Risolvi i problemi relativi all'accesso sensibile al contesto

Questa pagina aiuta gli amministratori della sicurezza e del cloud a diagnosticare e risolvere i problemi relativi ai livelli di accesso di Gestore contesto accesso, alle associazioni dei account di servizio di accesso sensibile al contesto, all'accesso basato su certificato e ai dispositivi mobili gestiti.

Problemi di gestione del livello di accesso

Questa sezione elenca i problemi che potresti riscontrare durante la gestione dei livelli di accesso in Gestore contesto accesso e fornisce suggerimenti su come risolvere il problema.

Impossibile eliminare un livello di accesso utilizzato nelle policy di accesso sensibile al contesto di Google Workspace

Il seguente problema si verifica quando tenti di eliminare un livello di accesso in Gestore contesto accesso assegnato a una policy di accesso sensibile al contesto di Google Workspace.

A seconda dell'interfaccia che utilizzi, riceverai uno dei seguenti messaggi di errore:

• ConsoleGoogle Cloud :

  Cannot delete Access Level 'ACCESS_LEVEL_TITLE'. It's currently
  used in Google Workspace Context-Aware Access policies. To delete this
  Access Level, first remove it from all app assignments and default rules in
  the Google Workspace Admin Console.
  

• Google Cloud CLI:

  ERROR: (gcloud.access-context-manager.levels.delete) FAILED_PRECONDITION:
  Cannot delete Access Level: ACCESS_LEVEL_NAME. This Access Level
  is currently being used by Google Workspace Context-Aware Access policies.
  Please remove the Access Level from all assignments in the Google Workspace
  Admin Console before attempting deletion.
  

• API Gestore contesto accesso:

  FAILED_PRECONDITION: WORKSPACE_CAA_LIEN_PROTECTED
  

Le policy di accesso sensibile al contesto di Google Workspace e Gestore contesto accesso condividono i livelli di accesso sottostanti. Per evitare interruzioni accidentali del servizio per gli utenti di Google Workspace, il sistema applica un blocco di eliminazione (vincolo) a qualsiasi livello di accesso assegnato a una policy di accesso sensibile al contesto di Google Workspace, indipendentemente dal fatto che la policy sia in modalità attiva, di monitoraggio o di avviso.

Per risolvere il problema, rimuovi l'assegnazione del livello di accesso nella Console di amministrazione Google prima di eliminare il livello di accesso:

1. Accedi alla Console di amministrazione.
2. Vai a Sicurezza > Accesso e controllo dei dati > Accesso sensibile al contesto.
3. Identifica le app principali di Google Workspace, le app SAML o le regole API predefinite a cui è assegnato il livello di accesso.
4. Annulla l'assegnazione del livello di accesso da queste policy. Per saperne di più, consulta Assegna i livelli di accesso sensibile al contesto alle app.
5. Dopo aver rimosso il livello di accesso da tutte le assegnazioni di accesso sensibile al contesto di Google Workspace, il sistema rimuove automaticamente il blocco dell'eliminazione. Riprova a eliminare il livello di accesso nella console Google Cloud o utilizzando gcloud CLI.

Impossibile eliminare un livello di accesso a cui fa riferimento un altro livello di accesso

Puoi ricevere questo errore quando tenti di eliminare un livello di accesso a cui viene fatto riferimento come condizione in un altro livello di accesso di base o personalizzato.

Per risolvere il problema, controlla le dipendenze del livello di accesso e aggiorna i livelli di accesso di riferimento per rimuovere la dipendenza prima di eliminare il livello di accesso.

Blocco dell'accesso alla console Google Cloud dopo l'eliminazione o la modifica di un livello di accesso

Il seguente problema si verifica quando agli amministratori o agli utenti di un gruppo Google viene impedito l'accesso alla console Google Cloud o alle API Google Cloud dopo che hai eliminato o modificato un livello di accesso a cui viene fatto riferimento in un'associazione di accessoGoogle Cloud . Poiché le associazioni di accesso Google Cloud non applicano un blocco di eliminazione ai livelli di accesso di riferimento, l'eliminazione di un livello di accesso in uso causa l'esito negativo delle valutazioni di accesso per il gruppo associato.

