排解情境感知存取權問題

本頁面可協助安全性和雲端管理員診斷及解決 Access Context Manager 存取層級、情境感知存取權服務帳戶繫結、憑證型存取權和受管理行動裝置的問題。

存取層級管理問題

本節列出在 Access Context Manager 中管理存取層級時可能遇到的問題，並提供相應的修正建議。

無法刪除 Google Workspace 情境感知存取權政策使用的存取層級

嘗試刪除 Access Context Manager 中指派給 Google Workspace 情境感知存取權政策的存取層級時，會發生下列問題。

視您使用的介面而定，您會收到下列其中一則錯誤訊息：

  • Google Cloud 控制台：

    Cannot delete Access Level 'ACCESS_LEVEL_TITLE'. It's currently
used in Google Workspace Context-Aware Access policies. To delete this
Access Level, first remove it from all app assignments and default rules in
the Google Workspace Admin Console.

  • Google Cloud CLI：

    ERROR: (gcloud.access-context-manager.levels.delete) FAILED_PRECONDITION:
Cannot delete Access Level: ACCESS_LEVEL_NAME. This Access Level
is currently being used by Google Workspace Context-Aware Access policies.
Please remove the Access Level from all assignments in the Google Workspace
Admin Console before attempting deletion.

  • Access Context Manager API：

    FAILED_PRECONDITION: WORKSPACE_CAA_LIEN_PROTECTED

Google Workspace 情境感知存取權政策和 Access Context Manager 共用基礎存取層級。為避免 Google Workspace 使用者意外中斷服務，系統會對指派給 Google Workspace 情境感知存取權政策的任何存取層級設定防刪除鎖定 (留置權)，無論政策處於啟用、監控或警告模式。

如要解決這個問題，請先在 Google 管理控制台移除存取層級指派，再刪除存取層級：

  1. 登入管理控制台。
  2. 依序前往「安全性」 >「存取權與資料控管」 > 「情境感知存取權」。
  3. 找出已指派存取層級的核心 Google Workspace 應用程式、SAML 應用程式或預設 API 規則。
  4. 取消指派這些政策的存取層級。詳情請參閱「為應用程式指派情境感知存取權層級」。
  5. 從所有 Google Workspace 情境感知存取權指派項目中移除存取層級後，系統會自動移除刪除鎖定。請在 Google Cloud 控制台或使用 gcloud CLI，重試刪除存取層級。

無法刪除其他存取層級參照的存取層級

如果您嘗試刪除的存取層級，在其他基本或自訂存取層級中做為條件參照，就會收到這則錯誤訊息。

如要解決這個問題，請檢查存取層級依附元件，並更新所有參照存取層級，先移除依附元件再刪除存取層級。

刪除或修改存取層級後，無法登入 Google Cloud 控制台

刪除或修改Google Cloud 存取權繫結中參照的存取層級後，Google 群組中的管理員或使用者無法存取 Google Cloud 控制台或 Google Cloud API，就會發生下列問題。由於 Google Cloud 存取權繫結不會對參照的存取層級設定刪除鎖定，因此刪除使用中的存取層級會導致繫結群組的存取權評估失敗。

如要解決這個問題並重新取得存取權，請在管理控制台中，將受影響的使用者從 Google 群組中移除：

  1. 使用可管理 Google 群組的管理員帳戶登入管理控制台。
  2. 依序前往「Directory」(目錄) >「Groups」(群組)，然後選取存取權繫結中使用的 Google 群組。
  3. 從群組中移除受影響的管理員或使用者帳戶，即可略過存取權繫結，並還原 Google Cloud 控制台和Google Cloud API 的存取權。
  4. 重新取得存取權後，請更新或刪除存取權繫結，使其參照有效的存取層級，然後將使用者重新加入 Google 群組。

服務帳戶問題

本節列出為服務帳戶設定情境感知存取權時可能遇到的問題，並提供相應的修正建議。

服務帳戶的存取權遭拒

繫結情境感知存取權政策後，如果情境感知存取權拒絕服務帳戶存取 Google Cloud 資源，就會發生下列問題。

這個問題的常見原因如下：

  • 您在強制執行模式 (而非模擬測試模式) 中繫結情境感知存取權政策。
  • 存取層級未包含所有必要來源，例如您在建立存取層級時未納入的 IP 位址。
  • 您的使用者身分是 Google 群組的成員，該群組已繫結情境感知存取權政策，限制使用者存取權，因此無法呼叫服務帳戶。

如要解決這個問題，請完成下列步驟：

  1. 使用模擬測試模式而非強制執行模式，讓服務帳戶存取資源並記錄強制執行事件，而不拒絕存取。

  2. 執行下列記錄查詢，查看 Cloud 稽核記錄項目：

    protoPayload.serviceName="contextawareaccess.googleapis.com"

