支援這項功能的版本：Frontline Standard 和 Frontline Plus；Enterprise Standard 和 Enterprise Plus；Education Standard 和 Education Plus；Enterprise Essentials Plus；Cloud Identity 進階版。 版本比較
本文說明情境感知存取權的常見用途，並提供在基本模式中開發的設定範例。
如需在進階模式 (使用 CEL 編輯器) 中開發存取層級的範例，請參閱「進階模式的情境感知存取權範例」。
僅允許承包商透過公司網路存取資源
許多公司都希望能限制承包商對公司資源的存取權。舉例來說，如果某公司僱用承包商接聽一般支援服務來電，或任職於說明中心和客服中心，可能就會希望設定相關限制。與全職員工一樣，承包商必須具備支援的授權，才能納入情境感知存取權政策。
在這個範例中，承包商只能從特定公司 IP 位址範圍存取公司資源。
| 存取層級名稱 | contractor_access |
| 承包商獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 | IP 子網路 (公開) 74.125.192.0/18 |
| 存取層級指派對象 | 承包商所屬機構單位 承包商使用的所有應用程式 |
封鎖來自已知駭客 IP 位址的存取權限
為避免公司資源遭到入侵，許多公司會封鎖已知的高風險來源。
在這個範例中，IP 位址 74.125.195.105 遭到封鎖。如果工作階段來自任何其他 IP 位址，使用者就能存取公司資源。您可以指定多個 IP 位址和範圍。
| 存取層級名稱 | block_highrisk |
| 使用者獲得存取權的條件 | 不符合部分屬性 |
| 條件 1 屬性 | IP 子網路 (公開) 74.125.195.105 |
| 存取層級指派對象 | 頂層組織單位 所有應用程式 |
允許從 Google Cloud 中的特定私人網路存取
許多公司會透過虛擬私有雲 (VPC) 將使用者的流量轉送至 Google。虛擬私有雲是 Google Cloud 環境中安全、獨立的網路。
請注意，透過虛擬私有雲傳送的流量，可能會使用私人 IP 位址。這可能會導致公開 IP 或區域政策發生問題。
在這個例子中，您可以允許來自這些特定虛擬私有雲的流量。
| 存取層級名稱 | vpc_access |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 |
IP 子網路 (私人) 私人 IP 子網路： //compute.googleapis.com/projects/project- name-test/global/networks/network-name 虛擬私有雲子網路：74.125.192.0/18 |
| 存取層級指派對象 |
所有使用者的組織單位 承包商使用的所有應用程式 |
請注意以下幾點重要事項：
- 僅限直接流量：這個存取層級僅適用於從許可清單中的虛擬私有雲，直接連至 Google 伺服器的流量。如果流量先經過其他網路或通道，則不會授予存取權。Google 只會辨識最後一個將流量傳送至其伺服器的虛擬私有雲。
- 管理員權限：如要查看虛擬私有雲並設定這個存取層級，管理員必須具備適當的身分與存取權管理 (IAM) 角色 (例如 compute.networks.list、compute.subnetworks.list 等)。
- 外部虛擬私有雲：您加入許可清單的虛擬私有雲，可來自目前的 Google Cloud 網域外部。管理員必須具備檢視權限，才能新增外部虛擬私有雲。
允許或禁止特定位置的存取權限
如果員工經常前往遠端公司或合作夥伴辦公室，您可以指定他們可以存取公司資源的地理位置。
舉例來說，如果有一群銷售人員經常拜訪澳洲和印度的客戶，您可以限制該群組只能存取總公司、澳洲和印度的資源。如果他們在出差期間前往其他國家/地區度假，就無法從這些國家/地區存取公司資源。
在這個範例中，銷售群組只能從美國 (總公司)、澳洲和印度存取公司資源。
| 存取層級名稱 | sales_access |
| 銷售人員獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 | 地理位置來源 美國、澳洲、印度 |
| 存取層級指派對象 | 銷售專員群組 銷售專員使用的所有應用程式 |
您也可以建立政策，指定使用者在「不符合」條件時才能存取，藉此拒絕來自特定國家/地區的存取要求。列出要禁止存取的國家/地區。
指派時，請使用巢狀存取層級，而非選取多個存取層級
在某些情況下，當您嘗試將存取層級指派給特定組織單位/群組和應用程式 (或是一組應用程式) 時，可能會看到要求減少應用程式或存取層級數量的錯誤訊息。
為避免發生這項錯誤，您可以將多個存取層級巢狀嵌入單一存取層級，減少指派時使用的存取層級數量。巢狀存取層級會使用 OR 運算結合多個條件，每個條件都包含個別的存取層級。
在這個範例中，USWest、USEast 和 USCentral 位於 3 個不同的存取層級。假設您希望使用者只要符合 USWest、USEast 或 USCentral 存取層級，就能存取應用程式。您可以使用 OR 運算子，建立單一巢狀存取層級 (名為 USRegions)。接著在指派存取層級時，只要針對相應的組織單位或群組，將 USRegions 存取層級指派給應用程式即可。
|
存取層級名稱 |
USRegions |
|
使用者獲得存取權的條件 |
符合所有屬性 |
|
