Ringkasan Access Context Manager

Dokumen ini memberikan ringkasan umum tentang layanan Access Context Manager dan fungsinya. Google Cloud Administrator organisasi dapat menggunakan Access Context Manager untuk menentukan kontrol akses berbasis atribut yang terperinci untuk project dan resource di Google Cloud. Sebagai administrator, Anda harus menentukan kebijakan akses terlebih dahulu, yang merupakan container berskala organisasi untuk tingkat akses dan perimeter layanan.

Tingkat akses menjelaskan persyaratan yang harus dipenuhi agar permintaan dapat diproses. Contohnya mencakup:

• Jenis perangkat dan sistem operasi
• Alamat IP
• Identitas pengguna

Perimeter layanan menentukan sandbox resource. Resource dalam perimeter dapat bertukar data secara bebas, tetapi tidak dapat mengekspor data ke luar perimeter. Access Context Manager tidak bertanggung jawab atas penegakan kebijakan. Sebaliknya, Access Context Manager dirancang untuk menentukan aturan atau konteks tertentu. Kebijakan dikonfigurasi dan diterapkan di berbagai titik, seperti Kontrol Layanan VPC. Anda dapat membaca lebih lanjut layanan ini di panduan pengguna masing-masing.

Anda dapat mengonfigurasi dan menerapkan kebijakan Access Context Manager di seluruh komponen solusi Chrome Enterprise Premium berikut:

• Kontrol Layanan VPC
• Identity-Aware Proxy

• Akses Kontekstual untuk Google Workspace

• Kondisi Identity and Access Management (IAM)

Manfaat

Banyak perusahaan mengandalkan model keamanan perimeter seperti firewall untuk membantu mengamankan resource internal. Model keamanan perimeter dijaga ketat dengan satu titik masuk dan keluar. Apa pun yang berada di luar perimeter dianggap berbahaya. Apa pun yang ada di dalamnya dianggap tepercaya.

Firewall dan model keamanan perimeter berfungsi dengan baik jika ada batasan yang jelas di sekitar pengguna dan layanan tertentu. Namun, jika tenaga kerja bersifat seluler, variasi perangkat akan meningkat seiring pengguna membawa perangkat mereka sendiri (BYOD) dan memanfaatkan layanan berbasis cloud. Skenario ini menghasilkan vektor serangan tambahan yang tidak dipertimbangkan oleh model perimeter. Oleh karena itu, perimeter bukan lagi hanya lokasi fisik perusahaan, dan apa yang ada di dalamnya tidak dapat dianggap aman.

Anda dapat menggunakan Access Context Manager untuk mengurangi ukuran jaringan istimewa dan beralih ke model yang endpoint-nya tidak membawa otoritas ambien berdasarkan jaringan. Sebagai gantinya, Anda dapat memberikan akses berdasarkan konteks permintaan, seperti jenis perangkat, identitas pengguna, dan lainnya, sambil tetap memeriksa akses jaringan perusahaan jika diperlukan.

Access Context Manager adalah bagian integral dari upaya BeyondCorp di Google. Untuk informasi selengkapnya, lihat BeyondCorp.

Kebijakan akses

Kebijakan akses adalah container untuk semua resource Access Context Manager Anda, seperti tingkat akses dan perimeter layanan.

Anda dapat membuat kebijakan akses dalam konteks organisasi dan menggunakan kebijakan akses tingkat organisasi di mana saja dalam organisasi Anda. Untuk mendelegasikan administrasi kebijakan akses, Anda dapat membuat kebijakan akses tercakup dan menetapkan cakupan kebijakan di tingkat folder atau project. Administrator yang didelegasikan yang diberi kebijakan tercakup hanya dapat mengelola kebijakan akses tercakup, bukan kebijakan akses tingkat organisasi.

Kebijakan akses diberi versi menggunakan etag. Anda dapat menggunakan etag untuk menargetkan perubahan pada kebijakan akses, seperti modifikasi pada tingkat akses atau pada versi kebijakan tertentu. Jika beberapa sumber mengubah kebijakan akses Anda, penggunaan kolom etag untuk alat command line gcloud dan panggilan API akan membantu mencegah penimpaan dan konflik yang tidak diinginkan.

Untuk mempelajari cara membuat kebijakan akses, lihat Membuat kebijakan akses.