  3. 檢查情境感知存取權在 Cloud 稽核記錄項目中回報的存取層級資源名稱。

  4. 確認存取層級是組織層級資源，且僅使用服務帳戶支援的屬性。

  5. 確認情境感知存取權政策已繫結至預期的服務帳戶，且存取層級包含所有必要的 IP 位址或來源網路。

  6. 確認使用者身分未受到群組層級情境感知存取權政策限制。

憑證存取問題

本節列出使用憑證存取工作負載或企業憑證時可能遇到的問題，並提供相應的修正建議。

授權工作負載時發生 403 禁止錯誤

工作負載嘗試透過 Workload Identity Federation 的憑證存取權存取Google Cloud 資源時，會發生下列問題：

403 Forbidden, user does not have permission.

如要解決這個問題，請檢查 Identity and Access Management (IAM) 政策，確認 workload identity pool 有權存取 Google Cloud 資源。詳情請參閱「為 Workload Identity Federation 設定憑證型存取權」。

google.subject 屬性發生未經授權的用戶端錯誤

如果後端無法根據屬性對應，從用戶端憑證擷取 google.subject 屬性的值，就會發生下列問題：

Unauthorized_client: Could not obtain a value for google.subject from the given
credential.

如要解決這個問題，請檢查用戶端憑證，並確認屬性對應中參照的憑證欄位包含有效值。

啟用情境感知存取權繫結後，存取權意外遭拒

啟用情境感知存取權繫結後，情境感知存取權可能會意外拒絕有效的工作負載要求，導致下列問題。

如要解決這個問題，請將情境感知存取權繫結移至模擬測試模式，在解除封鎖流量的同時，繼續評估存取權並產生稽核記錄：

gcloud alpha access-context-manager cloud-bindings update \
    --binding=BINDING_ID \
    --organization=ORG_ID \
    --level= \
    --dry-run-level=DRY_RUN_ACCESS_LEVEL_ID

更改下列內容：

  • BINDING_ID：情境感知存取權繫結的 ID。
  • ORG_ID：組織 ID。
  • DRY_RUN_ACCESS_LEVEL_ID：模擬測試存取層級的完整資源名稱，例如 accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME。

或者，您也可以刪除情境感知存取權繫結，立即解除流量封鎖：

gcloud alpha access-context-manager cloud-bindings delete \
    --binding=BINDING_ID \
    --organization=ORG_ID

還原存取權後，請查看情境感知存取權稽核記錄，判斷情境感知存取權拒絕要求的原因。

企業憑證條件未通過驗證

即使您已設定企業憑證條件，存取層級仍會拒絕具有企業憑證的裝置存取，此時就會發生下列問題。

如要解決這個問題，請驗證憑證屬性，並收集端點驗證記錄進行偵錯：

  1. 在管理控制台的裝置詳細資料頁面中，查看憑證屬性，確認與自訂存取層級中的核發者和屬性相符。
  2. 在 Google Chrome 瀏覽器的網址列中輸入 chrome://policy，確認 AutoSelectCertificateForUrls 已設為「Machine」(機器) (或 ChromeOS 上的「Current User」(目前使用者))，且未顯示「Conflict」(衝突) 狀態。
  3. 下載 Endpoint Verification 擴充功能記錄，檢查憑證選取錯誤：
    1. 在 Endpoint Verification 擴充功能上按一下滑鼠右鍵，然後選取「選項」。
    2. 依序選取「記錄層級」>「全部」>「下載記錄」。
    3. 如果問題仍未解決，請向 Cloud Customer Care 提交客服案件，並提供記錄檔以便進一步偵錯。

行動裝置問題

本節列出使用行動裝置時，可能會遇到的存取層級問題，並提供相應的修正建議。

存取層級拒絕來自相容行動裝置的要求

即使存取層級和行動裝置管理設定皆已正確設定，存取層級仍會拒絕來自 Android 或 iOS 行動裝置的使用者要求，此時就會發生下列問題。

如果伺服器端裝置狀態尚未重新整理，或要求並非來自登入機構使用者帳戶的 Safari 或 Chrome，就會發生這個問題。

如要解決這個問題，請確認要求來自 Safari 或 Chrome，且使用的是組織使用者帳戶，然後強制重新整理伺服器端裝置狀態：

  • Android 裝置：

    1. 如果您已在裝置的瀏覽器中登入 accounts.google.com，請登出帳戶。
    2. 開啟裝置的「設定」應用程式，然後前往「帳戶」。
    3. 從裝置中移除公司 Google 帳戶。
    4. 將公司 Google 帳戶重新加回裝置。

  • iOS 裝置：

    1. 如果您已在裝置的瀏覽器中登入 accounts.google.com，請登出帳戶。
    2. 在裝置上開啟 Google 應用程式，例如 Gmail。
    3. 從裝置中移除公司 Google 帳戶。
    4. 將公司 Google 帳戶重新加回裝置。