יצירת רמות של בקרת גישה מבוססת-הקשר

1. בוחרים באפשרות רמות גישה.
   מוצגת רשימה של רמות הגישה שהוגדרו. רמות הגישה הן משאב משותף בין Google Workspace ל-Google Cloud, לכן יכול להיות שיופיעו ברשימה רמות גישה שלא אתם יצרתם. כדי לציין איזה צוות יצר את רמת הגישה, כדאי לכלול את שם הפלטפורמה בשם של רמת הגישה.
2. בפינה השמאלית העליונה, לוחצים על Create access level.
   מצב בסיסי נבחר כברירת מחדל. כדי להגדיר את רמת הגישה, צריך להוסיף לה תנאי אחד או יותר. אחר כך מגדירים כל תנאי על ידי ציון מאפיין אחד או יותר.

   הערה: אם אתם לקוחות של Workspace בלבד, מומלץ לא להשתמש בממשק של Google Cloud Platform ‏ (GCP) כדי להוסיף או לשנות רמות גישה בהתאם להקשר. אם מוסיפים או משנים רמות גישה בשיטה אחרת, ולא דרך הממשק של בקרת גישה מבוססת-הקשר, יכול להיות שתוצג הודעת השגיאה הבאה: ב-Google Workspace נעשה שימוש במאפיינים לא נתמכים, והמשתמשים עלולים להיחסם.

3. מוסיפים שם לרמת הגישה ותיאור (אופציונלי).
4. בתנאי של רמת הגישה שמוסיפים, מציינים אם התנאי חל כשהמשתמשים:
   • עמידה במאפיינים – המשתמשים חייבים לעמוד בכל המאפיינים שבתנאי.
   • לא מתאימים למאפיינים – המשתמשים לא מתאימים לאף אחד מהמאפיינים בתנאי. האפשרות הזו מציינת את ההפך מהתנאי, והיא משמשת בעיקר למאפיינים של רשתות משנה של כתובות IP. לדוגמה, אם מציינים רשת משנה של IP ו"לא עומדים", רק משתמשים עם כתובות IP מחוץ לטווח שצוין יעמדו בתנאי.
5. לוחצים על הוספת מאפיין כדי להוסיף מאפיין אחד או יותר לתנאי של רמת הגישה. המאפיינים שאפשר להוסיף הם:
   • רשת משנה של IP (ציבורית) – כתובת IPv4 או IPv6 או קידומת ניתוב בסימון בלוק CIDR.
     • המאפיין הזה לא תומך בכתובות IP פרטיות (כולל רשתות ביתיות של משתמשים).
     • יש תמיכה בכתובות IP סטטיות.
     • כדי להשתמש בכתובת IP דינמית, צריך להגדיר לרמת הגישה רשת משנה של כתובות IP סטטיות. אם אתם יודעים את הטווח של כתובת ה-IP הדינמית, וכתובת ה-IP הסטטית שמוגדרת ברמת הגישה מכסה את הטווח הזה, הגישה תאושר. הגישה נדחית כשכתובת ה-IP הדינמית לא נמצאת ברשת המשנה של כתובת ה-IP הסטטית שהוגדרה.
   • רשת משנה של IP (פרטית) – מאפשרת להגדיר כללי מדיניות של בקרת גישה מבוססת-הקשר שכוללים רשתות משנה של IP פרטיות מסביבות של ענן וירטואלי פרטי (VPC). בארגונים שמשתמשים ב-VPC, המאפיין הזה מבטיח גישה מאובטחת לשירותי Workspace ותאימות למדיניות בקרת הגישה מבוססת-ההקשר שהוגדרה. זה חשוב במיוחד למשתמשים שניגשים לשירותים דרך תשתית VPC ול-Apps Script שמסתמכים על כתובות IP פרטיות.
     • כדי להשתמש במאפיין הזה, אתם צריכים הרשאות במסוף Google Cloud להצגת רשימה של משאבי הרשת ב-Google Cloud ולצפייה בהם, ואת התפקיד המתאים בניהול זהויות והרשאות גישה (IAM) (לדוגמה, compute.networks.list, ‏ compute.subnetworks.list וכו').
     • המאפיין הזה מיועד רק לרשתות משנה פרטיות של כתובות IP בסביבות VPC מנוהלות. היא לא חלה על כתובות IP פרטיות כלליות, כמו אלה שנמצאות ברשתות הביתיות של המשתמש או בטווחים פרטיים אחרים שאינם VPC.
     • כדי להגדיר את המאפיין הזה, בוחרים באפשרות רשת משנה של כתובות IP (פרטית) בכלי ליצירת רמות גישה. אתם יכולים להוסיף פרויקטים במסוף Google Cloud, את רשתות ה-VPC שמשויכות אליהם, ואם רוצים, גם טווחי משנה ספציפיים של כתובות IP ב-VPC. לא צריך להגדיר את רמות הגישה האלה במסוף Google Cloud.
     • כשבודקים את הגישה של המשתמש, משתמשים ב-VPC ששולח תנועה לשרתי Google (לא בהכרח ה-VPC שממנו הגיעה הבקשה).
     • במסוף Admin יש כרגע תמיכה בעריכת טקסט חופשי של שמות VPC ורשתות המשנה המתאימות.
     • אם אתם משתמשים ב-VPC Service Controls כדי ליצור גבולות גזרה מאובטחים למשאבים שלכם ב-Google Cloud, חלות מגבלות ספציפיות כשמשתמשים במאפיין "רשת משנה של IP (פרטית)":
       • אפשר להפעיל כתובות IP פנימיות רק עם רמות גישה בסיסיות. כדי להשתמש בכתובות IP פרטיות ברמות גישה מתקדמות, צריך ליצור רמת גישה בסיסית עם תנאים של כתובות IP פרטיות בלבד, ואז לכלול אותה ברמת הגישה המתקדמת.
       • אל תגדירו רמות גישה שחוסמות כתובות IP פנימיות, כי זה עלול לגרום להתנהגות לא צפויה.
       • רמת גישה אחת לא יכולה לשלב מאפיינים של כתובות IP ציבוריות ופרטיות. אם אתם צריכים את שניהם, צרו רמות גישה נפרדות לכל אחד מהם ושלבו אותן ברמת גישה שלישית.
   • מיקום – המדינות או האזורים שבהם המשתמש ניגש לשירותי Google Workspace. אין תמיכה במכשירים עם כתובות IP פנימיות, כי כתובות ה-IP האלה לא ייחודיות באופן גלובלי.
   • מדיניות המכשיר (צריך לבחור רק את כללי מדיניות המכשיר שרוצים להטמיע)—
     • נדרש אישור אדמין (אם נדרש, המכשיר חייב להיות מאושר)
     • נדרש מכשיר בבעלות החברה
     • מוגן בסיסמה

