פתרון בעיות בבקרת גישה מבוססת-הקשר

בדף הזה מוסבר לאדמינים של אבטחה ושל הענן איך לאבחן ולפתור בעיות שקשורות לרמות הגישה של Access Context Manager, לקישורים של חשבונות שירות לבקרת גישה מבוססת-הקשר, לגישה מבוססת-אישורים ולמכשירים ניידים מנוהלים.

בעיות בניהול רמות הגישה

בקטע הזה מפורטות בעיות שאתם עלולים להיתקל בהן כשאתם מנהלים רמות גישה ב-Access Context Manager, ומוצעים פתרונות לכל אחת מהן.

אי אפשר למחוק רמת גישה שמשמשת בכללי מדיניות של בקרת גישה מבוססת-הקשר ב-Google Workspace

הבעיה הבאה מתרחשת כשמנסים למחוק רמת גישה ב-Access Context Manager שמוקצית למדיניות של בקרת גישה מבוססת-הקשר ב-Google Workspace.

בהתאם לממשק שבו אתם משתמשים, תופיע אחת מהודעות השגיאה הבאות:

  • Google Cloud console:

    Cannot delete Access Level 'ACCESS_LEVEL_TITLE'. It's currently
used in Google Workspace Context-Aware Access policies. To delete this
Access Level, first remove it from all app assignments and default rules in
the Google Workspace Admin Console.

  • Google Cloud CLI:

    ERROR: (gcloud.access-context-manager.levels.delete) FAILED_PRECONDITION:
Cannot delete Access Level: ACCESS_LEVEL_NAME. This Access Level
is currently being used by Google Workspace Context-Aware Access policies.
Please remove the Access Level from all assignments in the Google Workspace
Admin Console before attempting deletion.

  • Access Context Manager API:

    FAILED_PRECONDITION: WORKSPACE_CAA_LIEN_PROTECTED

כללי המדיניות של בקרת גישה מבוססת-הקשר ב-Google Workspace ו-Access Context Manager חולקים את רמות הגישה הבסיסיות. כדי למנוע שיבושים מקריים בשירות למשתמשי Google Workspace, המערכת מציבה מנעול למניעת מחיקה (שעבוד) בכל רמת גישה שמוקצית למדיניות של בקרת גישה מבוססת-הקשר ב-Google Workspace, בין אם המדיניות במצב פעיל, במצב מעקב או במצב אזהרה.

כדי לפתור את הבעיה, צריך להסיר את ההקצאה של רמת הגישה במסוף Google Admin לפני שמוחקים את רמת הגישה:

  1. נכנסים למסוף Admin.
  2. נכנסים אל אבטחה > שליטה בגישה ובנתונים > בקרת גישה מבוססת-הקשר.
  3. מזהים את אפליקציות הליבה של Google Workspace, אפליקציות SAML או כללי API שמוגדרים כברירת מחדל, שהוקצתה להם רמת הגישה.
  4. לבטל את ההקצאה של רמת הגישה מכללי המדיניות האלה. מידע נוסף זמין במאמר הקצאת רמות של בקרת גישה מבוססת-הקשר לאפליקציות.
  5. אחרי שמסירים את רמת הגישה מכל ההקצאות של בקרת גישה מבוססת-הקשר ב-Google Workspace, המערכת מסירה באופן אוטומטי את נעילת המחיקה. מנסים שוב למחוק את רמת הגישה במסוף Google Cloud או באמצעות ה-CLI של gcloud.

אי אפשר למחוק רמת גישה שרמת גישה אחרת מפנה אליה

השגיאה הזו יכולה להופיע כשמנסים למחוק רמת גישה שמוגדרת כתנאי ברמת גישה בסיסית או מותאמת אישית אחרת.

כדי לפתור את הבעיה, בדקו את יחסי התלות של רמת הגישה ועדכנו את כל רמות הגישה שמפנות אליה כדי להסיר את יחסי התלות לפני שאתם מוחקים את רמת הגישה.

ננעלתי מחוץ למסוף Google Cloud אחרי שמחקתי או שיניתי רמת גישה

הבעיה הבאה מתרחשת כשלאדמינים או למשתמשים בקבוצת Google נחסמת הגישה למסוף Google Cloud או לממשקי ה-API של Google Cloud , אחרי שמוחקים או משנים רמת גישה שמופיעה בGoogle Cloud קישור גישה. בגלל ש Google Cloud קישורי גישה לא נועלים את רמות הגישה המקושרות מפני מחיקה, מחיקה של רמת גישה שנמצאת בשימוש גורמת לכך שהערכות הגישה של הקבוצה המקושרת ייכשלו וייחסמו.

