存取層級屬性

存取層級可定義各種屬性，這些屬性用來篩選對特定資源提出的要求。下表列出存取層級支援的屬性，並提供各屬性的詳細資料。

使用 gcloud 指令列工具建立或修改存取層級時，必須以 YAML 格式設定屬性。這個表格包含各項屬性的 YAML 語法和有效值。並且也會針對各項屬性提供 REST 和 RPC 參考資料的連結。

如要進一步瞭解存取層級和 YAML，請參閱存取層級的 YAML 範例。

您可在存取層級納入下列屬性：

• IP 子網路

• 地理位置

• 存取層級依附元件

• 主體

• 裝置政策

屬性
IP 子網路	說明 檢查要求是否來自您指定的一或多個 IPv4 和/或 IPv6 CIDR 區塊。 指定多個 IP 子網路時，系統評估條件時會使用 OR 運算子合併輸入的值。要求必須與您指定的任一值相符，條件才會評估為 true。 YAML ipSubnetworks 有效值 一或多個 IPv4 和/或 IPv6 CIDR 區塊的清單。 API 參考資料 REST RPC
地理位置	說明 檢查要求是否來自特定地理位置。地理位置會以對應的 ISO 3166-1 alpha-2 代碼識別。 注意：系統會根據要求來源 IP 位址的地理位置，判斷要求來源。因此，地理位置屬性僅適用於來自公開 IP 位址的要求。 由於私人 IP 位址無法進行地理位置定位，因此需要地理位置的存取層級一律會拒絕來自私人 IP 位址的要求，且不支援使用 Private Google Access 提出的要求。 指定多個地理位置時，系統會在評估條件時，對您輸入的值執行 OR 運算。如果使用者位於您指定的其中一個地理位置，就會獲得存取權。 注意：如果使用者透過 VPN 連線至資源，Access Context Manager 會根據 VPN 伺服器公開 IP 位址的衍生地理位置判斷存取權，而非使用者的實際地理位置。因此，如果 VPN 伺服器的 IP 位址對應至允許的區域，無論使用者實際位於何處，系統都會允許要求。為協助改善高安全性環境的安全性，建議您使用裝置合規性等額外信號，補充區域式規則。 YAML regions 有效值 一或多個 ISO 3166-1 alpha-2 代碼的清單。 API 參考資料 REST RPC
存取層級依附元件	說明 檢查要求是否符合一或多個存取層級的條件。 YAML requiredAccessLevels 有效值 一或多個現有存取層級的清單，格式如下： accessPolicies/POLICY-NAME/accessLevels/LEVEL-NAME 其中： POLICY-NAME 是組織存取權政策的數字名稱。 LEVEL-NAME 是要新增為依附元件的存取層級名稱。 API 參考資料 REST RPC
主體	說明 檢查要求是否來自特定使用者或服務帳戶。 使用 gcloud 指令列工具或 Access Context Manager API 建立或修改存取層級時，只能在條件中加入這項屬性。如果您使用 Google Cloud 控制台建立存取層級，則可使用上述任一方法，將主體新增至該存取層級。 YAML members 有效值 一或多個使用者或服務帳戶的清單，格式如下： user: EMAIL serviceAccount: EMAIL 其中： EMAIL 是要納入存取層級的使用者或服務帳戶對應的電子郵件。 不支援群組。 API 參考資料 REST RPC
裝置政策	規定 如要搭配行動裝置使用裝置政策屬性，您必須為貴機構設定 MDM。 如要將裝置政策屬性用於其他裝置，必須啟用 端點驗證。 說明 裝置政策是 一組屬性，可根據要求來源裝置的相關資訊篩選要求。 舉例來說，裝置政策屬性會與 Identity-Aware Proxy 搭配使用，以支援情境感知存取權。 YAML devicePolicy 有效值 devicePolicy 是一或多項裝置政策屬性的清單。以下是支援的屬性： 要求螢幕鎖定 儲存空間加密 需要管理員核准 需要公司自有裝置 OS 政策 只有特定裝置政策屬性可與行動裝置搭配使用。「支援行動裝置」列會指出屬性是否可用於行動裝置。 API 參考資料 REST RPC 裝置政策屬性 要求螢幕鎖定 說明 檢查裝置是否已啟用螢幕鎖定。 支援行動裝置 是 YAML requireScreenlock 有效值 true false 如省略，則預設為 false。 API 參考資料 REST RPC 儲存空間加密 說明 檢查裝置是否已加密、未加密，或不支援儲存空間加密。 支援行動裝置 是 重要事項：iOS 裝置必須啟用螢幕鎖定功能，才能滿足儲存空間加密屬性。 YAML allowedEncryptionStatuses 有效值 下列其中一個或多個值： ENCRYPTION_UNSUPPORTED ENCRYPTED UNENCRYPTED API 參考資料 REST RPC 必須取得管理員核准 說明 檢查裝置是否已獲管理員核准。 支援行動裝置 是 YAML requireAdminApproval 有效值 true false 如省略，則預設為 false。 API 參考資料 無 需要公司自有裝置 說明 檢查裝置是否為貴企業所有。 支援行動裝置 是 YAML requireCorpOwned 有效值 true false 如省略，則預設為 false。 API 參考資料 無 OS 政策 說明 檢查裝置是否使用指定的作業系統。此外，您也可以指定裝置必須使用的最低 OS 版本。 如果您建立 ChromeOS 政策，也可以指定必須是 已驗證的 ChromeOS。 如果選取多個作業系統，系統會在評估條件時，以「OR」邏輯運算子連結所選值。只要使用者搭載您指定的其中一種作業系統，系統就會授予他們存取權。 支援行動裝置 是 YAML osConstraints 有效值 osConstraints 是清單，必須包含一或多個 osType 例項。osType 可與 minimumVersion 的例項配對，但 minimumVersion 並非必要。 osType 必須包含下列一或多個值的清單： DESKTOP_MAC DESKTOP_WINDOWS DESKTOP_CHROME_OS DESKTOP_LINUX IOS ANDROID GOOGLEBOOK_OS minimumVersion 為選用項目。如要使用，則必須與 osType 一併加入。 minimumVersion 必須包含格式為 MAJOR.MINOR.PATCH 的最低版本。 例如：10.5.301。 如果為 osType 指定 DESKTOP_CHROME_OS，可以選擇加入 requireVerifiedChromeOs。 requireVerifiedChromeOs 的有效值如下： true false 如果您為 osType 指定 IOS 或 ANDROID，可以選擇加入支援行動裝置的任何裝置政策屬性。 API 參考資料 REST RPC