设置基于证书的访问权限
如需设置具有 mTLS 的情境感知访问权限（也称为基于证书的访问权限 [CBA]），您必须创建新的 CBA 访问权限级别，强制执行 CBA 访问权限级别，并在客户端应用中启用 CBA。
准备工作
确保在需要访问Google Cloud 资源的所有设备上部署端点验证 Google Chrome 扩展程序和端点验证辅助应用。这些设备会成为可信设备，您可以向其授予访问权限。
工作负载或 Web 应用的 CBA 不需要端点验证。
如果您需要部署端点验证，请参阅部署端点验证以与基于证书的访问权限搭配使用。
设置 CBA
如需设置 CBA，请完成以下步骤：
创建新的 CBA 访问权限级别，在确定对资源的访问权限时需要证书。
使用以下方法之一对资源强制执行 CBA 访问权限级别：
通过创建具有 CBA 访问权限级别的 VPC Service Controls 边界，然后将服务添加到边界中，限制对 VPC Service Controls 支持的 Google Cloud服务的访问。如需了解详细说明，请参阅使用 VPC Service Controls 启用基于证书的访问权限。
通过将 CBA 访问权限级别绑定到您要限制访问权限的用户群组，限制对所有 Google Cloud 服务（包括Google Cloud 控制台）的访问。如需查看详细说明，请参阅为用户群组启用基于证书的访问权限。
限制对虚拟机的访问。如需了解详细说明，请参阅为虚拟机启用基于证书的访问权限。
限制对 Web 应用的访问。如需了解详细说明，请参阅为 Web 应用启用基于证书的访问权限。
限制工作负载对所有 Google Cloud 服务的访问。如需了解详细说明，请参阅为工作负载身份联合配置基于证书的访问权限。
强制执行 CBA 后，情境感知访问权限会拒绝没有客户端证书的资源访问。如需向可信设备授予访问权限，请在与 CBA 兼容的客户端中启用 CBA，以确保客户端通过 mTLS 连接向 Google API 发送证书。如需查看相关说明，请参阅在客户端应用中启用基于证书的访问权限。
后续步骤
- 了解如何使用基于证书的访问权限保护资源。