Per risolvere il problema e riottenere l'accesso, rimuovi gli utenti interessati dal gruppo Google nella Console di amministrazione:

1. Accedi alla Console di amministrazione utilizzando un account amministratore che può gestire i gruppi Google.
2. Vai a Directory > Gruppi e seleziona il gruppo Google utilizzato nell'associazione di accesso.
3. Rimuovi dal gruppo gli account amministratore o utente interessati per bypassare l'associazione di accesso e ripristinare l'accesso alla console Google Cloud e alle APIGoogle Cloud .
4. Dopo aver riottenuto l'accesso, aggiorna o elimina l'associazione di accesso in modo che faccia riferimento a un livello di accesso valido, quindi aggiungi nuovamente gli utenti al gruppo Google.

Problemi relativi ai service account

Questa sezione elenca i problemi che potresti riscontrare durante la configurazione dell'accesso sensibile al contesto per i service account e fornisce suggerimenti su come risolverli.

L'accesso è negato per un account di servizio

Il seguente problema si verifica quando l'accesso sensibile al contesto nega a un account di servizio l'accesso alle risorse Google Cloud dopo l'associazione di una policy di accesso sensibile al contesto.

Questo problema si verifica in genere per uno dei seguenti motivi:

• Hai associato la policy di accesso sensibile al contesto in modalità di applicazione forzata anziché in modalità dry run.
• Il livello di accesso non include tutte le origini richieste, ad esempio un indirizzo IP che non hai incluso durante la creazione del livello di accesso.
• La tua identità utente è membro di un gruppo Google a cui è associata una policy di accesso sensibile al contesto che limita l'accesso degli utenti, impedendo il flusso di chiamate al account di servizio.

Per risolvere questo problema, completa i seguenti passaggi:

1. Utilizza la modalità dry run anziché la modalità di applicazione forzata per consentire ai service account di accedere alle risorse e registrare gli eventi di applicazione senza negare l'accesso.

2. Esamina le voci di Cloud Audit Logs eseguendo la seguente query di log:

   protoPayload.serviceName="contextawareaccess.googleapis.com"
   

3. Controlla il nome della risorsa del livello di accesso segnalato da Accesso sensibile al contesto nelle voci di Cloud Audit Logs.

4. Verifica che il livello di accesso sia una risorsa a livello di organizzazione e utilizzi solo attributi supportati per i service account.

5. Verifica che la policy di accesso sensibile al contesto sia associata al service account previsto e che il livello di accesso includa tutti gli indirizzi IP o le reti di origine richiesti.

6. Verifica che la tua identità utente non sia limitata da un criterio di accesso sensibile al contesto a livello di gruppo.

Problemi di accesso basato su certificati

Questa sezione elenca i problemi che potresti riscontrare durante l'utilizzo dell'accesso basato su certificati per i workload o i certificati aziendali e fornisce suggerimenti su come risolverli.

Errore 403: accesso negato durante l'autorizzazione dei workload

Il seguente problema si verifica quando un workload tenta di accedere a una risorsaGoogle Cloud utilizzando l'accesso basato su certificati per la federazione delle identità dei workload:

403 Forbidden, user does not have permission.

Per risolvere il problema, controlla la policy di Identity and Access Management (IAM) per verificare che il pool di identità del workload abbia accesso alla risorsa Google Cloud . Per saperne di più, consulta Configura l'accesso basato su certificato per la federazione delle identità per i workload.

Errore di client non autorizzato per l'attributo google.subject

Il seguente problema si verifica quando il backend non riesce a estrarre un valore per l'attributo google.subject da un certificato client in base alla mappatura degli attributi:

Unauthorized_client: Could not obtain a value for google.subject from the given
credential.

Per risolvere il problema, esamina il certificato client e verifica che il campo del certificato a cui viene fatto riferimento nella mappatura degli attributi contenga un valore valido.

Rifiuti di accesso imprevisti dopo l'attivazione delle associazioni di accesso sensibile al contesto

Il seguente problema si verifica quando l'accesso sensibile al contesto nega inaspettatamente richieste di workload valide dopo l'attivazione di un'associazione di accesso sensibile al contesto.

