設定憑證型存取權
如要使用 mTLS (也稱為憑證式存取權 (CBA)) 設定情境感知存取權，您必須建立新的 CBA 存取層級、強制執行 CBA 存取層級，並在用戶端應用程式中啟用 CBA。
事前準備
請務必在所有需要存取Google Cloud 資源的裝置上，部署 Endpoint Verification Google Chrome 擴充功能和 Endpoint Verification 輔助應用程式。這些裝置會成為信任的裝置，您可以授予存取權。
工作負載或網頁應用程式的 CBA 不需要端點驗證。
如需部署端點驗證，請參閱「部署端點驗證，以便搭配憑證存取權使用」。
設定 CBA
如要設定 CBA，請完成下列步驟：
建立新的 CBA 存取層級，在判斷資源存取權時要求提供憑證。
使用下列任一方法，對資源強制執行 CBA 存取層級：
如要限制存取 VPC Service Controls 支援的 Google Cloud服務，請建立具有 CBA 存取層級的 VPC Service Controls perimeter，然後將服務新增至 perimeter。如需詳細操作說明，請參閱「使用 VPC Service Controls 啟用憑證型存取權」。
將 CBA 存取層級繫結至要限制存取權的使用者群組，即可限制所有 Google Cloud 服務 (包括Google Cloud 控制台) 的存取權。如需詳細操作說明，請參閱「為使用者群組啟用憑證存取權」。
限制 VM 存取權。如需詳細操作說明，請參閱「為 VM 啟用憑證型存取權」。
限制網頁應用程式的存取權。如需詳細操作說明，請參閱「為網頁應用程式啟用憑證型存取權」。
限制從工作負載存取所有 Google Cloud 服務。如需詳細操作說明，請參閱「設定 Workload Identity Federation 的憑證存取權」。
強制執行 CBA 後，情境感知存取權會拒絕存取沒有用戶端憑證的資源。如要將存取權授予信任的裝置，請在與 CBA 相容的用戶端中啟用 CBA，確保用戶端透過 mTLS 連線將憑證傳送至 Google API。如需操作說明，請參閱「在用戶端應用程式中啟用憑證型存取權」。
後續步驟
- 瞭解如何使用憑證型存取權保護資源。