Résoudre les problèmes liés à l'accès contextuel

Cette page aide les administrateurs de sécurité et du cloud à diagnostiquer et à résoudre les problèmes liés aux niveaux d'accès Access Context Manager, aux liaisons de comptes de service d'accès contextuel, à l'accès basé sur un certificat et aux appareils mobiles gérés.

Problèmes de gestion des niveaux d'accès

Cette section répertorie les problèmes que vous pouvez rencontrer lors de la gestion des niveaux d'accès dans Access Context Manager et fournit des suggestions pour les résoudre.

Impossible de supprimer un niveau d'accès utilisé dans les règles d'accès contextuel Google Workspace

Le problème suivant se produit lorsque vous tentez de supprimer un niveau d'accès dans Access Context Manager qui est attribué à une règle d'accès contextuel Google Workspace.

Selon l'interface que vous utilisez, vous recevez l'un des messages d'erreur suivants :

  • ConsoleGoogle Cloud  :

    Cannot delete Access Level 'ACCESS_LEVEL_TITLE'. It's currently
used in Google Workspace Context-Aware Access policies. To delete this
Access Level, first remove it from all app assignments and default rules in
the Google Workspace Admin Console.

  • Google Cloud CLI :

    ERROR: (gcloud.access-context-manager.levels.delete) FAILED_PRECONDITION:
Cannot delete Access Level: ACCESS_LEVEL_NAME. This Access Level
is currently being used by Google Workspace Context-Aware Access policies.
Please remove the Access Level from all assignments in the Google Workspace
Admin Console before attempting deletion.

  • API Access Context Manager :

    FAILED_PRECONDITION: WORKSPACE_CAA_LIEN_PROTECTED

Les règles d'accès contextuel Google Workspace et Access Context Manager partagent les niveaux d'accès sous-jacents. Pour éviter toute interruption de service accidentelle pour les utilisateurs de Google Workspace, le système place un verrou de suppression sur tout niveau d'accès attribué à une règle d'accès contextuel Google Workspace, que la règle soit en mode Actif, Moniteur ou Avertissement.

Pour résoudre ce problème, supprimez l'attribution du niveau d'accès dans la console d'administration Google avant de supprimer le niveau d'accès :

  1. Connectez-vous à la console d'administration.
  2. Accédez à Sécurité > Contrôle des accès et des données > Accès contextuel.
  3. Identifiez les applications Google Workspace principales, les applications SAML ou les règles d'API par défaut auxquelles le niveau d'accès est attribué.
  4. Annulez l'attribution du niveau d'accès à ces règles. Pour en savoir plus, consultez Attribuer des niveaux d'accès contextuel aux applications.
  5. Une fois que vous avez supprimé le niveau d'accès de toutes les attributions d'accès contextuel Google Workspace, le système supprime automatiquement le verrou de suppression. Réessayez de supprimer le niveau d'accès dans la console Google Cloud ou à l'aide de la gcloud CLI.

Impossible de supprimer un niveau d'accès référencé par un autre niveau d'accès

Vous pouvez recevoir cette erreur lorsque vous tentez de supprimer un niveau d'accès référencé comme condition dans un autre niveau d'accès de base ou personnalisé.

Pour résoudre ce problème, vérifiez les dépendances de votre niveau d'accès et mettez à jour tous les niveaux d'accès référencés pour supprimer la dépendance avant de supprimer le niveau d'accès.

Accès à la console Google Cloud bloqué après la suppression ou la modification d'un niveau d'accès

Le problème suivant se produit lorsque les administrateurs ou les utilisateurs d'un groupe Google ne peuvent pas accéder à la console Google Cloud ou aux API Google Cloud après la suppression ou la modification d'un niveau d'accès référencé dans une liaison d'accèsGoogle Cloud . Étant donné que les liaisons d'accès Google Cloud ne placent pas de verrou de suppression sur les niveaux d'accès référencés, la suppression d'un niveau d'accès en cours d'utilisation entraîne l'échec des évaluations d'accès pour le groupe lié.

