מאפיינים של רמת גישה

רמות הגישה מגדירות מאפיינים שונים שמשמשים לסינון בקשות שמוגשות למשאבים מסוימים. בטבלה הבאה מפורטים המאפיינים שנתמכים ברמות הגישה, ומוצגים פרטים נוספים על כל מאפיין.

כשיוצרים או משנים רמת גישה באמצעות כלי שורת הפקודה gcloud, צריך לעצב את המאפיינים ב-YAML. הטבלה הזו כוללת את תחביר ה-YAML לכל מאפיין ואת הערכים התקינים. נכללים גם קישורים למידע על REST ו-RPC לכל מאפיין.

מידע נוסף על רמות גישה ו-YAML זמין בדוגמה ל-YAML של רמת גישה.

אפשר לכלול את המאפיינים הבאים ברמת הגישה:

• רשתות משנה של כתובות IP

• מיקומים גיאוגרפיים

• תלות ברמת הגישה

• חשבונות משתמש

• מדיניות המכשיר

מאפיינים
רשתות משנה של כתובות IP	תיאור בודק אם בקשה מגיעה מאחד או יותר בלוקים של IPv4 ו/או IPv6 CIDR שציינתם. כשמציינים יותר מרשת משנה אחת של כתובות IP, הערכים שמוזנים משולבים באמצעות אופרטור OR כשמבצעים הערכה של התנאי. כדי שהתנאי יחזיר ערך True, הבקשה צריכה להתאים לאחד מהערכים שציינתם. YAML ipSubnetworks ערכים אפשריים רשימה של בלוקים מסוג IPv4 או IPv6 CIDR, או שילוב של שניהם. הפניית API REST RPC
מיקומים גיאוגרפיים	תיאור הפונקציה בודקת אם בקשה הגיעה ממיקום גיאוגרפי ספציפי. המיקומים הגיאוגרפיים מזוהים באמצעות קודי ISO 3166-1 alpha-2 המתאימים. שימו לב: המקור של הבקשה נקבע לפי המיקום הגיאוגרפי של כתובת ה-IP שממנה נשלחה הבקשה. לכן, מאפיין המיקום הגיאוגרפי פועל רק לבקשות שמקורן בכתובת IP ציבורית. אי אפשר לבצע מיקום גיאוגרפי של כתובות IP פרטיות, ולכן רמות גישה שמחייבות מיקום גיאוגרפי תמיד ידחו בקשות מכתובות IP פרטיות ולא תומכות בבקשות שמתבצעות באמצעות גישה פרטית ל-Google. כשמציינים יותר ממיקום גיאוגרפי אחד, המערכת משתמשת באופרטור OR כדי להעריך את התנאי. המשתמשים מקבלים גישה אם הם נמצאים באחד מהמיקומים הגיאוגרפיים שציינתם. הערה: אם משתמש מתחבר למשאבים שלכם דרך VPN, ‏ Access Context Manager קובע את הגישה על סמך המיקום הגיאוגרפי הנגזר של כתובת ה-IP הציבורית של שרת ה-VPN, ולא על סמך המיקום הפיזי בפועל של המשתמש. לכן, אם כתובת ה-IP של שרת ה-VPN ממופה לאזור מותר, הבקשה מאושרת, ללא קשר למיקום הפיזי של המשתמש. כדי לשפר את האבטחה בסביבות עם דרישות אבטחה גבוהות, מומלץ להוסיף לאותות של כללים שמבוססים על אזור אותות נוספים, כמו תאימות המכשיר. YAML regions ערכים אפשריים רשימה של קוד אחד או יותר של ISO 3166-1 alpha-2. הפניית API REST RPC
תלות ברמת הגישה	תיאור הפונקציה בודקת אם בקשה עומדת בקריטריונים של רמת גישה אחת או יותר. YAML requiredAccessLevels ערכים אפשריים רשימה של רמות גישה קיימות, אחת או יותר, בפורמט הבא: accessPolicies/POLICY-NAME/accessLevels/LEVEL-NAME כאשר: ‫POLICY-NAME הוא השם המספרי של מדיניות הגישה של הארגון. ‫LEVEL-NAME הוא שם רמת הגישה שרוצים להוסיף כתלות. הפניית API REST RPC
חשבונות משתמש	תיאור בודקת אם בקשה מגיעה ממשתמש ספציפי או מחשבון שירות. אפשר לכלול את המאפיין הזה בתנאים רק כשיוצרים או משנים רמת גישה באמצעות כלי שורת הפקודה gcloud או באמצעות Access Context Manager API. אם יצרתם רמת גישה באמצעות מסוף Google Cloud , תוכלו להשתמש באחת מהשיטות שצוינו קודם כדי להוסיף גורמים לרמת הגישה הזו. YAML members ערכים אפשריים רשימה של חשבון משתמש אחד או יותר או חשבונות שירות, בפורמט הבא: user: EMAIL serviceAccount: EMAIL כאשר: ‫EMAIL היא כתובת האימייל שמתאימה למשתמש או לחשבון השירות שרוצים לכלול ברמת הגישה. אין תמיכה בקבוצות. הפניית API REST RPC
