מאפיינים של רמת גישה

רמות הגישה מגדירות מאפיינים שונים שמשמשים לסינון בקשות שנשלחות למשאבים מסוימים. בטבלה הבאה מפורטים המאפיינים שנתמכים ברמות גישה, ומוצגים פרטים נוספים על כל מאפיין.

כשיוצרים או משנים רמת גישה באמצעות כלי שורת הפקודה gcloud, צריך להגדיר את המאפיינים בפורמט YAML. בטבלה הזו מפורט תחביר ה-YAML לכל מאפיין, וגם הערכים התקינים. נכללים גם קישורים למידע על REST ו-RPC לכל מאפיין.

מידע נוסף על רמות גישה ו-YAML זמין בדוגמה ל-YAML של רמת גישה.

אפשר לכלול את המאפיינים הבאים ברמת הגישה:

• רשתות משנה של כתובות IP

• מיקומים גיאוגרפיים

• thought תלויות ברמת הגישה

• חשבונות משתמשים

• מדיניות המכשיר

מאפיינים
רשתות משנה של כתובות IP	תיאור הפונקציה בודקת אם בקשה מגיעה מאחד או יותר מבלוקי CIDR של IPv4 או IPv6 שצוינו. כשמציינים יותר מרשת משנה אחת של כתובות IP, הערכים שמזינים משולבים באמצעות אופרטור OR כשהתנאי נבדק. כדי שהתנאי יחזיר ערך true, הבקשה צריכה להתאים לאחד מהערכים שציינתם. YAML ipSubnetworks ערכים תקינים רשימה של בלוקים של CIDR מסוג IPv4 או IPv6, או שילוב של שניהם. מאמרי העזרה של ה-API REST RPC
מיקומים גיאוגרפיים	תיאור בודקת אם בקשה הגיעה ממיקום גיאוגרפי ספציפי. מיקומים גיאוגרפיים מזוהים לפי קודי ISO 3166-1 alpha-2 המתאימים. שימו לב: המקור של הבקשה נקבע לפי המיקום הגיאוגרפי של כתובת ה-IP שממנה הבקשה נשלחה. לכן, מאפיין המיקום הגיאוגרפי פועל רק עבור בקשות שמקורן בכתובת IP ציבורית. אי אפשר לאתר את המיקום הגיאוגרפי של כתובות IP פרטיות, ולכן רמות גישה שדורשות מיקום גיאוגרפי תמיד ידחו בקשות מכתובות IP פרטיות, ולא תומכות בבקשות שבוצעו באמצעות גישה פרטית ל-Google. כשמציינים יותר ממיקום גיאוגרפי אחד, הערכים שמזינים נבדקים באמצעות האופרטור הלוגי OR. המשתמשים מקבלים גישה אם הם נמצאים באחד מהמיקומים הגיאוגרפיים שציינתם. הערה: אם משתמש מתחבר למשאבים שלכם דרך VPN, ‏ Access Context Manager קובע את הגישה על סמך המיקום הגיאוגרפי הנגזר של כתובת ה-IP הציבורית של שרת ה-VPN, ולא על סמך המיקום הפיזי בפועל של המשתמש. לכן, אם כתובת ה-IP של שרת ה-VPN ממופה לאזור מותר, הבקשה תאושר, בלי קשר למיקום הפיזי של המשתמש. כדי לשפר את האבטחה בסביבות עם דרישות אבטחה גבוהות, מומלץ להוסיף לכללים שמבוססים על אזור אותות נוספים, כמו תאימות המכשיר. YAML regions ערכים תקינים רשימה של קוד אחד או יותר לפי תקן ISO 3166-1 alpha-2. מאמרי העזרה של ה-API REST RPC
תלות ברמת הגישה	תיאור הפונקציה בודקת אם בקשה עומדת בקריטריונים של רמת גישה אחת או יותר. YAML requiredAccessLevels ערכים תקינים רשימה של רמת גישה אחת או יותר בפורמט הבא: accessPolicies/POLICY-NAME/accessLevels/LEVEL-NAME כאשר: ‫POLICY-NAME הוא השם המספרי של מדיניות בקרת הגישה של הארגון. ‫LEVEL-NAME הוא שם רמת הגישה שרוצים להוסיף כתלות. מאמרי העזרה של ה-API REST RPC
חשבונות משתמשים	תיאור בודקת אם בקשה מגיעה ממשתמש ספציפי או מחשבון שירות. אפשר לכלול את המאפיין הזה בתנאים רק כשיוצרים או משנים רמת גישה באמצעות כלי שורת הפקודה gcloud או Access Context Manager API. אם יצרתם רמת גישה באמצעות מסוף Google Cloud , אתם יכולים להשתמש בכל אחת מהשיטות שצוינו קודם כדי להוסיף חשבונות משתמשים לרמת הגישה הזו. YAML members ערכים תקינים רשימה של חשבון משתמש או חשבון שירות אחד או יותר, בפורמט הבא: user: EMAIL serviceAccount: EMAIL כאשר: ‫EMAIL היא כתובת האימייל שמתאימה למשתמש או לחשבון השירות שרוצים לכלול ברמת הגישה. אין תמיכה בקבוצות. מאמרי העזרה של ה-API REST RPC