Per risolvere il problema, sblocca il traffico continuando a valutare l'accesso e a generare audit log spostando l'associazione di accesso sensibile al contesto in modalità dry run:

gcloud alpha access-context-manager cloud-bindings update \
    --binding=BINDING_ID \
    --organization=ORG_ID \
    --level= \
    --dry-run-level=DRY_RUN_ACCESS_LEVEL_ID

Sostituisci quanto segue:

• BINDING_ID: l'ID dell'associazione di accesso sensibile al contesto.
• ORG_ID: l'ID della tua organizzazione.
• DRY_RUN_ACCESS_LEVEL_ID: il nome completo della risorsa del livello di accesso dry run, ad esempio accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.

In alternativa, puoi eliminare l'associazione di accesso sensibile al contesto per sbloccare immediatamente il traffico:

Attenzione: l'eliminazione di un'associazione di accesso sensibile al contesto rimuove l'applicazione delle policy di accesso e interrompe la generazione di audit log per le valutazioni di accesso. Preferisci la modalità dry run per poter diagnosticare la causa degli accessi negati.

gcloud alpha access-context-manager cloud-bindings delete \
    --binding=BINDING_ID \
    --organization=ORG_ID

Dopo aver ripristinato l'accesso, esamina i log di controllo di Accesso sensibile al contesto per determinare il motivo per cui l'accesso sensibile al contesto ha negato le richieste.

La condizione del certificato Enterprise non supera la convalida

Il seguente problema si verifica quando un livello di accesso nega l'accesso a un dispositivo con un certificato aziendale, anche se hai configurato le condizioni del certificato aziendale.

Per risolvere il problema, verifica gli attributi del certificato e raccogli i log di verifica degli endpoint per il debug:

1. Nella Console di amministrazione, esamina gli attributi del certificato nella pagina dei dettagli del dispositivo per verificare che corrispondano all'emittente e agli attributi nel livello di accesso personalizzato.
2. Nel browser Google Chrome, inserisci chrome://policy nella barra degli indirizzi e verifica che AutoSelectCertificateForUrls sia impostato su Macchina (o Utente attuale su ChromeOS) e non mostri lo stato Conflitto.
3. Scarica i log dell'estensione Verifica degli endpoint per esaminare gli errori di selezione dei certificati:
   1. Fai clic con il tasto destro del mouse sull'estensione Endpoint Verification e seleziona Opzioni.
   2. Seleziona Livello di log > Tutti > Scarica log.
   3. Se il problema persiste, apri una richiesta di assistenza con l'assistenza clienti Google Cloud e condividi i log per un ulteriore debug.

Problemi relativi ai dispositivi mobili

Questa sezione elenca i problemi che potresti riscontrare durante l'utilizzo di dispositivi mobili con livelli di accesso e fornisce suggerimenti su come risolvere il problema per ciascuno di essi.

Il livello di accesso nega le richieste provenienti da un dispositivo mobile conforme

Il seguente problema si verifica quando un livello di accesso nega una richiesta utente da un dispositivo mobile Android o iOS, anche se il livello di accesso e le impostazioni di gestione dei dispositivi mobili sono configurati correttamente.

Questo problema si verifica quando lo stato del dispositivo lato server non è stato aggiornato o quando la richiesta non proviene da Safari o Chrome dopo aver eseguito l'accesso a un account utente dell'organizzazione.

Per risolvere il problema, verifica che la richiesta provenga da Safari o Chrome utilizzando un account utente dell'organizzazione, quindi forza un aggiornamento dello stato del dispositivo lato server:

• Dispositivi Android:

  1. Se hai eseguito l'accesso a accounts.google.com nel browser del tuo dispositivo, esci dall'account.
  2. Apri l'app Impostazioni del dispositivo e vai ad Account.
  3. Rimuovi l'Account Google aziendale dal dispositivo.
  4. Aggiungi di nuovo l'Account Google aziendale al dispositivo.

• Dispositivi iOS:

  1. Se hai eseguito l'accesso a accounts.google.com nel browser del tuo dispositivo, esci dall'account.
  2. Apri un'app Google sul dispositivo, ad esempio Gmail.
  3. Rimuovi l'Account Google aziendale dal dispositivo.
  4. Aggiungi di nuovo l'Account Google aziendale al dispositivo.