Tingkat akses

Tingkat akses digunakan untuk mengizinkan akses ke resource berdasarkan informasi kontekstual tentang permintaan. Dengan menggunakan tingkat akses, Anda dapat mulai mengatur tingkat kepercayaan. Misalnya, Anda dapat membuat tingkat akses bernama High_Level yang akan mengizinkan permintaan dari sekelompok kecil individu dengan hak istimewa tinggi. Anda juga dapat mengidentifikasi grup yang lebih umum untuk dipercaya, seperti rentang IP yang ingin Anda izinkan permintaannya. Dalam hal ini, Anda dapat membuat tingkat akses yang disebut Medium_Level untuk mengizinkan permintaan tersebut.

Setelah Anda menentukan tingkat akses, layanan penegakan dapat menggunakannya untuk menentukan apakah akan memenuhi permintaan atau tidak. Misalnya, Anda dapat menentukan bahwa, meskipun banyak resource tersedia untuk Medium_Trust, resource tertentu yang lebih sensitif memerlukan level High_Trust. Pemeriksaan ini diterapkan selain kebijakan IAM standar.

Tingkat akses dapat disesuaikan; tingkat akses High_Trust dan Medium_Trust adalah contohnya. Anda dapat menentukan beberapa tingkat akses sebagai bagian dari kebijakan akses.

Access Context Manager menyediakan dua cara untuk menentukan tingkat akses:

• Tingkat akses dasar terdiri dari kumpulan kondisi yang digunakan untuk menguji permintaan. Kondisi dapat ditentukan sebagai grup atribut yang ingin Anda uji, seperti jenis perangkat, alamat IP, atau identitas pengguna. Atribut digabungkan sebagai operasi AND (semua harus benar) atau operasi NAND (setidaknya satu harus salah) untuk menentukan apakah kondisi terpenuhi.

• Tingkat akses kustom dibuat menggunakan subset Common Expression Language. Selain konteks permintaan yang digunakan untuk tingkat akses dasar, Anda juga dapat menggunakan tingkat akses kustom untuk mengizinkan permintaan berdasarkan data dari layanan pihak ketiga. Untuk mengetahui informasi selengkapnya, lihat Tingkat Akses Kustom.

Peringatan: Saat menyusun bertingkat tingkat akses dan saat menggabungkan semua logika, perlu diingat bahwa, jika salah satu operand dari operator boolean AND (&&) dan OR (||) secara unik menentukan hasilnya, operand lainnya mungkin atau mungkin tidak dievaluasi. Selain itu, jika evaluasi tersebut menghasilkan error runtime, evaluasi tersebut akan diabaikan. Misalnya, dalam ekspresi berikut, evaluasi origin.region_code gagal, tetapi evaluasi levels.ip_check berhasil. Karena setidaknya salah satu pemeriksaan berhasil, kondisi keseluruhan, yang digabungkan oleh OR, menjadi benar, dan akses GRANTED.

!(origin.region_code in ['RU', 'BY', 'UA']) -> FAILED  // levels.regions_check

inIpRange(origin.ip, ['205.220.128.0/23']) -> GRANTED  // levels.ip_check

!(origin.region_code in ['RU', 'BY', 'UA']) || inIpRange(origin.ip, ['205.220.128.0/23']) -> GRANTED

levels.regions_check || levels.ip_check -> GRANTED

Alamat IP

Anda dapat memberikan tingkat akses berdasarkan alamat IP permintaan asal. Rentang alamat IP yang diizinkan ditentukan dalam bentuk blok Classless Inter-Domain Routing (CIDR), yang memungkinkan kontrol yang mendetail atas alamat IP yang diizinkan.

Satu tingkat akses dapat berisi beberapa rentang IP.

Untuk mempelajari cara membuat tingkat akses yang hanya mengizinkan akses ke rentang alamat IP tertentu, seperti yang ada dalam satu jaringan perusahaan, lihat Membuat Tingkat Akses untuk Akses Jaringan Perusahaan.

Rentang IP berikut diperlakukan sebagai rentang pribadi oleh Access Context Manager:

• 10.0.0.0/8 (RFC 1918)
• 172.16.0.0/12 (RFC 1918)
• 192.168.0.0/16 (RFC 1918)
• 100.64.0.0/10 (Ruang Alamat Bersama RFC 6598)
• fc00::/7 (IPv6 Unique Local Addresses RFC 4193)

Jenis perangkat

Catatan: Fitur ini hanya tersedia sebagai bagian dari langganan keamanan perusahaan berbayar. Jika Anda tertarik, pertimbangkan untuk mendaftar.