כדי לפתור את הבעיה ולקבל שוב גישה, צריך להסיר את המשתמשים הרלוונטיים מקבוצת Google במסוף Admin:

  1. נכנסים למסוף Admin באמצעות חשבון אדמין שיכול לנהל קבוצות Google.
  2. עוברים אל Directory > Groups ובוחרים את קבוצת Google שמשמשת בקישור הגישה.
  3. כדי לעקוף את קישור הגישה ולשחזר את הגישה למסוף Google Cloud ולממשקי ה-API שלGoogle Cloud , צריך להסיר מהקבוצה את חשבונות האדמין או המשתמשים שהושפעו.
  4. אחרי שתקבלו שוב גישה, עדכנו או מחקו את קישור הגישה כך שיפנה לרמת גישה תקינה, ואז הוסיפו את המשתמשים בחזרה לקבוצה ב-Google.

בעיות בחשבון השירות

בקטע הזה מפורטות בעיות שאתם עלולים להיתקל בהן כשאתם מגדירים בקרת גישה מבוססת-הקשר לחשבונות שירות, ומוצעות הצעות לפתרון כל אחת מהן.

אין גישה לחשבון שירות

הבעיה הבאה מתרחשת כשבקרת גישה מבוססת-הקשר דוחה את הגישה של חשבון שירות למשאבי Google Cloud אחרי שאתם מקשרים מדיניות של בקרת גישה מבוססת-הקשר.

הבעיה הזו מתרחשת בדרך כלל בגלל אחת מהסיבות הבאות:

  • קישרתם את המדיניות של בקרת הגישה מבוססת-ההקשר במצב אכיפה במקום במצב פרימטר לבדיקות.
  • רמת הגישה לא כוללת את כל המקורות הנדרשים, כמו כתובת IP שלא כללתם כשיצרתם את רמת הגישה.
  • זהות המשתמש שלכם שייכת לקבוצה ב-Google שמוגדרת בה מדיניות בקרת גישה מבוססת-הקשר שמגבילה את הגישה של המשתמשים, ומונעת את זרימת הקריאות לחשבון השירות.

כדי לפתור את הבעיה, מבצעים את השלבים הבאים:

  1. משתמשים במצב פרימטר לבדיקות במקום במצב אכיפה כדי לאפשר לחשבונות שירות לגשת למשאבים ולתעד אירועי אכיפה בלי לדחות את הגישה.

  2. כדי לבדוק את הרשומות ביומני הביקורת של Cloud, מריצים את שאילתת היומן הבאה:

    protoPayload.serviceName="contextawareaccess.googleapis.com"

  3. בודקים את שם המשאב של רמת הגישה שדווח על ידי בקרת הגישה מבוססת-ההקשר ברשומות של יומני הביקורת ב-Cloud.

  4. מוודאים שרמת הגישה היא משאב ברמת הארגון, ושהיא משתמשת רק במאפיינים שנתמכים בחשבונות שירות.

  5. מוודאים שמדיניות בקרת הגישה מבוססת-הקשר מקושרת לחשבון השירות הרצוי, ושרמת הגישה כוללת את כל כתובות ה-IP או רשתות המקור הנדרשות.

  6. מוודאים שזהות המשתמש לא מוגבלת על ידי מדיניות בקרת גישה מבוססת-הקשר ברמת הקבוצה.

בעיות בגישה שמבוססת על אישורים

בקטע הזה מפורטות בעיות שאתם עלולים להיתקל בהן כשאתם משתמשים בבקרת גישה מבוססת-אישורים לעומסי עבודה או לאישורים ארגוניים, ומוצעים פתרונות לכל אחת מהן.

שגיאה מסוג "403 אסור" כשנותנים הרשאה לעומסי עבודה

הבעיה הבאה מתרחשת כשעומס עבודה מנסה לגשת למשאב שלGoogle Cloud באמצעות גישה מבוססת-אישורים לאיחוד שירותי אימות הזהות של עומסי עבודה:

403 Forbidden, user does not have permission.

כדי לפתור את הבעיה, בודקים את מדיניות ניהול הזהויות והרשאות הגישה (IAM) ומוודאים שלמאגר הזהויות של עומסי העבודה יש גישה למשאב Google Cloud . מידע נוסף זמין במאמר הגדרת גישה מבוססת-אישורים לאיחוד שירותי אימות הזהות של עומסי עבודה.

שגיאת לקוח לא מורשה במאפיין google.subject

הבעיה הבאה מתרחשת כשה-backend לא יכול לחלץ ערך למאפיין google.subject מאישור לקוח על סמך מיפוי המאפיינים:

Unauthorized_client: Could not obtain a value for google.subject from the given
credential.

כדי לפתור את הבעיה, בודקים את אישור הלקוח ומוודאים ששדה האישור שאליו מפנה מיפוי המאפיינים מכיל ערך תקין.