       הערה: במערכת ההפעלה Windows, המאפיין הזה בודק אם מסך הכניסה מוצג אחרי זמן קצוב לתפוגה של חוסר פעילות. זה נכון אם ההגדרה "דרישת כניסה" (באפשרויות הכניסה) או ההגדרה "בהמשך, הצגת מסך הכניסה" (בהגדרות של שומר המסך) מופעלת. הוא לא בודק אם הסיסמה מוגדרת.

     • הצפנת המכשיר (אין תמיכה, לא מוצפן, מוצפן)
   • מערכת ההפעלה של המכשיר (המשתמשים יכולים לגשת ל-Google Workspace רק באמצעות מערכות ההפעלה שבחרתם. מגדירים גרסה מינימלית של מערכת ההפעלה או מאפשרים כל גרסה. צריך להשתמש בפורמט "ראשית.משנית.תיקוני באגים" (major.minor.patch) לגרסה של מערכת ההפעלה)—
     • macOS
     • Windows
     • Linux
     • Chrome OS
     • iOS
     • Android
   • רמת גישה – צריך לעמוד בדרישות של רמת גישה קיימת.
6. כדי להוסיף עוד תנאי לרמת הגישה, לוחצים על הוספת תנאי ומוסיפים לו מאפיינים.
7. מציינים את התנאים שהמשתמשים צריכים לעמוד בהם:
   • וגם – המשתמשים חייבים לעמוד בתנאי הראשון ובתנאי הנוסף.
   • או – המשתמשים צריכים לעמוד רק באחד מהתנאים.
8. כשמסיימים להוסיף תנאים לרמת הגישה, לוחצים על Save כדי לשמור את ההגדרה של רמת הגישה.
9. בוחרים מה לעשות עם רמת הגישה:
   • הקצאה של רמת גישה זו לאפליקציות.
   • יוצרים כלל הגנה על נתונים עם רמת הגישה הזו. אם תבחרו באפשרות הזו, יופעל אשף יצירת הכללים. מידע נוסף על שילוב של כללים להגנה על נתונים עם רמות של בקרת גישה מבוססת-הקשר.

