本頁說明如何設定情境感知存取權、將存取層級繫結至 Google 群組，以及部署端點驗證。情境感知存取權的用途包括：
根據使用者身分、網路、位置和裝置狀態等屬性，定義資源的存取政策。 Google Cloud
控管工作階段長度和重新驗證方式，確保使用者能持續存取。
只要使用者存取需要 Google Cloud 範圍的用戶端應用程式 (包括網頁上的 Google Cloud 控制台和 Google Cloud CLI)，系統就會強制執行情境感知存取權。
事前準備
建立 Google 群組，並加入要套用存取層級的使用者。如要套用情境感知存取權限制，請將群組繫結至存取層級。如要存取資源，這個群組中的使用者必須達到您建立的至少一個存取層級。情境感知存取權政策僅適用於貴機構中的使用者。
必要的角色
在機構層級授予雲端存取權繫結管理員 (roles/accesscontextmanager.gcpAccessAdmin) 角色。如要建立 Access Context Manager 存取權繫結，必須具備這個角色。
控制台
前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。
在專案選取器選單中，選取您的機構 ID。
按一下「授予存取權」，然後設定下列項目：
「New principals」(新增主體)：指定您要授予權限的使用者或群組。
「Select a role」(選取角色)：依序選取「Access Context Manager」>「Cloud Access Binding Admin」(Cloud Access Binding 管理員)。
按一下 [儲存]。
gcloud
請確認您已通過驗證，且具備足夠的權限，可在機構層級新增 IAM 權限。您至少需要機構管理員角色。
確認您具備適當權限後，請執行下列指令登入：
gcloud auth login執行下列指令，授予 Cloud 存取權繫結管理員 (
roles/accesscontextmanager.gcpAccessAdmin) 角色：gcloud organizations add-iam-policy-binding ORGANIZATION_ID \ --member=PRINCIPAL \ --role=roles/accesscontextmanager.gcpAccessAdmin更改下列內容：
ORGANIZATION_ID：貴機構的 ID。 您可以使用下列指令尋找機構 ID：
gcloud organizations list ``` * <code><var>PRINCIPAL</var></code>: the user or group that you want to grant the role to.
將 Google 群組繫結至存取層級
如要對可存取 Google Cloud資源的使用者強制執行情境感知存取權限制，請將 Google 群組繫結至一或多個存取層級。只有當指定群組中的使用者符合繫結存取層級中定義的條件時，系統才會授予存取權。
將群組繫結至存取層級
您可以使用 Google Cloud 控制台或 gcloud CLI，將群組繫結至存取層級。
控制台
如要使用 Google Cloud 控制台將群組繫結至存取層級，請按照下列步驟操作：
前往 Google Cloud 控制台的「Chrome Enterprise 進階版」頁面。
如果系統提示，請選取您的機構。
按一下「管理控制台和 API 的存取權」 Google Cloud 。頁面會列出目前的存取權繫結。
按一下「建立繫結」。
在「主體」部分中，按一下「新增」。
輸入要繫結的 Google 群組電子郵件地址。
在「存取層級」部分中，選取群組成員必須符合的存取層級，才能取得存取權。多個存取層級會以邏輯 OR 運算子連結。「邏輯 OR」是指使用者必須符合至少一個所選層級的條件，才能存取資源。
如要儲存存取權繫結，請按一下「儲存」。
繫結可能需要幾分鐘才會全面生效。繫結生效後，群組成員存取 Google Cloud 控制台或使用 gcloud CLI 等工具與 Google Cloud API 互動時，必須符合設定的存取層級規定。
gcloud
如要將群組繫結至存取層級，請執行下列指令：
gcloud access-context-manager cloud-bindings create \ --group-key=GROUP_EMAIL \ --level=ACCESS_LEVEL_ID \ --organization=ORGANIZATION_ID
更改下列內容：
GROUP_EMAIL：要繫結的 Google 群組電子郵件地址，例如my-restricted-users@example.com。ACCESS_LEVEL_ID：要套用的存取層級完整資源名稱。資源名稱的格式為accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME。
如要找出 POLICY_ID，請執行下列指令列出政策：
gcloud access-context-manager policies list --organization ORGANIZATION_ID
ORGANIZATION_ID：選用。您的 Google Cloud機構 ID。只有當您尚未在 gcloud CLI 設定中設定預設機構時，才需要提供機構 ID。
列出群組繫結
如要列出現有繫結，請執行下列指令：
gcloud access-context-manager cloud-bindings list \
--organization ORGANIZATION_ID
部署端點驗證
部署端點驗證是選用步驟，可讓您將裝置屬性整合至存取控管政策。您可以根據裝置屬性 (例如 OS 版本和設定) 授予或拒絕資源存取權，藉此提升機構的安全性。
Endpoint Verification 會在 macOS、Windows 和 Linux 上以 Chrome 擴充功能的形式執行，讓您根據裝置特徵 (例如型號和 OS 版本) 和安全性特徵 (例如磁碟加密、防火牆、螢幕鎖定和 OS 修補程式) 建立存取控管政策。
後續步驟
瞭解如何要求憑證式存取權，確保只有授權裝置可以存取資源，即使憑證遭盜用也一樣，藉此多添一層安全保障。
管理員可以使用 Google Cloud 控制台，在貴機構公司擁有的裝置上部署端點驗證擴充功能。