Niveaus voor contextbewuste toegang maken

1. Selecteer Toegangsniveaus.
   U ziet een lijst met ingestelde toegangsniveaus. Toegangsniveaus zijn hetzelfde in Google Workspace en Google Cloud. U ziet in de lijst dus mogelijk toegangsniveaus die u niet zelf heeft gemaakt. Als u wilt kunnen zien welk team een toegangsniveau heeft gemaakt, raden we u aan het platform in de naam van het toegangsniveau zetten.
2. Selecteer rechtsboven Toegangsniveau maken.
   Standaard is de basismodus geselecteerd. U definieert het toegangsniveau door er een of meer voorwaarden aan toe te voegen. Stel daarna elke voorwaarde in door een of meer kenmerken op te geven.

   Opmerking: We raden u af de Google Cloud Platform-interface (GCP) te gebruiken om contextbewuste toegangsniveaus toe te voegen of aan te passen als u alleen Workspace-klant bent. Als u toegangsniveaus toevoegt of wijzigt via een andere methode dan de interface voor contextbewuste toegang, kunt u deze foutmelding krijgen: Er worden niet-ondersteunde kenmerken gebruikt in Google Workspace. Ook kunnen gebruikers worden geblokkeerd.

3. Voeg een naam en eventueel een beschrijving toe voor het toegangsniveau.
4. Kies voor de voorwaarde die u toevoegt voor het toegangsniveau een van de volgende opties voor gebruikers:
   • Ze voldoen aan de kenmerken: Gebruikers moeten voldoen aan alle kenmerken in de voorwaarde.
   • Ze voldoen niet aan de kenmerken: Gebruikers voldoen aan geen van de kenmerken in de voorwaarde. Met deze optie geeft u het tegenovergestelde op van de voorwaarde. Deze wordt het meest gebruikt voor IP-subnetkenmerken. Als u bijvoorbeeld een IP-subnet opgeeft en 'niet voldoen', komen alleen gebruikers met IP-adressen buiten het opgegeven bereik overeen met de voorwaarde.
5. Klik op Kenmerk toevoegen om een of meer kenmerken toe te voegen aan de voorwaarde voor het toegangsniveau. U kunt de volgende kenmerken toevoegen:
   • IP-subnet (Openbaar): IPv4- of IPv6-adres of routingsvoorvoegsel in CIDR-bloknotatie.
     • Dit kenmerk ondersteunt geen privé-IP-adressen (waaronder de thuisnetwerken van gebruikers).
     • Statische IP-adressen worden wel ondersteund.
     • Als u een dynamisch IP-adres wilt gebruiken, moet u een statisch IP-subnet opgeven voor het toegangsniveau. Als u het bereik van het dynamische IP-adres weet en het gedefinieerde statische IP-adres in het toegangsniveau dat bereik dekt, wordt toegang verleend. Als het dynamische IP-adres niet binnen het opgegeven statische IP-subnet valt, krijgen gebruikers geen toegang.
   • IP-subnet (Privé): Hiermee kunt u beleid voor contextbewuste toegang definiëren dat privé-IP-subnetten uit Virtual Private Cloud-omgevingen (VPC) omvat. Voor organisaties die VPC's gebruiken, zorgt dit kenmerk voor beveiligde toegang tot Workspace-services en naleving van uw gedefinieerde beleid voor contextbewuste toegang. Dit is vooral belangrijk voor gebruikers die via de VPC-infrastructuur toegang hebben tot services en voor Apps Script dat afhankelijk is van privé-IP's.
     • Als u dit kenmerk wilt gebruiken, heeft u rechten in de Google Cloud Console nodig om Google Cloud-netwerkresources te vermelden en te bekijken, en de juiste Identity and Access Management (IAM)-rol (bijvoorbeeld compute.networks.list of compute.subnetworks.list).
     • Dit kenmerk is uitsluitend bedoeld voor privé-IP-subnetten in beheerde VPC-omgevingen. Het is niet van toepassing op algemene privé-IP-adressen, zoals die in de thuisnetwerken van gebruikers of andere privébereiken buiten het VPC.
     • Als u dit kenmerk wilt instellen, selecteert u IP-subnet (privé) in de builder voor toegangsniveaus. U kunt Google Cloud Console-projecten, de bijbehorende VPC-netwerken en, optioneel, specifieke VPC IP-subnetbereiken toevoegen. U hoeft deze toegangsniveaus niet in te stellen in de Google Cloud Console.
     • Bij de evaluatie van gebruikerstoegang wordt de VPC gebruikt die verkeer naar Google-servers stuurt (niet noodzakelijk de VPC waar het verzoek vandaan komt).
     • In de Beheerdersconsole kun je op dit moment de namen van VPC's en de bijbehorende subnetten bewerken met vrije tekst.
     • Als u VPC Service Controls gebruikt om beveiligde perimeters voor uw Google Cloud-resources te maken, gelden er specifieke beperkingen voor het gebruik van het kenmerk IP-subnet (privé):
       • U kunt alleen interne IP-adressen aanzetten met basistoegangsniveaus. Als u privé-IP's wilt gebruiken met geavanceerde toegangsniveaus, maakt u een basistoegangsniveau met alleen privé-IP-voorwaarden en neemt u dit op in uw geavanceerde toegangsniveau.
       • Stel geen toegangsniveaus in om interne IP-adressen te blokkeren, want dit kan onverwacht gedrag veroorzaken.
       • Eén toegangsniveau kan geen openbare en privé-IP-kenmerken combineren. Als u beide nodig heeft, maakt u voor elk een afzonderlijk toegangsniveau en combineert u deze in een derde toegangsniveau.
   • Locatie: Landen/regio's van waaruit de gebruiker toegang heeft tot Google Workspace-services. Apparaten met interne IP-adressen worden niet ondersteund, omdat deze IP-adressen niet wereldwijd uniek zijn.
   • Apparaatbeleid (kies alleen het apparaatbeleid dat u wilt implementeren):
     • Goedkeuring door beheerder vereist (indien vereist moet het apparaat worden goedgekeurd)
     • Apparaat dat eigendom is van het bedrijf vereist
     • Scherm is beveiligd met wachtwoord

