Resolver problemas do acesso baseado no contexto

Esta página ajuda administradores de segurança e de nuvem a diagnosticar e resolver problemas com níveis de acesso do Access Context Manager, vinculações de conta de serviço do acesso baseado no contexto, acesso baseado em certificado e dispositivos móveis gerenciados.

Problemas de gerenciamento do nível de acesso

Nesta seção, listamos problemas que podem ser encontrados ao gerenciar níveis de acesso no Access Context Manager e damos sugestões de como corrigir cada um deles.

Não é possível excluir um nível de acesso usado nas políticas de acesso baseado no contexto do Google Workspace

O problema a seguir ocorre quando você tenta excluir um nível de acesso no Access Context Manager que está atribuído a uma política de acesso baseado no contexto do Google Workspace.

Dependendo da interface usada, você vai receber uma das seguintes mensagens de erro:

• Console doGoogle Cloud :

  Cannot delete Access Level 'ACCESS_LEVEL_TITLE'. It's currently
  used in Google Workspace Context-Aware Access policies. To delete this
  Access Level, first remove it from all app assignments and default rules in
  the Google Workspace Admin Console.
  

• Google Cloud CLI:

  ERROR: (gcloud.access-context-manager.levels.delete) FAILED_PRECONDITION:
  Cannot delete Access Level: ACCESS_LEVEL_NAME. This Access Level
  is currently being used by Google Workspace Context-Aware Access policies.
  Please remove the Access Level from all assignments in the Google Workspace
  Admin Console before attempting deletion.
  

• API Access Context Manager:

  FAILED_PRECONDITION: WORKSPACE_CAA_LIEN_PROTECTED
  

As políticas de acesso baseado no contexto do Google Workspace e o Access Context Manager compartilham níveis de acesso subjacentes. Para evitar interrupções acidentais de serviço para usuários do Google Workspace, o sistema coloca um bloqueio de exclusão (garantia) em qualquer nível de acesso atribuído a uma política de acesso baseado no contexto do Google Workspace, esteja ela no modo ativo, de monitoramento ou de aviso.

Para resolver esse problema, remova a atribuição do nível de acesso no Google Admin Console antes de excluir o nível de acesso:

1. Faça login no Admin Console.
2. Acesse Segurança > Controle de dados e acesso > Acesso baseado no contexto.
3. Identifique os apps principais do Google Workspace, os apps SAML ou as regras de API padrão que têm o nível de acesso atribuído.
4. Remova a atribuição do nível de acesso dessas políticas. Para mais informações, consulte Atribuir níveis de acesso baseado no contexto a apps.
5. Depois que você remover o nível de acesso de todas as atribuições do acesso baseado no contexto do Google Workspace, o sistema vai remover automaticamente o bloqueio de exclusão. Tente excluir o nível de acesso novamente no console do Google Cloud ou usando a CLI gcloud.

Não é possível excluir um nível de acesso referenciado por outro nível de acesso

Esse erro pode ocorrer quando você tenta excluir um nível de acesso que é referenciado como uma condição em outro nível de acesso básico ou personalizado.

Para resolver esse problema, verifique as dependências do nível de acesso e atualize todos os níveis de acesso de referência para remover a dependência antes de excluir o nível de acesso.

Bloqueio do console do Google Cloud após excluir ou modificar um nível de acesso

O problema a seguir ocorre quando administradores ou usuários em um grupo do Google são impedidos de acessar o console do Google Cloud ou as APIs do Google Cloud depois que você exclui ou modifica um nível de acesso referenciado em uma vinculação de acesso doGoogle Cloud . Como as vinculações de acesso do Google Cloud não colocam um bloqueio de exclusão nos níveis de acesso referenciados, a exclusão de um nível de acesso em uso faz com que as avaliações de acesso do grupo vinculado falhem.

