Cómo crear niveles de acceso adaptado al contexto

1. Selecciona Niveles de acceso.
   Verás una lista de los niveles de acceso definidos. Los niveles de acceso son un recurso compartido entre Google Workspace y Google Cloud, por lo que es posible que veas niveles de acceso que no creaste en la lista. Para indicar qué equipo creó un nivel de acceso, considera incluir la plataforma en el nombre del nivel de acceso.
2. En la esquina superior derecha, selecciona Crear nivel de acceso.
   El modo básico está seleccionado de forma predeterminada. Para definir el nivel de acceso, debes agregarle una o más condiciones. Luego, define cada condición especificando uno o más atributos.

   Nota: Te recomendamos que no uses la interfaz de Google Cloud Platform (GCP) para agregar o modificar niveles de acceso adaptado al contexto si eres cliente solo de Workspace. Si agregas o cambias niveles de acceso con un método que no sea la interfaz de Acceso adaptado al contexto, es posible que aparezca este mensaje de error: Se están usando atributos no admitidos en Google Workspace, y es posible que se bloquee a los usuarios.

3. Agrega un nombre para el nivel de acceso y una descripción opcional.
4. Para la condición de nivel de acceso que agregues, especifica si se aplica cuando los usuarios cumplen con los siguientes requisitos:
   • Atributos de Meet: Los usuarios deben cumplir con todos los atributos de la condición.
   • No cumplir con los atributos: Los usuarios no cumplen con ninguno de los atributos de la condición. Esta opción especifica lo contrario de la condición y se usa con mayor frecuencia para los atributos de subred de IP. Por ejemplo, si especificas una subred de IP y seleccionas "no cumplen", solo los usuarios con direcciones IP fuera del rango especificado coincidirán con la condición.
5. Haz clic en Agregar atributo para agregar uno o más atributos a la condición del nivel de acceso. Los atributos que puedes agregar son los siguientes:
   • Subred IP (pública): Es la dirección IPv4 o IPv6, o el prefijo de enrutamiento en notación de bloque CIDR.
     • Este atributo no admite direcciones IP privadas (incluidas las redes domésticas de los usuarios).
     • Se admiten direcciones IP estáticas.
     • Para usar una dirección IP dinámica, debes definir una subred de IP estática para el nivel de acceso. Si conoces el rango de la dirección IP dinámica y la dirección IP estática definida en el nivel de acceso cubre ese rango, se otorga el acceso. Se deniega el acceso cuando la dirección IP dinámica no está en la subred de IP estática definida.
   • Subred de IP (privada): Te permite definir políticas de acceso adaptado al contexto que incluyan subredes de IP privadas de entornos de nube privada virtual (VPC). En el caso de las organizaciones que usan VPC, este atributo garantiza el acceso seguro a los servicios de Workspace y el cumplimiento de las políticas de Acceso adaptado al contexto que definas. Esto es especialmente importante para los usuarios que acceden a los servicios a través de la infraestructura de VPC y para Apps Script que dependen de IPs privadas.
     • Para usar este atributo, necesitas permisos de la consola de Google Cloud para enumerar y ver los recursos de red de Google Cloud y el rol de Identity and Access Management (IAM) adecuado (por ejemplo, compute.networks.list, compute.subnetworks.list, etcétera).
     • Este atributo es exclusivo para las subredes de IP privadas dentro de los entornos de VPC administrados. No se aplica a las direcciones IP privadas generales, como las que se encuentran en las redes domésticas de un usuario o en otros rangos privados que no son de VPC.
     • Para configurar este atributo, selecciona Subred de IP (privada) en el compilador de niveles de acceso. Puedes agregar proyectos de la consola de Google Cloud, sus redes de VPC asociadas y, de forma opcional, rangos de subredes de IP de VPC específicos. No es necesario que configures estos niveles de acceso en la consola de Google Cloud.
     • Cuando se evalúa el acceso de los usuarios, se usa la VPC que envía tráfico a los servidores de Google (no necesariamente la VPC en la que se originó la solicitud).
     • Actualmente, la Consola del administrador admite la edición de texto de formato libre de los nombres de VPC y las subredes correspondientes.
     • Si usas los Controles del servicio de VPC para crear perímetros seguros para tus recursos de Google Cloud, se aplican limitaciones específicas cuando usas el atributo Subred de IP (privada):
       • Solo puedes habilitar direcciones IP internas con niveles de acceso básicos. Para usar IPs privadas en niveles de acceso avanzados, crea un nivel de acceso básico que solo tenga condiciones de IP privada y, luego, inclúyelo en tu nivel de acceso avanzado.
       • Evita configurar niveles de acceso para bloquear direcciones IP internas, ya que esto puede causar un comportamiento inesperado.
       • Un solo nivel de acceso no puede combinar atributos de IP públicos y privados. Si necesitas ambos, crea niveles de acceso independientes para cada uno y combínalos en un tercer nivel de acceso.
   • Ubicación: Países o regiones en los que el usuario accede a los servicios de Google Workspace. No se admiten los dispositivos con direcciones IP internas porque esas direcciones IP no son únicas a nivel global.
   • Política de dispositivo (elige solo las políticas de dispositivos que necesites implementar):
     • Se requiere la aprobación del administrador (si es necesario, se debe aprobar el dispositivo)
     • Se requiere un dispositivo propiedad de la empresa
     • Pantalla protegida por contraseña

       Nota: En el SO Windows, este atributo verifica si se muestra la pantalla de acceso después de un tiempo de espera por inactividad, lo que es verdadero si se activa el parámetro de configuración "Requerir acceso" (en Opciones para acceder) o "Al reanudar, mostrar la pantalla de acceso" (en la configuración del protector de pantalla). No verifica si se estableció la contraseña.