Pour résoudre ce problème et récupérer l'accès, supprimez les utilisateurs concernés du groupe Google dans la console d'administration :

  1. Connectez-vous à la console d'administration à l'aide d'un compte administrateur pouvant gérer les groupes Google.
  2. Accédez à Annuaire > Groupes, puis sélectionnez le groupe Google utilisé dans la liaison d'accès.
  3. Supprimez les comptes administrateur ou utilisateur concernés du groupe pour contourner la liaison d'accès et rétablir l'accès à la console Google Cloud et aux APIGoogle Cloud .
  4. Une fois l'accès rétabli, mettez à jour ou supprimez la liaison d'accès afin qu'elle référence un niveau d'accès valide, puis ajoutez à nouveau les utilisateurs au groupe Google.

Problèmes liés au compte de service

Cette section répertorie les problèmes que vous pouvez rencontrer lors de la configuration de l'Accès contextuel pour les comptes de service et fournit des suggestions pour les résoudre.

L'accès est refusé pour un compte de service

Le problème suivant se produit lorsque l'accès contextuel refuse à un compte de service l'accès aux ressources Google Cloud après que vous avez lié une règle d'accès contextuel.

Ce problème se produit généralement pour l'une des raisons suivantes :

  • Vous avez lié la règle d'accès contextuel en mode forcé plutôt qu'en mode dry run.
  • Le niveau d'accès n'inclut pas toutes les sources requises, comme une adresse IP que vous n'avez pas incluse lors de la création du niveau d'accès.
  • Votre identité utilisateur est membre d'un groupe Google auquel est associée une règle d'accès contextuel qui limite l'accès des utilisateurs, ce qui empêche le flux d'appels vers le compte de service.

Pour résoudre ce problème, procédez comme suit :

  1. Utilisez le mode dry run au lieu du mode d'application pour permettre aux comptes de service d'accéder aux ressources et de consigner les événements d'application sans refuser l'accès.

  2. Examinez les entrées Cloud Audit Logs en exécutant la requête de journal suivante :

    protoPayload.serviceName="contextawareaccess.googleapis.com"

  3. Vérifiez le nom de ressource du niveau d'accès que l'accès contextuel indique dans les entrées de journal Cloud Audit Logs.

  4. Vérifiez que le niveau d'accès est une ressource au niveau de l'organisation et qu'il n'utilise que des attributs compatibles avec les comptes de service.

  5. Vérifiez que la règle d'accès contextuel est liée au compte de service prévu et que le niveau d'accès inclut toutes les adresses IP ou tous les réseaux sources requis.

  6. Vérifiez que votre identité utilisateur n'est pas limitée par une règle d'accès contextuel au niveau du groupe.

Problèmes d'accès basé sur des certificats

Cette section répertorie les problèmes que vous pouvez rencontrer lorsque vous utilisez l'accès basé sur des certificats pour les charges de travail ou les certificats d'entreprise, et fournit des suggestions pour les résoudre.

Erreur 403 (Accès interdit) lors de l'autorisation des charges de travail

Le problème suivant se produit lorsqu'une charge de travail tente d'accéder à une ressourceGoogle Cloud à l'aide de l'accès basé sur un certificat pour la fédération d'identité de charge de travail :

403 Forbidden, user does not have permission.

Pour résoudre ce problème, vérifiez votre stratégie Identity and Access Management (IAM) afin de vous assurer que le pool d'identités de charge de travail a accès à votre ressource Google Cloud . Pour en savoir plus, consultez Configurer l'accès basé sur un certificat pour la fédération d'identité de charge de travail.

Erreur de client non autorisé pour l'attribut google.subject

Le problème suivant se produit lorsque le backend ne peut pas extraire une valeur pour l'attribut google.subject d'un certificat client en fonction de votre mappage d'attributs :

Unauthorized_client: Could not obtain a value for google.subject from the given
credential.

Pour résoudre ce problème, inspectez votre certificat client et vérifiez que le champ de certificat référencé dans votre mappage d'attributs contient une valeur valide.

Refus d'accès inattendus après l'activation des liaisons d'accès contextuel

Le problème suivant se produit lorsque l'accès contextuel refuse de manière inattendue des requêtes de charge de travail valides après l'activation d'une liaison d'accès contextuel.

