情境感知存取權與 mTLS 總覽

您可以搭配使用情境感知存取權和 mTLS (也稱為憑證式存取權 (CBA))，要求使用者提供經過驗證的 X.509 憑證，才能存取 Google Cloud 資源。額外憑證可提供更強大的裝置身分信號，並要求使用者憑證和原始裝置憑證都存在，才能授予存取權，協助機構防範憑證遭竊或意外遺失。

如果只依據憑證 (例如不記名權杖) 授予 Google CloudAPI 和資源的存取權，可能會造成風險。使用者可能會不慎洩漏這些憑證，或成為攻擊者的主要目標。如果攻擊者取得憑證，就能重播憑證來存取資源。

使用 CBA 時，系統會要求提供額外的授權因素 (裝置憑證)，藉此加強資源安全防護。裝置憑證會透過相互 TLS 握手進行驗證。這項功能會要求使用者證明自己擁有與憑證相關聯的私密金鑰，藉此提供裝置身分的強烈信號。

以下是 CBA 存取流程的概略說明：

CBA 存取流程

使用 Google 月結付款的好處

以下列舉使用 CBA 的幾項優點。

Comprehensive Security
防止未受信任的裝置使用遭竊的憑證存取重要資源，例如竊取 Cookie。
無論存取點為何，包括內部部署或 Google 網路，以及網路瀏覽器或桌面應用程式，都會受到保護。 Google Cloud
精細的政策控制
與 VPC Service Controls 服務 perimeter 完美搭配，可讓您精細控管資源存取權。
可與使用者群組無縫整合，並對使用者群組套用 CBA。
良好的開發人員體驗
在常見程式庫和工具 (例如 gcloud CLI) 中自動支援 CBA，降低使用 CBA 的程式設計成本。

後續步驟