רמת גישה לדוגמה – נוצרה במצב בסיסי

בדוגמה הזו מוצגת רמת גישה שנקראת corp_access. אם "corp_access" חלה על Gmail, המשתמשים יכולים לגשת ל-Gmail רק ממכשיר מוצפן שבבעלות החברה, ורק מארה"ב או מקנדה.

דוגמאות נוספות מופיעות במאמר דוגמאות לבקרת גישה מבוססת-הקשר במצב בסיסי.

במצב הזה אפשר ליצור רמות גישה שלא ניתן ליצור בכלי להגדרת תנאים בממשק של בקרת הגישה מבוססת-ההקשר. לדוגמה:

• יכול להיות שהאדמין יצטרך ליצור רמות גישה שכוללות תנאים של ספקים לשילובים עם צדדים שלישיים.
• מאפיינים מתקדמים מסוימים לא נגישים מממשק התנאים של המצב הבסיסי, כמו היכולת להשתמש באימות מבוסס-אישור.

במצב הזה, אתם יוצרים את רמת הגישה בהתאמה אישית בחלון עריכה באמצעות Common Expression Language ‏ (CEL).

כדי להגדיר רמות גישה באמצעות מצב מתקדם:

1. בוחרים באפשרות רמות גישה.
   מוצגת רשימה של רמות הגישה שהוגדרו. רמות הגישה הן משאב משותף בין Google Workspace,‏ Cloud Identity ו-Google Cloud, ולכן יכול להיות שיופיעו ברשימה רמות גישה שלא אתם יצרתם. כדי לציין איזה צוות יצר את רמת הגישה, כדאי לכלול את שם הפלטפורמה בשם של רמת הגישה.
2. בוחרים באפשרות Create access level.
3. לוחצים על מצב מתקדם.
4. מוסיפים שם לרמת הגישה ותיאור (אופציונלי).
   כדי להגדיר את רמת הגישה, צריך לכתוב ביטוי CEL.
5. יוצרים את רמת הגישה בהתאמה אישית בעורך הביטויים של CEL.
   כדי לעשות את זה, צריך קצת ניסיון עם CEL. במאמר מפרט של רמת גישה בהתאמה אישית תוכלו למצוא הנחיות ודוגמאות לביטויים נתמכים ליצירת רמות גישה בהתאמה אישית .
6. לוחצים על שמירה.
   הביטוי עובר הידור וכל שגיאות התחביר מדווחות.
   • אם אין שגיאות תחביר, רמת הגישה המותאמת אישית נשמרת ואפשר להקצות אותה לאפליקציות.
   • אם יש שגיאות תחביר, תופיע ההודעה כדי להמשיך, צריך לתקן את השגיאות עם שגיאות קומפילציה (באנגלית בלבד) שספציפיות לביטוי שיצרתם. אפשר לתקן את השגיאה ולשמור שוב. אחרי ששומרים את רמת הגישה המותאמת אישית ואין בה שגיאות, אפשר להקצות אותה לאפליקציות.

רמת גישה לדוגמה – נוצרה במצב מתקדם

בדוגמה הזו מוצגת רמת גישה שדורשת שהתנאים הבאים יתקיימו כדי לאשר בקשה:

• המכשיר המקורי מוצפן.
• אחד או יותר מהתנאים הבאים מתקיים:
  • הבקשה הגיעה מארצות הברית.
  • המכשיר שממנו הגיעה הבקשה אושר על ידי מנהל הדומיין.

device.encryption_status == DeviceEncryptionStatus.ENCRYPTED && (origin.region_code in ["US"] || device.is_admin_approved_device)

דוגמאות נוספות מופיעות במאמר דוגמאות לבקרת גישה מבוססת-הקשר במצב מתקדם.