Para resolver esse problema e recuperar o acesso, remova os usuários afetados do grupo do Google no Admin Console:

1. Faça login no Admin Console com uma conta de administrador que possa gerenciar os Grupos do Google.
2. Acesse Diretório > Grupos e selecione o grupo do Google usado na vinculação de acesso.
3. Remova as contas de administrador ou usuário afetadas do grupo para ignorar a vinculação de acesso e restaurar o acesso ao console do Google Cloud e às APIs doGoogle Cloud .
4. Depois de recuperar o acesso, atualize ou exclua a vinculação de acesso para que ela faça referência a um nível de acesso válido e adicione os usuários de volta ao Grupo do Google.

Problemas da conta de serviço

Nesta seção, listamos problemas que podem ser encontrados ao configurar o Acesso baseado no contexto para contas de serviço e damos sugestões de como corrigir cada um deles.

O acesso é negado para uma conta de serviço

O problema a seguir ocorre quando o acesso baseado no contexto nega a uma conta de serviço o acesso aos recursos do Google Cloud depois que você vincula uma política de acesso baseado no contexto.

Esse problema geralmente ocorre por um dos seguintes motivos:

• Você vinculou a política de Acesso baseado no contexto no modo restrito, e não no modo de teste.
• O nível de acesso não inclui todas as origens necessárias, como um endereço IP que você não incluiu ao criar o nível de acesso.
• Sua identidade de usuário é membro de um grupo do Google que tem uma política de acesso baseado no contexto vinculada que restringe o acesso do usuário, o que impede o fluxo de chamadas para a conta de serviço.

Para resolver esse problema, siga estas etapas:

1. Use o modo de teste em vez do modo restrito para permitir que as contas de serviço acessem recursos e registrem eventos de restrição sem negar o acesso.

2. Analise as entradas de registro dos Registros de auditoria do Cloud executando a seguinte consulta de registro:

   protoPayload.serviceName="contextawareaccess.googleapis.com"
   

3. Verifique o nome do recurso do nível de acesso que o Acesso Baseado no Contexto informa nas entradas de registro dos Registros de Auditoria do Cloud.

4. Confirme se o nível de acesso é um recurso no nível da organização e usa apenas atributos compatíveis com contas de serviço.

5. Verifique se a política de acesso baseado no contexto está vinculada à conta de serviço pretendida e se o nível de acesso inclui todos os endereços IP ou redes de origem necessários.

6. Verifique se a identidade do usuário não está restrita por uma política de acesso baseado no contexto no nível do grupo.

Problemas de acesso baseado em certificado

Nesta seção, listamos problemas que podem ocorrer ao usar o acesso baseado em certificado para cargas de trabalho ou certificados corporativos e fornecemos sugestões de como corrigir cada um deles.

Erro 403 Forbidden ao autorizar cargas de trabalho

O problema a seguir ocorre quando uma carga de trabalho tenta acessar um recurso doGoogle Cloud usando o acesso baseado em certificado para a federação de identidade da carga de trabalho:

403 Forbidden, user does not have permission.

Para resolver esse problema, verifique sua política do Identity and Access Management (IAM) para confirmar se o pool de Identidade da carga de trabalho tem acesso ao recurso do Google Cloud . Para mais informações, consulte Configurar o acesso baseado em certificado para a federação de identidade da carga de trabalho.

Erro de cliente não autorizado para o atributo google.subject

O problema a seguir ocorre quando o back-end não consegue extrair um valor para o atributo google.subject de um certificado do cliente com base no mapeamento de atributos:

Unauthorized_client: Could not obtain a value for google.subject from the given
credential.

Para resolver esse problema, inspecione o certificado do cliente e verifique se o campo de certificado referenciado no mapeamento de atributos contém um valor válido.

Negações de acesso inesperadas após ativar as vinculações de acesso baseado no contexto

O problema a seguir ocorre quando o acesso baseado no contexto nega inesperadamente solicitações de carga de trabalho válidas depois que você ativa uma vinculação de acesso baseado no contexto.