       Opmerking: Voor Windows OS controleert dit kenmerk of het inlogscherm wordt getoond na een time-out vanwege inactiviteit. Dit is het geval als de instelling Inloggen vereisen (bij Inlogopties) of de instelling Bij hervatten het inlogscherm tonen (bij Instellingen voor screensaver) aanstaat. De functie controleert niet of het wachtwoord is ingesteld.

     • Apparaatversleuteling (Niet ondersteund, Niet versleuteld, Versleuteld)
   • OS van apparaat (gebruikers hebben alleen toegang tot Google Workspace met de besturingssystemen die u selecteert. Stel een minimale versie van het besturingssysteem in of sta elke versie toe. Gebruik de indeling hoofdversie.subversie.patch voor de versie van het besturingssysteem.)—
     • macOS
     • Windows
     • Linux
     • Chrome OS
     • iOS
     • Android
   • Toegangsniveau (moet voldoen aan de vereisten van een bestaand toegangsniveau).
6. Als u nog een voorwaarde aan het toegangsniveau wilt toevoegen, klikt u op Voorwaarde toevoegen en voegt u kenmerken toe.
7. Geef de voorwaarden op waaraan gebruikers moeten voldoen):
   • AND: Gebruikers moeten voldoen aan de eerste voorwaarde en de toegevoegde voorwaarde.
   • OR: Gebruikers moeten voldoen aan slechts één van de voorwaarden.
8. Als u klaar bent met het toevoegen van voorwaarden voor toegangsniveaus, slaat u de definitie voor het toegangsniveau op door op Opslaan te klikken.
9. Kies wat u met het toegangsniveau wilt doen:
   • Wijs dit toegangsniveau toe aan apps.
   • Maak een gegevensbeschermingsregel met dit toegangsniveau. Als u deze optie kiest, start u de wizard om regels te maken. Meer informatie over hoe je regels voor gegevensbescherming combineert met niveaus voor contextbewuste toegang.

