Specifica del livello di accesso personalizzato
Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Questa pagina descrive in dettaglio gli oggetti e gli attributi utilizzati per creare le espressioni Common Expression Language (CEL) per i livelli di accesso personalizzati. Sono inclusi alcuni esempi.
Contiene attributi basati sul tempo che puoi utilizzare per limitare l'accesso alle risorse in base all'ora del giorno, al giorno della settimana o a un intervallo di date specifico.
Contiene attributi relativi alla chiamata API stessa, distinti da utente, dispositivo o rete.
Attributi origin
Questa sezione elenca gli attributi supportati dall'oggetto origin.
Attributi
ip
Tipo
string
Descrizione
L'indirizzo IP da cui ha avuto origine la richiesta. Se non è possibile determinare l'indirizzo IP, origin.ip restituisce un errore. Ti consigliamo di utilizzare inIpRange per verificare se l'indirizzo IP di origine rientra in un intervallo di indirizzi IP specifico, anziché eseguire un confronto di stringhe.
Esempio:
inIpRange(origin.ip,["203.0.113.24"])
region_code
Tipo
string
Descrizione
Il codice ISO 3166-1 alpha-2 per il paese o la regione da cui ha avuto origine la richiesta. Se non è possibile determinare
il codice regione, origin.region_code restituisce
un errore.
Questa sezione elenca gli attributi supportati dall'oggetto request.auth.
Attributi
principal
Tipo
string, list(string)
Descrizione
L'ID univoco dell'utente che ha inviato la richiesta.
Il valore di request.auth.principal deve essere uno o più ID utente univoci. Gli UUID possono essere ottenuti utilizzando l'API Directory dell'SDK Admin.
Il valore deve essere nel seguente formato:
https://accounts.google.com/UUID
In questa sezione sono elencati gli attributi supportati dall'oggetto levels.
Attributi
LEVEL_NAME
Tipo
boolean
Descrizione
levels.LEVEL_NAME corrisponde al nome di un livello di accesso esistente.
Se utilizzato, le condizioni del livello di accesso specificato devono
essere soddisfatte anche in aggiunta agli altri requisiti del livello di accesso
personalizzato.
Esempio:
levels.allow_corp_ips
Dove allow_corp_ips è il nome di un livello di accesso.
Attributo device
In questa sezione sono elencati gli attributi supportati dall'oggetto device. Se non viene trovato alcun dispositivo associato agli identificatori nella richiesta, tutti i seguenti attributi genereranno un errore.
Attributi
encryption_status
Tipo
enum
Descrizione
Descrive lo stato della crittografia del dispositivo.
Valori enum:
enumDeviceEncryptionStatus{// The encryption status of the device is not specified or not known.ENCRYPTION_UNSPECIFIED==0;// The device does not support encryption.ENCRYPTION_UNSUPPORTED==1;// The device supports encryption, but is currently unencrypted.UNENCRYPTED==2;// The device is encrypted.ENCRYPTED==3;}
Indica se il dispositivo è stato approvato dall'amministratore di dominio.
Esempio:
device.is_admin_approved_device==true
is_corp_owned_device
Tipo
boolean
Descrizione
Se il dispositivo è di proprietà dell'organizzazione.
Esempio:
device.is_corp_owned_device==true
is_secured_with_screenlock
Tipo
boolean
Descrizione
Indica se sul dispositivo è attiva la funzione di blocco schermo.
Esempio:
device.is_secured_with_screenlock==true
os_type
Tipo
enum
Descrizione
Identifica il sistema operativo utilizzato dal dispositivo.
Valori enum:
enumOsType{// The operating system of the device is not specified or not known.OS_UNSPECIFIED==0;// A desktop Mac operating system.DESKTOP_MAC==1;// A desktop Windows operating system.DESKTOP_WINDOWS==2;// A desktop Linux operating system.DESKTOP_LINUX==3;// An Android operating system.ANDROID==4;// An iOS operating system.IOS==5;// A desktop ChromeOS operating system.DESKTOP_CHROME_OS==6;// A Googlebook operating system.GOOGLEBOOK_OS==8;}
L'oggetto vendors viene utilizzato per accedere ai dati forniti da fornitori di terze parti di sicurezza e gestione degli endpoint. Ogni fornitore può compilare tre attributi condivisi di primo livello: is_compliant_device, is_managed_device e device_health_score.