מדיניות המכשיר	דרישות כדי להשתמש במאפייני מדיניות המכשיר במכשירים ניידים, צריך להגדיר MDM לארגון. כדי להשתמש במאפייני מדיניות המכשיר במכשירים אחרים, צריך להפעיל את Endpoint Verification. תיאור מדיניות ברמת המכשיר היא אוסף של מאפיינים שמשמשים לסינון בקשות על סמך מידע על המכשיר שממנו הבקשה נשלחה. לדוגמה, מאפייני מדיניות המכשיר משמשים בשילוב עם שרת proxy לאימות זהויות כדי לתמוך בבקרת גישה מבוססת-הקשר. YAML devicePolicy ערכים אפשריים ‫devicePolicy היא רשימה של מאפיין אחד או יותר של מדיניות מכשיר. אלה המאפיינים הנתמכים: נדרשת נעילת מסך הצפנת אחסון נדרש אישור אדמין נדרש מכשיר בבעלות החברה מדיניות OS אפשר להשתמש רק במאפיינים מסוימים של מדיניות מכשיר במכשירים ניידים. בשורה Supports mobile devices (תמיכה במכשירים ניידים) מצוין אם אפשר להשתמש במאפיין במכשירים ניידים. הפניית API REST RPC מאפיינים של מדיניות המכשיר נדרשת נעילת מסך תיאור בודק אם נעילת המסך מופעלת במכשיר. תמיכה במכשירים ניידים כן YAML requireScreenlock ערכים אפשריים true false אם לא מציינים ערך, ברירת המחדל היא false. הפניית API REST RPC הצפנת אחסון תיאור בודק אם המכשיר מוצפן, לא מוצפן או שלא תומך בהצפנת אחסון. תמיכה במכשירים ניידים כן חשוב: כדי שמכשיר iOS יעמוד בדרישות של המאפיין 'הצפנת אחסון', צריך להפעיל במכשיר נעילת מסך. YAML allowedEncryptionStatuses ערכים אפשריים אחד או יותר מהערכים הבאים: ENCRYPTION_UNSUPPORTED ENCRYPTED UNENCRYPTED הפניית API REST RPC נדרש אישור אדמין תיאור בודקת אם המכשיר אושר על ידי אדמין. תמיכה במכשירים ניידים כן YAML requireAdminApproval ערכים אפשריים true false אם לא מציינים ערך, ברירת המחדל היא false. הפניית API ללא נדרש מכשיר בבעלות החברה תיאור בודק אם המכשיר נמצא בבעלות של הארגון שלכם. תמיכה במכשירים ניידים כן YAML requireCorpOwned ערכים אפשריים true false אם לא מציינים ערך, ברירת המחדל היא false. הפניית API ללא מדיניות OS תיאור בודקת אם במכשיר נעשה שימוש במערכת הפעלה שצוינה. בנוסף, אפשר לציין גרסה מינימלית של מערכת הפעלה שבה המכשיר חייב להשתמש. אם יוצרים מדיניות לגבי ChromeOS, אפשר גם לציין שהיא צריכה להיות גרסה מאומתת של ChromeOS . כשבוחרים יותר ממערכת הפעלה אחת, הערכים שנבחרו מחוברים באופרטור OR כשבודקים את התנאי. המשתמשים מקבלים גישה אם יש להם אחת ממערכות ההפעלה שציינתם. תמיכה במכשירים ניידים כן YAML osConstraints ערכים אפשריים ‫osConstraints היא רשימה שחייבת לכלול מופע אחד או יותר של osType. אפשר לשלב את osType עם מופע של minimumVersion, אבל minimumVersion לא נדרש. הפרמטר osType חייב לכלול רשימה של אחד או יותר מהערכים הבאים: DESKTOP_MAC DESKTOP_WINDOWS DESKTOP_CHROME_OS DESKTOP_LINUX IOS ANDROID הערך minimumVersion הוא אופציונלי. אם משתמשים בפרמטר הזה, צריך לכלול אותו עם osType. ‫minimumVersion חייב לכלול גרסת מינימום בפורמט MAJOR.MINOR.PATCH. לדוגמה: 10.5.301. אם מציינים DESKTOP_CHROME_OS עבור osType, אפשר גם לכלול את requireVerifiedChromeOs. הערכים התקינים של requireVerifiedChromeOs הם: true false אם מציינים IOS או ANDROID עבור osType, אפשר גם לכלול מאפיין של מדיניות מכשיר שתומך במכשירים ניידים. הפניית API REST RPC