ตัวอย่างการเข้าถึงแบบ Context-Aware สําหรับโหมดพื้นฐาน

รุ่นที่รองรับฟีเจอร์นี้ ได้แก่ Frontline Standard และ Frontline Plus, Enterprise Standard และ Enterprise Plus, Education Standard และ Education Plus, Enterprise Essentials Plus, Cloud Identity Premium เปรียบเทียบรุ่นของคุณ

บทความนี้จะอธิบาย Use Case ที่พบบ่อยเกี่ยวกับการเข้าถึงแบบ Context-Aware และแสดงตัวอย่างการกำหนดค่าที่พัฒนาในโหมดพื้นฐาน

ดูตัวอย่างระดับการเข้าถึงที่พัฒนาในโหมดขั้นสูง (โดยใช้เครื่องมือแก้ไข CEL) ได้ที่ตัวอย่างการเข้าถึงแบบ Context-Aware สำหรับโหมดขั้นสูง

อนุญาตให้พนักงานสัญญาจ้างเข้าถึงผ่านเครือข่ายของบริษัทเท่านั้น

บริษัทหลายๆ แห่งต้องการจำกัดทรัพยากรของบริษัทที่พนักงานสัญญาจ้างเข้าถึงได้ เช่น บริษัทที่ใช้ผู้รับเหมาเพื่อตอบสายการสนับสนุนทั่วไปหรือทำงานที่ศูนย์ช่วยเหลือและศูนย์บริการทางโทรศัพท์ พนักงานสัญญาจ้างต้องมีใบอนุญาตที่รองรับเพื่อให้อยู่ภายใต้นโยบายการเข้าถึงแบบ Context-Aware เช่นเดียวกับพนักงานเต็มเวลา

ในตัวอย่างนี้ พนักงานสัญญาจ้างจะเข้าถึงทรัพยากรของบริษัทได้จากช่วงที่อยู่ IP ของบริษัทที่เฉพาะเจาะจงเท่านั้น

ชื่อระดับการเข้าถึง	contractor_access
พนักงานสัญญาจ้างจะได้รับสิทธิ์เข้าถึงในกรณีที่	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 1	ซับเน็ต IP (สาธารณะ) 74.125.192.0/18
การกำหนดระดับการเข้าถึง	หน่วยขององค์กรสำหรับพนักงานสัญญาจ้าง แอปทั้งหมดที่พนักงานสัญญาจ้างใช้

บล็อกการเข้าถึงจากที่อยู่ IP ที่ทราบว่าเป็นของผู้ลักลอบใช้บัญชี

หลายบริษัทบล็อกการเข้าถึงแหล่งที่มาที่มีความเสี่ยงสูงที่ทราบเพื่อปกป้องทรัพยากรของบริษัทไม่ให้ถูกบุกรุก

ในตัวอย่างนี้ ที่อยู่ IP 74.125.195.105 ถูกบล็อก ผู้ใช้จะได้รับสิทธิ์เข้าถึงทรัพยากรของบริษัทหากเซสชันของผู้ใช้มาจากที่อยู่ IP อื่นๆ คุณสามารถระบุที่อยู่ IP และช่วงที่อยู่ IP ได้หลายรายการ

ชื่อระดับการเข้าถึง	block_highrisk
ผู้ใช้จะได้รับสิทธิ์เข้าถึงในกรณีที่	ไม่มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 1	ซับเน็ต IP (สาธารณะ) 74.125.195.105
การกำหนดระดับการเข้าถึง	หน่วยขององค์กรระดับบนสุด แอปทั้งหมด

อนุญาตให้เข้าถึงจากเครือข่ายส่วนตัวที่เฉพาะเจาะจงใน Google Cloud

หลายบริษัทกำหนดเส้นทางการเข้าชมของผู้ใช้ไปยัง Google ผ่าน Virtual Private Cloud (VPC) ซึ่งเป็นเครือข่ายที่ปลอดภัยและแยกต่างหากภายในสภาพแวดล้อม Google Cloud

โปรดทราบว่าการเข้าชมที่กำหนดเส้นทางผ่าน VPC อาจใช้ที่อยู่ IP ส่วนตัว ซึ่งอาจทำให้เกิดปัญหากับ IP สาธารณะหรือนโยบายภูมิภาค

ในตัวอย่างนี้ คุณสามารถอนุญาตการเข้าชมจาก VPC ที่เฉพาะเจาะจงเหล่านี้ได้

ชื่อระดับการเข้าถึง	vpc_access
ผู้ใช้จะได้รับสิทธิ์เข้าถึงหาก...	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์เงื่อนไข 1	ซับเน็ต IP (ส่วนตัว) เครือข่ายย่อย IP ส่วนตัว: //compute.googleapis.com/projects/project- name-test/global/networks/network-name ซับเน็ต VPC: 74.125.192.0/18
การกำหนดระดับการเข้าถึง	หน่วยขององค์กรสำหรับผู้ใช้ทั้งหมด แอปทั้งหมดที่ผู้รับเหมาใช้