Inoltre, i fornitori possono fornire le proprie chiavi e i propri valori, a cui viene fatto riferimento utilizzando l'attributo data.
Le chiavi disponibili per l'attributo data variano
da fornitore a fornitore. Assicurati di mantenere la coerenza quando confronti il valore della chiave nell'espressione dei criteri. Ad esempio, se prevedi che il valore della chiave sia una stringa o un valore booleano, assicurati di confrontarlo con una stringa o un valore booleano nell'espressione della policy corrispondente. Tieni presente che quando il valore è un numero intero, devi confrontarlo con un numero decimale nell'espressione della policy.
Per fare riferimento allo stato del dispositivo, utilizza il formato key-acme, dove acme è l'ID cliente dell'organizzazione. Puoi recuperare l'ID cliente dall'URL di GET https://www.googleapis.com/admin/directory/v1/customers/my_customer. Il campo ID nella risposta contiene l'ID cliente che inizia con la lettera C. Utilizza la stringa dopo la lettera C, esclusa la lettera C, per l'ID cliente.
Valori enum:
// Health score of the device as provided by the vendor (possibly third party).enumDeviceHealthScore{// The health score for the device is not specified or unknown.DEVICE_HEALTH_SCORE_UNSPECIFIED=0;// The health of the device is very poor.VERY_POOR=1;// The health of the device is poor.POOR=2;// The health of the device is ok.NEUTRAL=3;// The health of the device is good.GOOD=4;// The health of the device is very good.VERY_GOOD=5;}
Indica se il browser è gestito, a livello di browser o di profilo, e dall'azienda nel dominio corretto.
Un browser è considerato gestito se i criteri vengono gestiti e applicati centralmente e se il dominio del browser o del profilo gestito corrisponde al dominio previsto sul lato server.
Di seguito sono riportati gli stati di gestione di Chrome disponibili:
Stato
UNMANAGED
Il browser o il profilo non è gestito da alcun cliente.
MANAGED_BY_OTHER_DOMAIN
Il browser o il profilo è gestito da un altro cliente.
Un elenco dei certificati aziendali associati al dispositivo. Questo attributo viene utilizzato con le macro per eseguire l'iterazione dei certificati e controllarne le proprietà, ad esempio la validità.
Esempio:
// Checks if the device has at least one valid enterprise certificate.device.certificates.exists(cert,cert.is_valid==true)
Attributi api
In questa sezione sono elencati gli attributi supportati dall'oggetto api.
Attributi
mcp.is_mcp
Tipo
boolean
Descrizione
Indica se la chiamata API viene effettuata da un servizio MCP.
Esempio:
api.mcp.is_mcp==true
mcp.tool.is_read_only
Tipo
boolean
Descrizione
Indica se la chiamata dello strumento MCP è in modalità di sola lettura.
Esempio:
api.mcp.tool.is_read_only==true
Funzioni
Gestore contesto accesso fornisce le seguenti funzioni da utilizzare nelle espressioni CEL per i livelli di accesso personalizzati.
Funzioni
inIpRange(address, [SUBNETS])
Tipo
(string, list(string)) -> boolean
Descrizione
Controlla se un indirizzo IP appartiene a una delle subnet specificate.
Verifica se il sistema operativo del dispositivo è almeno una determinata
versione. Ti consigliamo di utilizzare questa funzione con l'attributo device.os_type.
Esempio:
device.versionAtLeast("10.0")==true
certificateBindingState(origin, device)
Tipo
(Peer, DeviceType) -> integer
Descrizione
Controlla se il certificato client associato all'origine corrisponde al dispositivo e segnala lo stato.
Lo stato restituito dalla funzione può essere uno dei seguenti:
Verifica se l'operando della stringa inizia con l'argomento del prefisso.
Esempio:
"Sample string".startsWith("Sample")
endsWith()
Tipo
string.(string) -> bool
Descrizione
Verifica se l'operando stringa termina con l'argomento suffisso.