Voorbeeld van een toegangsniveau dat is gemaakt in de basismodus

In dit voorbeeld ziet u een toegangsniveau met de naam corp_access. Als corp_access wordt toegepast op Gmail, hebben gebruikers alleen toegang tot Gmail via een versleuteld bedrijfsapparaat en alleen vanuit de VS of Canada.

Zie Voorbeelden van contextbewuste toegang voor de basismodus voor meer voorbeelden.

In deze modus kunt u toegangsniveaus maken die u niet kunt maken in de voorwaardenbuilder van de interface voor contextbewuste toegang. Voorbeeld:

• Een beheerder wil toegangsniveaus maken met voorwaarden voor leveranciers, voor integraties met derden.
• U kunt sommige geavanceerde kenmerken niet gebruiken in de voorwaardeninterface in de basismodus, zoals de mogelijkheid om op een certificaat gebaseerde verificatie te gebruiken.

In deze modus maakt u een aangepast toegangsniveau in een bewerkingsvenster met Common Expression Language (CEL).

Toegangsniveaus instellen met de geavanceerde modus:

1. Selecteer Toegangsniveaus.
   U ziet een lijst met ingestelde toegangsniveaus. Toegangsniveaus zijn hetzelfde in Google Workspace, Cloud Identity en Google Cloud. U ziet in de lijst dus mogelijk toegangsniveaus die u niet zelf heeft gemaakt. Als u wilt kunnen zien welk team een toegangsniveau heeft gemaakt, raden we u aan het platform in de naam van het toegangsniveau zetten.
2. Selecteer Toegangsniveau maken.
3. Selecteer Geavanceerde modus.
4. Voeg een naam en eventueel een beschrijving toe voor het toegangsniveau.
   U stelt het toegangsniveau in door een CEL-expressie te maken.
5. Maak het aangepaste toegangsniveau in de editor voor CEL-expressies.
   Hiervoor heb je enige ervaring met CEL nodig. Ga naar Custom access level specification (Aangepaste toegangsniveaus invoeren) voor hulp en voorbeelden van ondersteunde expressies voor aangepaste toegangsniveaus .
6. Klik op Opslaan.
   De expressie wordt samengesteld en u krijgt een melding van eventuele syntaxisfouten.
   • Als er geen syntaxisfouten zijn, wordt het aangepaste toegangsniveau opgeslagen en kunt u het toewijzen aan apps.
   • Als er wel syntaxisfouten zijn, ziet u de melding Los de fouten op om door te gaan met de compilerfouten (alleen in het Engels) die specifiek zijn voor de gemaakte expressie. U kunt de fouten corrigeren en de expressie opnieuw opslaan. Als het aangepaste toegangsniveau geen fouten bevat en is opgeslagen, kunt u het toewijzen aan apps.

Voorbeeld van een toegangsniveau dat is gemaakt in de geavanceerde modus

In dit voorbeeld ziet u een toegangsniveau waarin aan de volgende voorwaarden moet worden voldaan om een verzoek toe te staan:

• Het apparaat waarvan het verzoek afkomstig is, is versleuteld.
• Een of meer van de volgende voorwaarden zijn van toepassing:
  • Het verzoek is afkomstig uit de Verenigde Staten.
  • Het apparaat waarvan het verzoek afkomstig is, is goedgekeurd door de domeinbeheerder.

device.encryption_status == DeviceEncryptionStatus.ENCRYPTED && (origin.region_code in ["US"] || device.is_admin_approved_device)

Zie Voorbeelden van contextbewuste toegang voor de geavanceerde modus voor meer voorbeelden.