條件 1 屬性 (每個條件只能有 1 個存取層級) |
存取層級 USWest |
|
將條件 1 和條件 2 統整在一起 |
或 |
|
使用者獲得存取權的條件 |
符合所有屬性 |
|
條件 2 屬性 |
存取層級 USEast |
|
將條件 2 和條件 3 統整在一起 |
或 |
|
使用者獲得存取權的條件 |
符合所有屬性 |
|
條件 3 屬性 |
存取層級 USCentral |
規定要使用公司擁有的電腦，但未必要使用公司擁有的行動裝置
公司可能會要求使用公司擁有的電腦裝置，但不一定會要求使用公司擁有的行動裝置。
首先，請建立電腦裝置的存取層級：
|
存取權層級名稱 |
aldesktop_access |
|
使用者獲得存取權的條件 |
符合所有屬性 |
|
條件 1 屬性 |
裝置政策
裝置加密 = 不支援 裝置 OS macOS = 0.0.0 Windows = 0.0.0 Linux OS = 0.0.0 Chrome OS = 0.0.0 |
接著，請建立行動裝置的存取層級：
|
存取權層級名稱 |
almobile_access |
|
使用者獲得存取權的條件 |
符合所有屬性 |
|
條件 1 屬性 |
裝置 OS iOS = 0.0.0 Android = 0.0.0 |
規定基本的裝置安全性需求
現在大多數企業公司都要求員工透過加密裝置存取公司資源，且裝置必須符合最低作業系統版本要求。部分公司也會要求員工使用公司擁有的裝置。
您可以為所有組織單位設定這些政策，也可以只為處理機密資料的組織單位設定，例如公司主管、財務或人力資源。
您可以透過多種方式設定政策，包括裝置加密、最低作業系統版本和公司擁有的裝置。這些方法各有優缺點。
1 個存取層級，包含所有安全性規定
在這個範例中，裝置加密、最低作業系統版本和公司擁有的裝置這類屬性都包含在同一個存取層級中。使用者必須符合所有條件才能取得存取權。
舉例來說，如果使用者裝置已加密且為公司所有，但未執行符合規定的作業系統版本，系統就會拒絕存取。
優點：設定簡單。當您將這個存取層級指派給應用程式後，使用者就必須符合所有需求條件。
缺點：如要將安全性需求分別指派給不同的組織單位，您必須為每項安全性需求建立個別的存取層級。
| 存取層級名稱 | device_security |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 (您可以將所有屬性新增至一個條件，或 建立 3 個條件，並以 AND 連結。) |
裝置政策 裝置 OS |
3 個各自獨立的存取層級
在這個範例中，裝置加密、最低作業系統版本和公司擁有的裝置屬性分屬 3 個不同的存取層級。使用者僅須符合其中一個存取層級的條件，即可取得存取權。存取層級使用邏輯運算子 OR。
舉例來說，如果使用者在個人裝置上使用加密裝置，並執行舊版作業系統，則可取得存取權。
優點：可精細定義存取層級。您可以分別為不同的機構單位指派存取層級。
缺點：使用者只需符合其中一個存取層級的條件。
| 存取層級名稱 | device_encryption |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 |
裝置政策 |
| 存取層級名稱 | corp_device |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 |
裝置政策 |
| 存取層級名稱 | min_os |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 |
裝置政策 |
1 個存取層級，其中包含巢狀存取層級
在這個範例中，裝置加密、最低作業系統版本和公司擁有的裝置這類安全性需求分屬 3 個不同的存取層級，這 3 個存取層級又以巢狀結構的形式隸屬於第 4 個存取層級中。
將第四個存取層級指派給應用程式後，使用者必須符合 3 個巢狀存取層級中每個層級的條件，才能取得存取權。存取層級使用邏輯運算子 AND。
舉例來說，如果使用者在個人裝置上使用加密裝置，並執行舊版作業系統，系統就會拒絕存取。
優點：您可以靈活地將安全性需求分散到存取層級 1、2 和 3。此外，您還可以使用第 4 個存取層級，強制實行兼具所有安全性需求的政策。
缺點：稽核記錄只會擷取存取層級 4 的拒絕存取事件 (不會擷取存取層級 1、2 和 3)，因為存取層級 1、2 和 3 並未直接指派給應用程式。
按照上述「3 個獨立存取層級」一節的說明，建立 3 個存取層級：「device_encryption」、「corp_device」和「min_os」。接著，建立第四個存取層級「device_security」，並設定 3 個條件。各條件中另有一個存取層級做為屬性 (每個條件只能新增 1 個存取層級屬性)。
| 存取層級名稱 | device_security |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 (每個條件只能具備 1 個存取層級) |
存取層級 device_encryption |
| 將條件 1 和條件 2 統整在一起 | 且 |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 | 存取層級 corp_device |
| 將條件 2 和條件 3 統整在一起 | AND |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 | 存取層級 min_os |