ข้อสำคัญที่ควรคำนึงถึงมีดังนี้

• การเข้าชมโดยตรงเท่านั้น: ระดับการเข้าถึงนี้ใช้ได้กับการเข้าชมที่เข้าถึงเซิร์ฟเวอร์ของ Google โดยตรงจาก VPC ที่อยู่ในรายการที่อนุญาตเท่านั้น หากมีการรับส่งข้อมูลผ่านเครือข่ายหรืออุโมงค์ข้อมูลอื่นก่อน ระบบจะไม่ให้สิทธิ์เข้าถึง Google จะจดจำเฉพาะ VPC ล่าสุดที่ส่งการรับส่งข้อมูลไปยังเซิร์ฟเวอร์ของ Google เท่านั้น
• สิทธิ์ผู้ดูแลระบบ: หากต้องการดู VPC และกำหนดค่าระดับการเข้าถึงนี้ ผู้ดูแลระบบต้องมีบทบาท Identity and Access Management (IAM) ที่เหมาะสม (เช่น compute.networks.list, compute.subnetworks.list และอื่นๆ)
• VPC ภายนอก: VPC ที่คุณอนุญาตอาจมาจากภายนอกโดเมน Google Cloud ปัจจุบันของคุณ ผู้ดูแลระบบต้องมีสิทธิ์การดูจึงจะเพิ่ม VPC ภายนอกได้

อนุญาตหรือไม่อนุญาตให้เข้าถึงจากสถานที่ที่กำหนด

หากคุณมีพนักงานที่เดินทางไปยังสำนักงานของบริษัทหรือพาร์ทเนอร์ที่อยู่ห่างไกลเป็นประจำ คุณสามารถระบุสถานที่ตั้งทางภูมิศาสตร์ที่พนักงานจะเข้าถึงทรัพยากรของบริษัทได้

ตัวอย่างเช่น หากกลุ่มพนักงานขายไปพบลูกค้าในออสเตรเลียและอินเดียเป็นประจำ คุณสามารถจำกัดการเข้าถึงของกลุ่มไว้ที่สำนักงานใหญ่ ออสเตรเลีย และอินเดียได้ หากเดินทางไปประเทศอื่นเพื่อพักผ่อนส่วนตัวโดยเป็นส่วนหนึ่งของการเดินทางเพื่อธุรกิจ พนักงานจะเข้าถึงทรัพยากรของบริษัทจากประเทศอื่นๆ เหล่านั้นไม่ได้

ในตัวอย่างนี้ กลุ่มการขายจะเข้าถึงทรัพยากรของบริษัทได้จากสหรัฐอเมริกา (สำนักงานใหญ่) ออสเตรเลีย และอินเดียเท่านั้น

ชื่อระดับการเข้าถึง	sales_access
ฝ่ายขายจะได้รับสิทธิ์เข้าถึงในกรณีที่	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 1	ต้นทางทางภูมิศาสตร์ สหรัฐอเมริกา ออสเตรเลีย อินเดีย
การกำหนดระดับการเข้าถึง	กลุ่มพนักงานขาย แอปทั้งหมดที่พนักงานขายใช้

นอกจากนี้ คุณยังสร้างนโยบายเพื่อปฏิเสธการเข้าถึงจากบางประเทศได้โดยระบุว่าผู้ใช้จะได้รับสิทธิ์เข้าถึงหากไม่เป็นไปตามเงื่อนไข คุณจะต้องระบุประเทศที่ต้องการบล็อกการเข้าถึง

ใช้ระดับการเข้าถึงที่ซ้อนกันแทนการเลือกระดับการเข้าถึงหลายระดับในระหว่างการมอบหมาย

ในบางกรณีเมื่อพยายามกำหนดระดับการเข้าถึงให้กับหน่วยขององค์กรหรือกลุ่มและแอปพลิเคชัน (หรือชุดแอปพลิเคชัน) หนึ่งๆ คุณอาจเห็นข้อความแสดงข้อผิดพลาดที่ขอให้คุณลดจำนวนแอปพลิเคชันหรือระดับการเข้าถึง

หากต้องการป้องกันข้อผิดพลาดนี้ คุณสามารถลดจำนวนระดับการเข้าถึงที่ใช้ในระหว่างการมอบหมายได้โดยการฝังระดับการเข้าถึงเหล่านั้นไว้ในระดับการเข้าถึงเดียว ระดับการเข้าถึงที่ซ้อนกันจะรวมเงื่อนไขหลายรายการได้ด้วยการใช้โอเปอเรเตอร์ OR โดยแต่ละเงื่อนไขจะมีระดับการเข้าถึงแยกกัน

