלך ההקצאה

במקרים מסוימים, כשמנסים להקצות רמות גישה ליחידה ארגונית או לקבוצה מסוימת ולאפליקציה (או לקבוצת אפליקציות), יכול להיות שתוצג הודעת שגיאה עם בקשה לצמצם את מספר האפליקציות או רמות הגישה.

כדי למנוע את השגיאה הזו, אפשר להקטין את מספר רמות הגישה שבהן משתמשים במהלך ההקצאה, על ידי הטמעה שלהן ברמת גישה אחת. רמת הגישה המקוננת מחברת כמה תנאים באמצעות פעולת OR, כשכל תנאי מכיל רמת גישה נפרדת.

בדוגמה הזו, USWest,‏ USEast ו-USCentral נמצאים ב-3 רמות גישה נפרדות. נניח שאתם רוצים שהמשתמשים יוכלו לגשת לאפליקציות אם הם עומדים באחת מרמות הגישה USWest או USEast או USCentral.אתם יכולים ליצור רמת גישה אחת בתצוגת עץ (בשם USRegions) באמצעות האופרטור OR. כשמגיע הזמן להקצות את רמות הגישה, מקצים את רמת הגישה USRegions לאפליקציה של היחידה הארגונית או הקבוצה.

שם רמת הגישה	USRegions
משתמשים מקבלים גישה אם הם:	מתאימים למאפיינים
מאפיין של תנאי 1 (רק רמת גישה אחת לכל תנאי)	רמת גישה USWest
שילוב של תנאי 1 ותנאי 2 באמצעות	או
משתמשים מקבלים גישה אם הם:	מתאימים למאפיינים
מאפיין התנאי השני	רמת גישה USEast
שילוב של תנאי 2 ותנאי 3 באמצעות	או
משתמשים מקבלים גישה אם הם:	מתאימים למאפיינים
מאפיין תנאי 3	רמת גישה USCentral

דרישה למכשיר בבעלות החברה במחשב אבל לא בנייד

חברה יכולה לדרוש מחשב בבעלות החברה, אבל לא מכשיר נייד בבעלות החברה.

קודם כל, יוצרים רמת גישה למחשבים:

שם רמת הגישה	aldesktop_access
המשתמשים מקבלים גישה אם הם	מתאימים למאפיינים
מאפיין של תנאי 1	מדיניות מכשיר נדרש מכשיר בבעלות החברה הצפנת המכשיר = לא נתמכת OS של המכשיר macOS = 0.0.0 Windows =0.0.0 מערכת ההפעלה Linux‏ = 0.0.0 Chrome OS = 0.0.0

אחר כך, יוצרים רמת גישה למכשירים ניידים:

שם רמת הגישה	almobile_access
המשתמשים מקבלים גישה אם הם	מתאימים למאפיינים
מאפיין של תנאי 1	OS של המכשיר iOS = 0.0.0 Android = 0.0.0

דרישה לאבטחת מכשיר בסיסית

רוב החברות דורשות עכשיו מהעובדים לגשת למשאבי החברה דרך מכשירים מוצפנים שעומדים בדרישות המינימליות של גרסאות מערכת ההפעלה. חלק מהארגונים גם דורשים מהעובדים להשתמש במכשירים שבבעלות החברה.

אתם יכולים להגדיר את כללי המדיניות האלה לכל היחידות הארגוניות, או רק לאלה שעובדות עם מידע אישי רגיש, כמו מנהלי החברה, מחלקת הכספים או משאבי אנוש.

יש כמה דרכים להגדיר מדיניות שכוללת הצפנת מכשירים, גרסת מערכת הפעלה מינימלית ומכשירים בבעלות החברה. לכל אחת מהן יש יתרונות וחסרונות.

מידע קשור

• סקירה כללית בנושא בקרת גישה מבוססת-הקשר
• הגדרת תוכנה ויצירת רמות גישה מבוססות-הקשר
• הקצאת רמות גישה מבוססות-הקשר לאפליקציות
• התאמה אישית של בקרת גישה מבוססת-הקשר באמצעות קבוצות
• דוגמאות לבקרת גישה מבוססת-הקשר במצב מתקדם
• יומן הביקורת של בקרת גישה מבוססת-הקשר