Access Context Manager menggunakan Verifikasi Endpoint untuk mengumpulkan informasi tentang perangkat pengguna seperti sistem operasi, jenis perangkat, atau versi. Anda dapat memberikan tingkat akses berdasarkan data ini. Misalnya, Anda dapat memberikan tingkat akses yang lebih permisif ke perangkat yang menjalankan versi terbaru sistem operasi utama yang di-deploy di perusahaan Anda.

Untuk mempelajari cara memberikan tingkat akses berdasarkan atribut perangkat tersebut, lihat Membatasi akses berdasarkan jenis perangkat.

Identitas pengguna

Dalam beberapa skenario, Anda mungkin ingin memberikan tingkat akses ke entitas tertentu. Dalam skenario ini, identitas pemanggil menentukan apakah kondisi terpenuhi. Skenario ini sering digunakan bersama dengan Akun Layanan dan Kontrol Layanan VPC. Misalnya, Anda dapat menggunakan skenario ini untuk mengaktifkan Cloud Function agar dapat mengakses data yang dilindungi oleh Kontrol Layanan VPC.

Anda dapat membuat dan mengelola tingkat akses khusus identitas dengan alat command line gcloud, tetapi tidak dengan konsol Google Cloud .

Untuk mulai membuat tingkat akses dasar, lihat Membuat tingkat akses untuk Access Context Manager.

Untuk mengetahui informasi tentang cara membuat tingkat akses yang mengizinkan akses berdasarkan konteks permintaan, lihat Membuat tingkat akses kustom.

Menggabungkan kondisi

Satu tingkat akses dapat berisi beberapa kondisi. Kondisi dapat dievaluasi menggunakan operator AND atau OR. Anda dapat menentukan mode saat membuat atau memperbarui tingkat akses.

Kasus AND adalah opsi yang lebih ketat dan default. Opsi ini hanya memberikan Tingkat Akses jika semua kondisi terpenuhi. Misalnya, Anda mungkin mewajibkan permintaan berasal dari dalam jaringan perusahaan dan dari perangkat yang menjalankan versi terbaru sistem operasi.

OR adalah opsi yang tidak terlalu ketat. Opsi ini hanya memerlukan satu dari banyak kondisi yang harus benar. Hal ini terkadang berguna saat menangani identitas pengguna—misalnya, untuk mengecualikan entitas tertentu (seperti Akun Layanan) dari persyaratan normal.

Kondisi bertingkat

Kondisi dapat disusun bertingkat sehingga satu kondisi bergantung pada kondisi lain. Misalnya, jika Anda memiliki dua tingkat akses kepercayaan "Sedang" dan "Tinggi", Anda dapat menetapkan persyaratan untuk "Tinggi" agar memerlukan "Sedang", selain kondisi lainnya.

Kondisi bertingkat dapat memudahkan pengelolaan tingkat akses. Misalnya, bayangkan tingkat akses yang paling permisif berisi versi sistem operasi minimum, dan Anda menetapkan tingkat yang lebih ketat untuk bergantung padanya. Jika Anda memperbarui versi minimum di masa mendatang, Anda hanya perlu memperbarui satu kondisi, bukan setiap tingkat akses dalam kebijakan.

Saat Anda menyusun tingkat akses, perhatikan batasan dan pembatasan berikut:

• Tidak ada dependensi sirkular: Dependensi sirkular tidak diizinkan. Tingkat akses tidak dapat saling mereferensikan dalam loop, baik secara langsung (misalnya, Level_A memerlukan Level_B dan Level_B memerlukan Level_A, atau tingkat akses mereferensikan dirinya sendiri) atau secara transitif (misalnya, Level_A memerlukan Level_B, Level_B memerlukan Level_C, dan Level_C memerlukan Level_A). Jika Anda mencoba membuat atau memperbarui tingkat akses yang memperkenalkan dependensi sirkular, panggilan akan gagal dengan error INVALID_ARGUMENT.

• Dependensi maksimum per kondisi: Di tingkat akses dasar, daftar requiredAccessLevels satu kondisi dapat merujuk hingga 15 tingkat akses lainnya.

• Kedalaman bertingkat: Karena Access Context Manager mengevaluasi tingkat akses bertingkat dalam urutan dependensi, bukan memperluasnya secara rekursif, tidak ada batas kedalaman maksimum terpisah pada rantai tingkat akses bertingkat di luar batas keseluruhan pada tingkat akses per kebijakan akses. Semua tingkat akses yang direferensikan harus termasuk dalam kebijakan akses yang sama.

Pelajari lebih lanjut

• Panduan memulai: Membuat tingkat akses untuk Access Context Manager
• Membuat tingkat akses dasar
• Membuat tingkat akses khusus
• Contoh YAML Tingkat Akses