Pour résoudre ce problème, débloquez le trafic tout en continuant à évaluer l'accès et à générer des journaux d'audit en passant la liaison d'accès contextuel en mode dry run :

gcloud alpha access-context-manager cloud-bindings update \
    --binding=BINDING_ID \
    --organization=ORG_ID \
    --level= \
    --dry-run-level=DRY_RUN_ACCESS_LEVEL_ID

Remplacez les éléments suivants :

  • BINDING_ID : ID de la liaison d'accès contextuel.
  • ORG_ID : ID de votre organisation.
  • DRY_RUN_ACCESS_LEVEL_ID : nom complet de la ressource du niveau d'accès dry run, par exemple accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.

Vous pouvez également supprimer la liaison d'accès contextuel pour débloquer immédiatement le trafic :

gcloud alpha access-context-manager cloud-bindings delete \
    --binding=BINDING_ID \
    --organization=ORG_ID

Après avoir rétabli l'accès, consultez les journaux d'audit de l'accès contextuel pour déterminer pourquoi l'accès contextuel a refusé les requêtes.

Échec de la validation de la condition de certificat d'entreprise

Le problème suivant se produit lorsqu'un niveau d'accès refuse l'accès à un appareil disposant d'un certificat d'entreprise, même si vous avez configuré des conditions de certificat d'entreprise.

Pour résoudre ce problème, vérifiez les attributs du certificat et collectez les journaux Endpoint Verification pour le débogage :

  1. Dans la console d'administration, examinez les attributs du certificat sur la page d'informations de l'appareil pour vérifier qu'ils correspondent à l'émetteur et aux attributs de votre niveau d'accès personnalisé.
  2. Dans le navigateur Google Chrome, saisissez chrome://policy dans la barre d'adresse et vérifiez que AutoSelectCertificateForUrls est défini sur Machine (ou Utilisateur actuel sur ChromeOS) et n'affiche pas l'état Conflit.
  3. Téléchargez les journaux de l'extension Endpoint Verification pour inspecter les erreurs de sélection de certificat :
    1. Effectuez un clic droit sur l'extension Endpoint Verification, puis sélectionnez Options.
    2. Sélectionnez Niveau de journalisation>Tous>Télécharger les journaux.
    3. Si le problème persiste, ouvrez une demande d'assistance auprès de Cloud Customer Care et partagez les journaux pour un débogage plus approfondi.

Problèmes liés aux appareils mobiles

Cette section répertorie les problèmes que vous pouvez rencontrer lorsque vous utilisez des appareils mobiles avec des niveaux d'accès et fournit des suggestions pour les résoudre.

Le niveau d'accès refuse les requêtes provenant d'un appareil mobile conforme

Le problème suivant se produit lorsqu'un niveau d'accès refuse une requête utilisateur provenant d'un appareil mobile Android ou iOS, même si le niveau d'accès et les paramètres de gestion des appareils mobiles sont correctement configurés.

Ce problème se produit lorsque l'état de l'appareil côté serveur n'a pas été actualisé ou lorsque la requête ne provient pas de Safari ou de Chrome alors que l'utilisateur est connecté à un compte utilisateur de l'organisation.

Pour résoudre ce problème, vérifiez que la requête provient de Safari ou de Chrome à l'aide d'un compte utilisateur de l'organisation, puis forcez l'actualisation de l'état de l'appareil côté serveur :

  • Appareils Android :

    1. Si vous êtes connecté à accounts.google.com dans le navigateur de votre appareil, déconnectez-vous du compte.
    2. Ouvrez l'application Paramètres de votre appareil, puis accédez à Comptes.
    3. Supprimez le compte Google d'entreprise de l'appareil.
    4. Ajoutez de nouveau le compte Google d'entreprise à l'appareil.

  • Appareils iOS :

    1. Si vous êtes connecté à accounts.google.com dans le navigateur de votre appareil, déconnectez-vous du compte.
    2. Ouvrez une appli Google sur l'appareil, comme Gmail.
    3. Supprimez le compte Google d'entreprise de l'appareil.
    4. Ajoutez de nouveau le compte Google d'entreprise à l'appareil.