ในตัวอย่างนี้ USWest, USEast และ USCentral อยู่ในระดับการเข้าถึงแยกกัน 3 ระดับ สมมติว่าคุณต้องการให้ผู้ใช้เข้าถึงแอปพลิเคชันได้หากมีคุณสมบัติตามระดับการเข้าถึงใดก็ตามใน USWest OR USEast OR USCentral คุณก็สร้างระดับการเข้าถึงที่ซ้อนกัน 1 ระดับ (เรียกว่า USRegions) โดยใช้โอเปอเรเตอร์ OR ได้ เมื่อถึงเวลาที่ต้องกำหนดระดับการเข้าถึง ให้กำหนดระดับการเข้าถึง USRegions ให้กับแอปพลิเคชันสำหรับหน่วยขององค์กรหรือกลุ่ม

ชื่อระดับการเข้าถึง	USRegions
ผู้ใช้จะได้รับสิทธิ์เข้าถึงในกรณีที่	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 1 (ระดับการเข้าถึง 1 ระดับต่อเงื่อนไขเท่านั้น)	ระดับการเข้าถึง USWest
รวมเงื่อนไข 1 และเงื่อนไข 2 เข้าด้วยกันด้วย	หรือ
ผู้ใช้จะได้รับสิทธิ์เข้าถึงในกรณีที่	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 2	ระดับการเข้าถึง USEast
รวมเงื่อนไข 2 และเงื่อนไข 3 ด้วย	หรือ
ผู้ใช้จะได้รับสิทธิ์เข้าถึงในกรณีที่	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 3	ระดับการเข้าถึง USCentral

ต้องใช้เดสก์ท็อปของบริษัท แต่ไม่จำเป็นสำหรับอุปกรณ์เคลื่อนที่

บริษัทอาจกำหนดให้ใช้อุปกรณ์เดสก์ท็อปของบริษัท แต่ไม่กำหนดให้ใช้อุปกรณ์เคลื่อนที่ของบริษัท

ก่อนอื่น ให้สร้างระดับการเข้าถึงสำหรับอุปกรณ์เดสก์ท็อป

ชื่อระดับการเข้าถึง	aldesktop_access
ผู้ใช้จะได้รับสิทธิ์เข้าถึงในกรณีที่	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 1	นโยบายด้านอุปกรณ์ ต้องเป็นอุปกรณ์ของบริษัท การเข้ารหัสอุปกรณ์ = ไม่รองรับ ระบบปฏิบัติการของอุปกรณ์ macOS = 0.0.0 Windows =0.0.0 Linux OS = 0.0.0 Chrome OS = 0.0.0

จากนั้นสร้างระดับการเข้าถึงสำหรับอุปกรณ์เคลื่อนที่

ชื่อระดับการเข้าถึง	almobile_access
ผู้ใช้จะได้รับสิทธิ์เข้าถึงในกรณีที่	มีแอตทริบิวต์ตรงตามที่กำหนด
แอตทริบิวต์ของเงื่อนไข 1	ระบบปฏิบัติการของอุปกรณ์ iOS = 0.0.0 Android = 0.0.0

ต้องมีการรักษาความปลอดภัยของอุปกรณ์ขั้นพื้นฐาน

ปัจจุบันบริษัทระดับองค์กรส่วนใหญ่กำหนดให้พนักงานเข้าถึงทรัพยากรของบริษัทผ่านอุปกรณ์ที่มีการเข้ารหัสและมีเวอร์ชันระบบปฏิบัติการขั้นต่ำตรงตามที่กำหนด บางบริษัทยังกำหนดให้พนักงานใช้อุปกรณ์ที่เป็นของบริษัทอีกด้วย

คุณสามารถกำหนดค่านโยบายเหล่านี้ให้กับหน่วยขององค์กรทั้งหมด หรือเฉพาะหน่วยที่ทำงานกับข้อมูลที่ละเอียดอ่อน เช่น ผู้บริหารบริษัท ฝ่ายการเงิน หรือฝ่ายทรัพยากรบุคคล

คุณสามารถกำหนดค่านโยบายได้หลายวิธี ซึ่งรวมถึงการเข้ารหัสอุปกรณ์ เวอร์ชันระบบปฏิบัติการขั้นต่ำ และอุปกรณ์ของบริษัท โดยแต่ละวิธีมีทั้งข้อดีและข้อเสีย

ข้อมูลที่เกี่ยวข้อง

• ภาพรวมเกี่ยวกับการเข้าถึงแบบ Context-Aware
• ตั้งค่าซอฟต์แวร์และสร้างระดับการเข้าถึงแบบ Context-Aware
• กำหนดระดับการเข้าถึงแบบ Context-Aware ให้แอป
• ปรับแต่งการเข้าถึงแบบ Context-Aware ด้วยกลุ่ม
• ตัวอย่างการเข้าถึงแบบ Context-Aware สําหรับโหมดขั้นสูง
• บันทึกการตรวจสอบการเข้าถึงแบบ Context-Aware