Zertifikatbasierten Zugriff einrichten
Wenn Sie den kontextsensitiven Zugriff mit mTLS einrichten möchten, das auch als zertifikatbasierter Zugriff (Certificate-Based Access, CBA) bezeichnet wird, müssen Sie eine neue CBA-Zugriffsebene erstellen, die CBA-Zugriffsebene erzwingen und CBA in Ihren Clientanwendungen aktivieren.
Hinweis
Achten Sie darauf, dass Sie die Google Chrome-Erweiterung für die Endpunktprüfung und die Hilfsanwendung für die Endpunktprüfung auf allen Geräten bereitstellen, die Zugriff aufGoogle Cloud -Ressourcen benötigen. Diese Geräte werden zu vertrauenswürdigen Geräten, denen Sie Zugriff gewähren können.
Für die CBA für Arbeitslasten oder Webanwendungen ist keine Endpunktprüfung erforderlich.
Wenn Sie die Endpunktprüfung bereitstellen müssen, lesen Sie den Hilfeartikel Endpunktprüfung für die Verwendung mit zertifikatsbasiertem Zugriff bereitstellen.
CBA einrichten
So richten Sie die CBA ein:
Erstellen Sie eine neue CBA-Zugriffsebene, für die Zertifikate erforderlich sind, wenn der Zugriff auf Ressourcen bestimmt wird.
Erzwingen Sie die CBA-Zugriffsebene für eine Ressource mit einer der folgenden Methoden:
Beschränken Sie den Zugriff auf von VPC Service Controls unterstützte Google Cloud-Dienste, indem Sie einen VPC Service Controls-Perimeter mit der CBA-Zugriffsebene erstellen und dann Dienste zum Perimeter hinzufügen. Eine ausführliche Anleitung finden Sie unter Zertifikatsbasierten Zugriff mit VPC Service Controls aktivieren.
Beschränken Sie den Zugriff auf alle Ihre Google Cloud -Dienste, einschließlich derGoogle Cloud Console, indem Sie die CBA-Zugriffsebene an eine Nutzergruppe binden, für die Sie den Zugriff einschränken möchten. Eine detaillierte Anleitung finden Sie unter Zertifikatbasierten Zugriff mit Nutzergruppen aktivieren.
Zugriff auf Ihre VM einschränken Eine ausführliche Anleitung finden Sie unter Zertifikatbasierten Zugriff für VMs aktivieren.
Zugriff auf Ihre Webanwendungen einschränken Eine ausführliche Anleitung finden Sie unter Zertifikatbasierten Zugriff für Webanwendungen aktivieren.
Beschränken Sie den Zugriff auf alle Ihre Google Cloud -Dienste von Arbeitslasten aus. Eine ausführliche Anleitung finden Sie unter Zertifikatsbasierten Zugriff für die Workload Identity-Föderation konfigurieren.
Nachdem Sie die CBA erzwungen haben, verweigert der kontextsensitive Zugriff den Zugriff auf Ressourcen ohne Clientzertifikate. Wenn Sie vertrauenswürdigen Geräten Zugriff gewähren möchten, müssen Ihre Clients Zertifikate über eine mTLS-Verbindung an Google APIs senden. Aktivieren Sie dazu die kontextsensitive Zugriffskontrolle in Ihrem kompatiblen Client. Eine Anleitung finden Sie unter Zertifikatbasierten Zugriff in Clientanwendungen aktivieren.