Esempio:
"Sample string".endsWith("string")
origin.clientCertFingerprint()
Tipo
Origin.() -> string
Descrizione
Restituisce l'impronta del certificato associato all'origine. Puoi utilizzarlo nelle macro per testare i certificati dei dispositivi.
Esempio:
// Checks if the enterprise certificate associated with the origin matches the device.device.certificates.exists(cert,cert.is_valid && cert.cert_fingerprint==origin.clientCertFingerprint())
originatesFromProjects(origin, [PROJECT_LIST])
Tipo
(Origin, list(string)) -> boolean
Descrizione
Verifica se la richiesta proviene da un progetto Google Cloud specifico o dai relativi progetti tenant.
Vincoli: sono supportati solo i numeri di progetto (ad esempio "projects/1234567890"). Gli ID progetto alfanumerici non sono consentiti.
Esempio:
Per consentire le richieste solo dal progetto projects/1234567890 o projects/9876543210:
Controlla se la richiesta proviene da una rete associata allo stesso progetto Google Cloud o a un progetto tenant associato, che possiede l'identità del workload chiamante.
Un'identità del workload è un'identità non umana che appartiene a un progetto Google Cloud , ad esempio un account di servizio, un'identità di federazione delle identità per i workload, un'identità del workload gestita o un'identità dell'agente.
Esempio:
Per consentire le richieste solo quando il progetto di rete di origine (o i progetti tenant associati) corrisponde al progetto my-project, che possiede l'identità del workload chiamante:
request.auth.matchesNetworkProject(origin)
Macro per le espressioni CEL
Puoi utilizzare le seguenti macro nelle espressioni CEL per i livelli di accesso personalizzati:
Macro
Descrizione
has(e.f)
Verifica se un campo è disponibile. Per ulteriori dettagli, consulta Selezione dei campi. Esempio:
Verifica se un predicato è valido per tutti gli elementi di un elenco e o per le chiavi di una mappa e. In questo caso, x è un identificatore da utilizzare in p che si associa all'elemento o alla chiave. La macro all() combina i risultati del predicato per ciascun elemento con l'operatore and (&&), quindi se un predicato restituisce false, la macro restituisce false, ignorando eventuali errori di altri predicati. Esempio:
Restituisce false perché non tutti gli elementi sono maggiori di 1: [1,2,3].all(x, x > 1)
e.exists(x, p)
Come la macro all(), ma combina i risultati del predicato con l'operatore or (||). Esempio:
Restituisce true perché nell'elenco è presente almeno un elemento maggiore di 1: [1,2,3].exists(x, x > 1)
Controlla se il certificato aziendale associato al dispositivo corrisponde all'autorità di certificazione: device.certificates.exists(cert, cert.is_valid && cert.issuer == "EMAILADDRESS=test_inter1@beyondcorp.in, CN=inter_1, OU=BCEDemo_1, O=BCEDemo, L=NCR, ST=UP, C=IN")
e.exists_one(x, p)
Come la macro exists(), ma restituisce true solo se il predicato di un solo elemento o chiave restituisce true e il resto false. Qualsiasi altra combinazione di risultati booleani restituisce false e qualsiasi errore del predicato fa sì che la macro generi un errore. Esempio:
Questa restituisce false perché più di un elemento è maggiore di 1: [1,2,3].exists_one(x, x > 1)
Espressioni CEL di esempio
Questa sezione include esempi di espressioni CEL utilizzate per creare livelli di accesso personalizzati.
Questo esempio rappresenta un livello di accesso che richiede la conformità alle seguenti condizioni per consentire una richiesta:
Una delle seguenti condizioni è vera:
Il dispositivo da cui ha avuto origine la richiesta utilizza un sistema operativo Windows per computer ed è di proprietà della tua organizzazione.
Il dispositivo da cui ha avuto origine la richiesta utilizza un sistema operativo Mac desktop, è approvato dall'amministratore di dominio e utilizza almeno macOS 10.11.
Questo esempio rappresenta un livello di accesso che richiede la conformità alla seguente condizione per consentire una richiesta:
La funzione di estensione certificateBindingState determina che il certificato presentato al momento della richiesta corrisponde a uno dei certificati del dispositivo registrati quando il dispositivo è stato registrato in Verifica degli endpoint.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2026-10-15 UTC."],[],[]]
