Skapa kontextkänsliga åtkomstnivåer

1. Välj Åtkomstnivåer.
   Du ser en lista över definierade åtkomstnivåer. Åtkomstnivåer är en delad resurs mellan Google Workspace och Google Cloud så du ser kanske åtkomstnivåer som du inte har skapat i listan. Ange vilket team som skapat en åtkomstnivå genom att göra plattformen till en del av åtkomstnivånamnet.
2. Överst till höger väljer du Skapa åtkomstnivå.
   Grundläggande läge väljs som standard. Du definierar åtkomstnivån genom att lägga till ett eller flera villkor i den. Ange sedan respektive villkor genom att specificera ett eller flera attribut.

   Obs! Vi rekommenderar att du inte använder Google Cloud Platform-gränssnittet (GCP) för att lägga till eller ändra kontextkänsliga åtkomstnivåer om du är Workspace-baserad kund. Om du lägger till eller ändrar åtkomstnivåer med en annan metod än gränssnittet för kontextkänslig åtkomst kan det här felmeddelandet leda till att attribut som inte stöds används i Google Workspace och användarna kan blockeras.

3. Lägg till ett namn på åtkomstnivån och en valfri beskrivning.
4. För det åtkomstnivåvillkor du lägger till anger du om villkoret gäller när användare:
   • Attribut har uppfyllts — användarna måste uppfylla alla attribut i villkoret.
   • Attribut har inte uppfyllts – användarna uppfyller inte något av attributen i villkoret. Detta alternativ anger motsatsen för villkoret och används oftast för IP-delnätattribut. Om du till exempel anger ett IP-undernät och ”uppfyller inte” matchar endast användare med IP-adresser utanför det angivna intervallet villkoret.
5. Klicka på Lägg till attribut för att lägga till ett eller flera attribut till åtkomstnivåvillkoret. De attribut du kan lägga till är:
   • IP-delnät (offentligt) — IPv4- eller IPv6-adress eller ruttprefix i CIDR-blockformat.
     • Det här attributet har inte stöd för privata IP-adresser (inklusive användarens hemnätverk).
     • Statiska IP-adresser stöds.
     • Om du vill använda en dynamisk IP-adress måste du definiera ett statiskt IP-delnät för åtkomstnivån. Om du känner till intervallet för den dynamiska IP-adressen och den definierade statiska IP-adressen i åtkomstnivån täcker detta intervall beviljas åtkomst. Åtkomst nekas när den dynamiska IP-adressen inte finns i det definierade statiska IP-delnätet.
   • IP-delnät (privat) – gör att du kan definiera policyer för kontextkänslig åtkomst som inkluderar privata IP-delnät från VPC-miljöer (Virtual Private Cloud). För organisationer som använder VPC:er säkerställer det här attributet säker åtkomst till Workspace-tjänster och efterlevnad av dina definierade policyer för kontextkänslig åtkomst. Detta är särskilt viktigt för användare som får åtkomst till tjänster via VPC-infrastruktur och för Apps Script som är beroende av privata IP-adresser.
     • Om du vill använda det här attributet måste du ha behörighet i Google Cloud Console för att lista och visa nätverksresurser i Google Cloud och lämplig roll för identitets- och åtkomsthantering (IAM) (till exempel compute.networks.list, compute.subnetworks.list osv.).
     • Det här attributet är endast till för privata IP-delnät i hanterade VPC-miljöer. Den gäller inte för allmänna privata IP-adresser, till exempel sådana som finns i en användares hemnätverk eller andra privata intervall som inte är VPC.
     • Om du vill konfigurera det här attributet väljer du IP-subnät (privat) i verktyget för att skapa åtkomstnivåer. Du kan lägga till Google Cloud Console-projekt, deras kopplade VPC-nätverk och, om du vill, specifika VPC IP-undernätintervall. Du behöver inte konfigurera dessa åtkomstnivåer i Google Cloud Console.
     • När användaråtkomst utvärderas används den VPC som skickar trafik till Googles servrar (inte nödvändigtvis den VPC som begäran kommer från).
     • Administratörskonsolen har för närvarande stöd för redigering av VPC-namn och motsvarande subnät i fritext.
     • Om du använder VPC-tjänstkontroller för att skapa säkra gränser för dina Google Cloud-resurser gäller specifika begränsningar när du använder attributet IP-undernät (privat):
       • Du kan bara aktivera interna IP-adresser med grundläggande åtkomstnivåer. Om du vill använda privata IP-adresser på avancerade åtkomstnivåer skapar du en grundläggande åtkomstnivå med enbart villkor för privata IP-adresser och inkluderar den sedan i den avancerade åtkomstnivån.
       • Undvik att konfigurera åtkomstnivåer för att blockera interna IP-adresser eftersom det kan orsaka oväntat beteende.
       • En enskild åtkomstnivå kan inte kombinera offentliga och privata IP-attribut. Om du behöver båda skapar du separata åtkomstnivåer för var och en och kombinerar dem i en tredje åtkomstnivå.
   • Plats — länder/regioner där användaren har åtkomst till Google Workspace-tjänster. Enheter med interna IP-adresser stöds inte eftersom dessa IP-adresser inte är globalt unika.
   • Enhetspolicy (välj enbart de enhetspolicyer du behöver implementera) —
     • Administratörsgodkännande krävs (vid behov måste enheten godkännas)
     • En företagsägd enhet krävs
     • Skärmen är lösenordsskyddad

       Obs! För Windows OS kontrollerar det här attributet om inloggningsskärmen visas efter en tidsgräns för inaktivitet. Detta är sant om inställningen Kräv inloggning (i Inloggningsalternativ) eller inställningen Visa inloggningsskärmen vid återupptagande (i inställningarna för skärmsläckare) är aktiverad. Den kontrollerar inte om lösenordet har angetts.