סירובי גישה לא צפויים אחרי הפעלת קישורים של בקרת גישה מבוססת-הקשר

הבעיה הבאה מתרחשת כשבקרת הגישה מבוססת-ההקשר דוחה באופן בלתי צפוי בקשות תקינות של עומסי עבודה, אחרי שמפעילים קישור של בקרת גישה מבוססת-הקשר.

כדי לפתור את הבעיה, צריך לבטל את החסימה של התנועה, להמשיך להעריך את הגישה וליצור יומני ביקורת על ידי העברת הקישור של בקרת הגישה מבוססת-ההקשר למצב פרימטר לבדיקות:

gcloud alpha access-context-manager cloud-bindings update \
    --binding=BINDING_ID \
    --organization=ORG_ID \
    --level= \
    --dry-run-level=DRY_RUN_ACCESS_LEVEL_ID

מחליפים את מה שכתוב בשדות הבאים:

  • ‫BINDING_ID: המזהה של הקישור של בקרת הגישה מבוססת-ההקשר.
  • ‫ORG_ID: מזהה הארגון.
  • ‫DRY_RUN_ACCESS_LEVEL_ID: שם המשאב המלא של רמת הגישה להרצה (dry run), לדוגמה accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.

אפשר גם למחוק את הקישור של בקרת הגישה מבוססת-ההקשר כדי לבטל מיד את חסימת התנועה:

gcloud alpha access-context-manager cloud-bindings delete \
    --binding=BINDING_ID \
    --organization=ORG_ID

אחרי שמשחזרים את הגישה, בודקים את יומני הביקורת של בקרת גישה מבוססת-הקשר כדי להבין למה בקרת הגישה מבוססת-ההקשר דחתה את הבקשות.

התנאי של אישור הארגון לא עבר את האימות

הבעיה הבאה מתרחשת כשברמת הגישה נמנעת גישה למכשיר עם אישור ארגוני, למרות שהגדרתם תנאים לאישור ארגוני.

כדי לפתור את הבעיה, צריך לאמת את מאפייני האישור ולאסוף את יומני Endpoint Verification לצורך ניפוי באגים:

  1. במסוף Admin, בודקים את מאפייני האישור בדף פרטי המכשיר כדי לוודא שהם תואמים למנפיק ולמאפיינים ברמת הגישה המותאמת אישית.
  2. בדפדפן Google Chrome, מזינים chrome://policy בסרגל הכתובות ומוודאים שהמדיניות AutoSelectCertificateForUrls מוגדרת כמכונה (או המשתמש הנוכחי ב-ChromeOS) ולא מוצג סטטוס התנגשות.
  3. מורידים את יומני התוסף "אימות של נקודות קצה" כדי לבדוק שגיאות בבחירת האישורים:
    1. לוחצים לחיצה ימנית על התוסף Endpoint Verification ובוחרים באפשרות אפשרויות.
    2. בוחרים באפשרות רמת היומן > הכול > הורדת יומנים.
    3. אם הבעיה נמשכת, פתחו בקשת תמיכה ב-Cloud Customer Care ושתפו את היומנים כדי להמשיך בניפוי הבאגים.

בעיות במכשירים ניידים

בקטע הזה מפורטות בעיות שאתם עלולים להיתקל בהן כשאתם משתמשים במכשירים ניידים עם רמות גישה, ומוצעות הצעות לפתרון כל אחת מהן.

רמת הגישה דוחה בקשות ממכשיר נייד תואם

הבעיה הבאה מתרחשת כשבקשת משתמש ממכשיר Android או iOS נדחית בגלל רמת הגישה, למרות שרמת הגישה וההגדרות של ניהול המכשירים הניידים הוגדרו כמו שצריך.

הבעיה הזו מתרחשת כשמצב המכשיר בצד השרת לא מתרענן, או כשהבקשה לא מגיעה מ-Safari או מ-Chrome בזמן שהמשתמש מחובר לחשבון של הארגון.

כדי לפתור את הבעיה, צריך לוודא שהבקשה מגיעה מ-Safari או מ-Chrome באמצעות חשבון משתמש של הארגון, ואז לאלץ רענון של מצב המכשיר בצד השרת:

  • במכשירי Android:

    1. אם אתם מחוברים לחשבון accounts.google.com בדפדפן של המכשיר, אתם צריכים לצאת מהחשבון.
    2. פותחים את אפליקציית ההגדרות במכשיר ועוברים אל חשבונות.
    3. להסיר את חשבון Google של החברה מהמכשיר.
    4. מוסיפים את חשבון Google של החברה בחזרה למכשיר.

  • מכשירי iOS:

    1. אם אתם מחוברים לחשבון accounts.google.com בדפדפן של המכשיר, אתם צריכים לצאת מהחשבון.
    2. פותחים אפליקציה של Google במכשיר, כמו Gmail.
    3. להסיר את חשבון Google של החברה מהמכשיר.
    4. מוסיפים את חשבון Google של החברה בחזרה למכשיר.