מדיניות המכשיר	דרישות כדי להשתמש במאפייני מדיניות המכשיר במכשירים ניידים, צריך להגדיר MDM לארגון. כדי להשתמש במאפייני מדיניות המכשיר במכשירים אחרים, צריך להפעיל את Endpoint Verification. תיאור מדיניות מכשיר היא אוסף של מאפיינים שמשמשים לסינון בקשות על סמך מידע על המכשיר שממנו נשלחה הבקשה. לדוגמה, מאפייני מדיניות המכשיר משמשים בשילוב עם שרת proxy לאימות זהויות (IAP) כדי לתמוך בבקרת גישה מבוססת-הקשר. YAML devicePolicy ערכים תקינים ‫devicePolicy היא רשימה של מאפיין אחד או יותר של מדיניות המכשיר. אפשר להשתמש במאפיינים הבאים: דרישה לנעילת מסך הצפנת אחסון נדרש אישור אדמין דרישה למכשיר בבעלות החברה מדיניות מערכת ההפעלה אפשר להשתמש רק במאפיינים מסוימים של מדיניות המכשיר במכשירים ניידים. בשורה Supports mobile devices (תמיכה במכשירים ניידים) מצוין אם אפשר להשתמש במאפיין במכשירים ניידים. מאמרי העזרה של ה-API REST RPC מאפייני מדיניות המכשיר דרישה לנעילת מסך תיאור בודקת אם נעילת המסך מופעלת במכשיר. תמיכה במכשירים ניידים כן YAML requireScreenlock ערכים תקינים true false אם לא מציינים ערך, ברירת המחדל היא false. מאמרי העזרה של ה-API REST RPC הצפנת אחסון תיאור בודק אם המכשיר מוצפן, לא מוצפן או לא תומך בהצפנת אחסון. תמיכה במכשירים ניידים כן חשוב: כדי שמכשיר iOS יעמוד בדרישות של מאפיין הצפנת האחסון, צריך להפעיל במכשיר נעילת מסך. YAML allowedEncryptionStatuses ערכים תקינים אחד או יותר מהערכים הבאים: ENCRYPTION_UNSUPPORTED ENCRYPTED UNENCRYPTED מאמרי העזרה של ה-API REST RPC נדרש אישור אדמין תיאור בדיקה אם המכשיר אושר על ידי אדמין. תמיכה במכשירים ניידים כן YAML requireAdminApproval ערכים תקינים true false אם לא מציינים ערך, ברירת המחדל היא false. מאמרי העזרה של ה-API ללא דרישה למכשיר בבעלות החברה תיאור בדיקה אם המכשיר נמצא בבעלות הארגון שלך. תמיכה במכשירים ניידים כן YAML requireCorpOwned ערכים תקינים true false אם לא מציינים ערך, ברירת המחדל היא false. מאמרי העזרה של ה-API ללא מדיניות OS תיאור בדיקה אם במכשיר פועלת מערכת הפעלה מסוימת. בנוסף, אפשר לציין גרסה מינימלית של מערכת הפעלה שחובה להשתמש בה במכשיר. אם יוצרים מדיניות ל-ChromeOS, אפשר גם לציין שהמכשיר חייב להיות ChromeOS מאומת . כשבוחרים יותר ממערכת הפעלה אחת, הערכים שנבחרו נבדקים באמצעות האופרטור הלוגי OR. המשתמשים מקבלים גישה אם יש להם אחת ממערכות ההפעלה שציינתם. תמיכה במכשירים ניידים כן YAML osConstraints ערכים תקינים ‫osConstraints היא רשימה שחייבת לכלול מופע אחד או יותר של osType. אפשר לשלב את osType עם מופע של minimumVersion, אבל minimumVersion לא נדרש. הפרמטר osType חייב לכלול רשימה של אחד או יותר מהערכים הבאים: DESKTOP_MAC DESKTOP_WINDOWS DESKTOP_CHROME_OS DESKTOP_LINUX IOS ANDROID GOOGLEBOOK_OS השדה minimumVersion הוא אופציונלי. אם משתמשים בו, צריך לכלול אותו עם osType. ‫minimumVersion חייב לכלול גרסה מינימלית בפורמט MAJOR.MINOR.PATCH. לדוגמה: 10.5.301. אם מציינים DESKTOP_CHROME_OS עבור osType, אפשר גם לכלול את requireVerifiedChromeOs. הערכים התקינים של requireVerifiedChromeOs הם: true false אם מציינים IOS או ANDROID עבור osType, אפשר גם לכלול כל מאפיין של מדיניות מכשירים שתומך במכשירים ניידים. מאמרי העזרה של ה-API REST RPC