Para resolver esse problema, desbloqueie o tráfego enquanto continua avaliando o acesso e gerando registros de auditoria. Para isso, mova a vinculação do acesso baseado no contexto para o modo de teste:

gcloud alpha access-context-manager cloud-bindings update \
    --binding=BINDING_ID \
    --organization=ORG_ID \
    --level= \
    --dry-run-level=DRY_RUN_ACCESS_LEVEL_ID

Substitua:

• BINDING_ID: o ID da vinculação do acesso baseado no contexto.
• ORG_ID: o ID da organização.
• DRY_RUN_ACCESS_LEVEL_ID: o nome completo do recurso do nível de acesso de simulação, por exemplo, accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.

Como alternativa, é possível excluir a vinculação do acesso baseado no contexto para desbloquear o tráfego imediatamente:

Atenção: excluir uma vinculação de acesso baseado no contexto remove a aplicação da política de acesso e interrompe a geração de registros de auditoria para avaliações de acesso. Dê preferência ao modo de teste para diagnosticar a causa das negações de acesso.

gcloud alpha access-context-manager cloud-bindings delete \
    --binding=BINDING_ID \
    --organization=ORG_ID

Depois de restaurar o acesso, analise os registros de auditoria do acesso baseado no contexto para determinar por que o acesso baseado no contexto negou as solicitações.

A condição do certificado corporativo falha na validação

O problema a seguir ocorre quando um nível de acesso nega o acesso a um dispositivo com um certificado empresarial, mesmo que você tenha configurado as condições do certificado empresarial.

Para resolver esse problema, verifique os atributos do certificado e colete os registros da Verificação de Endpoint para depuração:

1. No Admin Console, analise os atributos do certificado na página de detalhes do dispositivo para verificar se eles correspondem ao emissor e aos atributos no seu nível de acesso personalizado.
2. No navegador Google Chrome, digite chrome://policy na barra de endereço e verifique se AutoSelectCertificateForUrls está definido como Máquina (ou Usuário atual no ChromeOS) e não mostra um status de Conflito.
3. Faça o download dos registros da extensão Verificação de endpoints para inspecionar erros de seleção de certificado:
   1. Clique com o botão direito do mouse na extensão Verificação de endpoints e selecione Opções.
   2. Selecione Nível de registro > Todos > Fazer o download de registros.
   3. Se o problema persistir, abra um caso de suporte com o Cloud Customer Care e compartilhe os registros para mais depuração.

Problemas com dispositivos móveis

Nesta seção, listamos problemas que podem ocorrer ao usar dispositivos móveis com níveis de acesso e fornecemos sugestões de como corrigir cada um deles.

O nível de acesso nega solicitações de um dispositivo móvel compatível

O problema a seguir ocorre quando um nível de acesso nega uma solicitação de usuário de um dispositivo móvel Android ou iOS, mesmo que o nível de acesso e as configurações de gerenciamento de dispositivos móveis estejam configurados corretamente.

Esse problema ocorre quando o estado do dispositivo do lado do servidor não é atualizado ou quando a solicitação não é originada do Safari ou do Chrome enquanto o usuário está conectado a uma conta de usuário da organização.

Para resolver esse problema, verifique se a solicitação se origina do Safari ou do Chrome usando uma conta de usuário da organização e force uma atualização do estado do dispositivo do lado do servidor:

• Dispositivos Android:

  1. Se você tiver feito login no accounts.google.com no navegador do dispositivo, saia da conta.
  2. Abra o app Configurações do dispositivo e acesse Contas.
  3. Remover a Conta do Google corporativa do dispositivo.
  4. Adicione a Conta do Google corporativa de volta ao dispositivo.

• Dispositivos iOS:

  1. Se você tiver feito login no accounts.google.com no navegador do seu dispositivo, saia da conta.
  2. Abra um app do Google no dispositivo, como o Gmail.
  3. Remover a Conta do Google corporativa do dispositivo.
  4. Adicione a Conta do Google corporativa de volta ao dispositivo.