     • Enhetskryptering (stöds inte, inte krypterad, krypterad)
   • Enhetens operativsystem (användarna kan bara få åtkomst till Google Workspace med de operativsystem du väljer. Ange en lägsta version av operativsystemet eller tillåt valfri version. Använd formatet major.minor.patch för operativsystemversionen) —
     • macOS
     • Windows
     • Linux
     • Chrome OS
     • iOS
     • Android
   • Åtkomstnivå – måste uppfylla kraven på en befintlig åtkomstnivå.
6. Om du vill lägga till ett annat villkor på åtkomstnivån klickar du på Lägg till villkor och lägger till attribut till den.
7. Ange vilka villkor användarna måste uppfylla:
   • Och — användarna måste uppfylla det första villkoret och det tillagda villkoret.
   • Eller – användarna måste bara uppfylla ett av villkoren.
8. När du är klar med att lägga till åtkomstnivåvillkor sparar du åtkomstnivådefinitionen genom att klicka på Spara.
9. Välj vad du vill göra med åtkomstnivån:
   • Tilldela denna åtkomstnivå till appar.
   • Skapa en dataskyddsregel med den här åtkomstnivån. Om du väljer det här alternativet startas guiden för att skapa regler. Läs mer om att kombinera dataskyddsregler med kontextkänsliga åtkomstnivåer.

Exempel på åtkomstnivå – skapad i grundläggande läge

Detta exempel visar en åtkomstnivå som kallas corp_access. Om corp_access tillämpas på Gmail kan användarna bara få åtkomst till Gmail från en krypterad och företagsägd enhet och endast från USA eller Kanada.

Fler exempel finns i Exempel på kontextkänslig åtkomst för grundläggande läge.

I det här läget kan du skapa åtkomstnivåer som inte kan skapas i villkorsverktyget för kontextkänslig åtkomst. Exempel:

• Administratören kan behöva skapa åtkomstnivåer som inkluderar leverantörsvillkor för integrationer från tredje part.
• Vissa avancerade attribut är inte tillgängliga från gränssnittet för grundläggande läge, till exempel möjligheten att använda certifikatbaserad autentisering.

I det här läget skapar du den anpassade åtkomstnivån i ett redigeringsfönster med hjälp av CEL (Common Expression Language).

Så här definierar du åtkomstnivåer i avancerat läge:

1. Välj Åtkomstnivåer.
   Du ser en lista över definierade åtkomstnivåer. Åtkomstnivåer är en delad resurs mellan Google Workspace, Cloud Identity och Google Cloud så du ser kanske åtkomstnivåer som du inte har skapat i listan. Ange vilket team som skapat en åtkomstnivå genom att göra plattformen till en del av åtkomstnivånamnet.
2. Välj Skapa åtkomstnivå.
3. Välj Avancerat läge.
4. Lägg till ett namn på åtkomstnivån och en valfri beskrivning.
   Du definierar åtkomstnivån genom att skriva ett CEL-uttryck.
5. Skapa den anpassade åtkomstnivån i CEL-uttrycksredigeraren.
   För att göra det behöver du viss erfarenhet av CEL. Mer information om exempel på uttryck som stöds för att skapa anpassade åtkomstnivåer finns i specifikationen för anpassad åtkomstnivå .
6. Klicka på Spara.
   Uttrycket kompileras och eventuella syntaxfel rapporteras.
   • Om det inte finns några syntaxfel sparas den anpassade åtkomstnivån och du kan tilldela den till appar.
   • Om det finns syntaxfel visas meddelandet Åtgärda fel för att fortsätta med kompileringsfel (endast på engelska) för det uttryck du skapade. Du kan åtgärda felet och spara igen. När den anpassade åtkomstnivån inte innehåller några fel och har sparats kan du tilldela dessa åtkomstnivåer till appar.

Exempel på åtkomstnivå – skapad i avancerat läge

Detta exempel visar en åtkomstnivå som kräver att följande villkor är uppfyllda för att en begäran ska tillåtas:

• Den ursprungliga enheten är krypterad.
• Ett eller flera av följande villkor är uppfyllda:
  • Begäran kommer från USA.
  • Enheten som begäran kom från godkänns av domänadministratören.

device.encryption_status == DeviceEncryptionStatus.ENCRYPTED && (origin.region_code in ["US"] || device.is_admin_approved_device)

Fler exempel finns i Exempel på kontextkänslig åtkomst för avancerat läge.