     • Encriptación del dispositivo (No compatible, No encriptado, Encriptado)
   • SO del dispositivo (los usuarios solo pueden acceder a Google Workspace con los sistemas operativos que selecciones. Establece una versión mínima del sistema operativo o permite cualquier versión. Usa el formato major.minor.patch para la versión del sistema operativo).
     • macOS
     • Windows
     • Linux
     • Chrome OS
     • iOS
     • Android
   • Nivel de acceso: Debe cumplir con los requisitos de un nivel de acceso existente.
6. Para agregar otra condición al nivel de acceso, haz clic en Agregar condición y agrégale atributos.
7. Indica las condiciones que deben cumplir los usuarios:
   • Y: Los usuarios deben cumplir con la primera condición y la condición agregada.
   • O: Los usuarios deben cumplir solo una de las condiciones.
8. Cuando termines de agregar las condiciones del nivel de acceso, haz clic en Guardar para guardar la definición del nivel de acceso.
9. Elige qué hacer con el nivel de acceso:
   • Asigna este nivel de acceso a las apps.
   • Crea una regla de protección de datos con este nivel de acceso. Si eliges esta opción, se iniciará el asistente para crear reglas. Obtén más información para combinar las reglas de protección de datos con los niveles de acceso adaptado al contexto.

Nivel de acceso de muestra creado en el modo básico

En este ejemplo, se muestra un nivel de acceso llamado "corp_access". Si se aplica "corp_access" a Gmail, los usuarios solo podrán acceder a Gmail desde un dispositivo encriptado y de propiedad de la empresa, y solo desde EE.UU. o Canadá.

Para ver más ejemplos, consulta Ejemplos de acceso adaptado al contexto para el modo básico.

Este modo te permite crear niveles de acceso que no se pueden crear en el compilador de condiciones de la interfaz de Acceso adaptado al contexto. Por ejemplo:

• Es posible que el administrador deba crear niveles de acceso que incluyan condiciones de proveedores para las integraciones de terceros.
• No se puede acceder a algunos atributos avanzados desde la interfaz de condiciones del modo básico, como la capacidad de usar la autenticación basada en certificados.

En este modo, creas tu nivel de acceso personalizado en una ventana de edición con Common Expression Language (CEL).

Para definir niveles de acceso con el modo avanzado, sigue estos pasos:

1. Selecciona Niveles de acceso.
   Verás una lista de los niveles de acceso definidos. Los niveles de acceso son un recurso compartido entre Google Workspace, Cloud Identity y Google Cloud, por lo que es posible que veas niveles de acceso que no creaste en la lista. Para indicar qué equipo creó un nivel de acceso, considera incluir la plataforma en el nombre del nivel de acceso.
2. Selecciona Crear nivel de acceso.
3. Selecciona Modo avanzado.
4. Agrega un nombre de nivel de acceso y una descripción opcional.
   Para definir el nivel de acceso, escribe una expresión de CEL.
5. Crea tu nivel de acceso personalizado en el editor de expresiones de CEL.
   Para ello, necesitas tener experiencia con CEL. Para obtener orientación y ejemplos de expresiones admitidas para crear niveles de acceso personalizados, consulta la Especificación del nivel de acceso personalizado .
6. Haz clic en Guardar.
   La expresión se compila y se informan los errores de sintaxis.
   • Si no hay errores de sintaxis, se guardará tu nivel de acceso personalizado y podrás asignarlo a las apps.
   • Si hay errores de sintaxis, verás el mensaje Corrige los errores para continuar con errores del compilador (solo en inglés) específicos de la expresión que acabas de crear. Puedes corregir el error y volver a guardar. Cuando el nivel de acceso personalizado no contenga errores y se guarde, podrás asignarlo a las apps.

Nivel de acceso de ejemplo: creado en el modo avanzado

En este ejemplo, se muestra un nivel de acceso que requiere que se cumplan las siguientes condiciones para permitir una solicitud:

• El dispositivo de origen está encriptado.
• Se cumple una o más de las siguientes condiciones:
  • La solicitud se originó en Estados Unidos.
  • El administrador del dominio aprueba el dispositivo desde el que se originó la solicitud.

device.encryption_status == DeviceEncryptionStatus.ENCRYPTED && (origin.region_code in ["US"] || device.is_admin_approved_device)

Para obtener más ejemplos, consulta Ejemplos de Acceso adaptado al contexto para el modo avanzado.