이 페이지에서는 컨텍스트 인식 액세스를 설정하고, 액세스 수준을 Google 그룹에 바인딩하고, 엔드포인트 확인을 배포하는 방법을 설명합니다. 컨텍스트 인식 액세스를 사용하여 다음 작업을 할 수 있습니다.
사용자 ID, 네트워크, 위치, 기기 상태와 같은 속성을 기반으로 Google Cloud 리소스에 대한 액세스 정책을 정의합니다.
지속적인 액세스를 위한 세션 길이 및 재인증 방법을 관리합니다.
컨텍스트 인식 액세스는 사용자가 웹의 Google Cloud 콘솔 및 Google Cloud CLI를 비롯하여 Google Cloud 범위가 필요한 클라이언트 애플리케이션에 액세스할 때마다 적용됩니다.
시작하기 전에
액세스 수준을 만듭니다. 기본 액세스 수준 또는 커스텀 액세스 수준을 만들 수 있습니다. 액세스 수준에 대해 자세히 알아보세요.
액세스 수준을 적용할 사용자가 포함된 Google 그룹을 만듭니다. 컨텍스트 인식 액세스 제한을 적용하려면 그룹을 액세스 수준에 바인딩합니다. 이 그룹의 사용자가 리소스에 액세스하려면 생성된 액세스 수준 중 하나 이상을 충족해야 합니다.
필요한 역할
조직 수준에서 Cloud 액세스 바인딩 관리자 (roles/accesscontextmanager.gcpAccessAdmin) 역할을 부여합니다. 이 역할은 Access Context Manager 액세스 바인딩을 만드는 데 필요합니다.
콘솔
Google Cloud 콘솔에서 IAM 페이지로 이동합니다.
프로젝트 선택기 메뉴에서 조직 ID를 선택합니다.
액세스 권한 부여를 클릭하고 다음을 구성합니다.
새 주 구성원: 권한을 부여할 사용자 또는 그룹을 지정합니다.
역할 선택: Access Context Manager > Cloud 액세스 바인딩 관리자를 선택합니다.
저장을 클릭합니다.
gcloud
조직 수준에서 IAM 권한을 추가할 수 있는 충분한 권한으로 인증되었는지 확인합니다. 최소한 조직 관리자 역할이 필요합니다.
올바른 권한이 있는지 확인한 후 다음 명령어를 실행하여 로그인합니다.
gcloud auth login다음 명령어를 실행하여 Cloud 액세스 바인딩 관리자 (
roles/accesscontextmanager.gcpAccessAdmin) 역할을 부여합니다.gcloud organizations add-iam-policy-binding ORGANIZATION_ID \ --member=PRINCIPAL \ --role=roles/accesscontextmanager.gcpAccessAdmin다음을 바꿉니다.
ORGANIZATION_ID: 조직의 ID입니다. 다음 명령어를 사용하여 조직 ID를 찾을 수 있습니다.
gcloud organizations list ``` * <code><var>PRINCIPAL</var></code>: the user or group that you want to grant the role to.
Google 그룹을 액세스 수준에 바인딩
Google Cloud리소스에 액세스할 수 있는 사용자에 컨텍스트 인식 액세스 제한을 적용하려면 Google 그룹을 하나 이상의 액세스 수준에 바인딩해야 합니다. 지정된 그룹의 사용자는 바인드된 액세스 수준에 정의된 조건을 충족하는 경우에만 액세스 권한이 부여됩니다.
그룹을 액세스 수준에 바인딩
Google Cloud 콘솔 또는 gcloud CLI를 사용하여 그룹을 액세스 수준에 바인딩할 수 있습니다.
콘솔
Google Cloud 콘솔을 사용하여 그룹을 액세스 수준에 바인딩하려면 다음 단계를 따르세요.
Google Cloud 콘솔에서 Chrome Enterprise Premium 페이지로 이동합니다.
Chrome Enterprise Premium으로 이동메시지가 표시되면 조직을 선택합니다.
Google Cloud 콘솔 및 API 액세스 관리를 클릭합니다. 페이지에 기존 액세스 바인딩이 나열됩니다.
바인딩 만들기를 클릭합니다.
주 구성원 섹션에서 추가를 클릭합니다.
바인딩하려는 Google 그룹의 이메일 주소를 입력합니다.
액세스 수준 섹션에서 그룹 구성원이 액세스 권한을 얻기 위해 충족해야 하는 액세스 수준을 선택합니다. 여러 액세스 수준은 논리적으로 OR됩니다. 논리적 OR은 리소스에 액세스하려면 사용자가 선택한 수준 중 하나 이상의 조건을 충족해야 함을 의미합니다.
액세스 바인딩을 저장하려면 저장을 클릭합니다.
바인딩이 전파되는 데 몇 분 정도 걸릴 수 있습니다. 바인딩이 활성화되면 그룹 구성원이 Google Cloud 콘솔에 액세스하거나 Google Cloud API와 상호작용하는 gcloud CLI와 같은 도구를 사용할 때 구성된 액세스 수준 요구사항이 적용됩니다.
gcloud
그룹을 액세스 수준에 바인딩하려면 다음 명령어를 실행합니다.
gcloud access-context-manager cloud-bindings create \ --group-key=GROUP_EMAIL \ --level=ACCESS_LEVEL_ID \ --organization=ORGANIZATION_ID
다음을 바꿉니다.
GROUP_EMAIL: 바인딩할 Google 그룹의 이메일 주소입니다(예:my-restricted-users@example.com).ACCESS_LEVEL_ID: 적용할 액세스 수준의 전체 리소스 이름입니다. 리소스 이름은accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME형식입니다.
다음 명령어를 실행하여 정책을 나열하면 POLICY_ID을 확인할 수 있습니다.
gcloud access-context-manager policies list --organization ORGANIZATION_ID
ORGANIZATION_ID: 선택사항. 조직 ID입니다. Google Cloud조직 ID는 gcloud CLI 구성에서 기본 조직을 설정하지 않은 경우에만 필요합니다.
그룹 바인딩 나열
기존 바인딩을 나열하려면 다음 명령어를 실행합니다.
gcloud access-context-manager cloud-bindings list \
--organization ORGANIZATION_ID
엔드포인트 확인 배포
엔드포인트 확인 배포는 기기 속성을 액세스 제어 정책에 통합할 수 있는 선택사항 단계입니다. 이 기능을 사용하여 OS 버전 및 구성과 같은 기기 속성을 기반으로 리소스에 대한 액세스 권한을 부여하거나 거부하여 조직의 보안을 강화할 수 있습니다.
엔드포인트 확인은 macOS, Windows, Linux에서 Chrome 확장 프로그램으로 실행되며 모델, OS 버전과 같은 기기 특성과 디스크 암호화, 방화벽, 화면 잠금, OS 패치의 존재와 같은 보안 특성을 기반으로 액세스 제어 정책을 만들 수 있습니다.
다음 단계
사용자 인증 정보가 도용된 경우에도 승인된 기기만 리소스에 액세스할 수 있도록 하여 추가 보안 계층을 추가하는 인증서 기반 액세스를 요구하는 방법을 알아보세요.
관리자는 Google Cloud 콘솔을 사용하여 조직의 회사 소유 기기에 엔드포인트 확인 확장 프로그램을 배포합니다.
사용자가 엔드포인트 확인 확장 프로그램을 직접 설치하도록 허용합니다.