Benutzerdefinierte Spezifikation der Zugriffsebene
Auf dieser Seite werden die Objekte und Attribute beschrieben, mit denen die CEL-Ausdrücke (Common Expression Language) für benutzerdefinierte Zugriffsebenen erstellt werden. Beispiele sind enthalten.
In diesem Abschnitt werden die vom levels-Objekt unterstützten Attribute aufgeführt.
Attribute
level name
Typ
boolean
Beschreibung
level name entspricht dem Namen einer vorhandenen Zugriffsebene.
Wenn verwendet müssen die Bedingungen der angegebenen Zugriffsebene zusätzlich zu den anderen Anforderungen Ihrer benutzerdefinierten Zugriffsebene erfüllt werden.
Beispiel:
levels.allow_corp_ips
Dabei ist allow_corp_ips der Name einer Zugriffsebene.
device Attribut
In diesem Abschnitt werden die vom device-Objekt unterstützten Attribute aufgeführt.
Attribute
encryption_status
Typ
enum
Beschreibung
Beschreibt den Verschlüsselungsstatus des Geräts.
Aufzählungswerte:
enum DeviceEncryptionStatus {
// The encryption status of the device is not specified or not known.
ENCRYPTION_UNSPECIFIED == 0;
// The device does not support encryption.
ENCRYPTION_UNSUPPORTED == 1;
// The device supports encryption, but is currently unencrypted.
UNENCRYPTED == 2;
// The device is encrypted.
ENCRYPTED == 3;
}
Gibt an, ob das Gerät vom Domainadministrator genehmigt wurde.
Beispiel:
device.is_admin_approved_device == true
is_corp_owned_device
Typ
boolean
Beschreibung
Gibt an, ob das Gerät der Organisation gehört.
Beispiel:
device.is_corp_owned_device == true
is_secured_with_screenlock
Typ
boolean
Beschreibung
Gibt an, ob die Displaysperre aktiviert ist.
Beispiel:
device.is_secured_with_screenlock == true
os_type
Typ
enum
Beschreibung
Ermittelt, welches Betriebssystem das Gerät verwendet.
Aufzählungswerte:
enum OsType {
// The operating system of the device is not specified or not known.
OS_UNSPECIFIED == 0;
// A desktop Mac operating system.
DESKTOP_MAC == 1;
// A desktop Windows operating system.
DESKTOP_WINDOWS == 2;
// A desktop Linux operating system.
DESKTOP_LINUX == 3;
// An Android operating system.
ANDROID == 4 ;
// An iOS operating system.
IOS == 5;
// A desktop ChromeOS operating system.
DESKTOP_CHROME_OS == 6;
}
Das Objekt vendors wird verwendet, um auf Daten zuzugreifen, die von Drittanbietern für Sicherheit und Endpunktverwaltung bereitgestellt werden. Jeder Anbieter kann drei gemeinsame Attribute der obersten Ebene ergänzen: is_compliant_device, is_managed_device und device_health_score.
Darüber hinaus können Anbieter ihre eigenen Schlüssel und Werte angeben, auf die im Attribut data verwiesen wird.
Die verfügbaren Schlüssel für das Attribut data variieren je nach Anbieter. Achten Sie darauf, dass beim Vergleichen des Schlüsselwerts im Richtlinienausdruck konsistent ist. Wenn Sie beispielsweise davon ausgehen, dass das Schlüssel/Wert-Paar ein String oder ein boolescher Wert ist, müssen Sie es mit dem entsprechenden Wert vergleichen. Wenn der Wert eine ganze Zahl ist, müssen Sie ihn mit einer doppelten Zahl im Richtlinienausdruck vergleichen.
Wird der Browser auf Browser- oder Profilebene und vom Unternehmen unter der richtigen Domain verwaltet?
Ein Browser gilt als verwaltet, wenn die Richtlinien zentral verwaltet und per Push übertragen werden und dass die Domain des verwalteten Browsers oder des Profils mit der erwarteten Domain auf der Serverseite übereinstimmt.
Prüft, ob das Betriebssystem des Geräts mindestens eine bestimmte Version hat. Wir empfehlen, diese Funktion mit dem Attribut device.os_type zu verwenden.
Beispiel:
device.versionAtLeast("10.0") == true
certificateBindingState(origin, device)
Typ
(Peer, DeviceType) -> Ganzzahl
Beschreibung
Prüft, ob das mit dem Ursprung verknüpfte Clientzertifikat mit dem Gerät übereinstimmt und den Status meldet.
Der von der Funktion zurückgegebene Status kann einer der folgenden sein:
Dieses Beispiel stellt eine Zugriffsebene dar, für die die folgenden Bedingungen erfüllt sein müssen, um eine Anfrage zuzulassen:
Eine der folgenden Aussagen ist richtig:
Das Gerät, von dem die Anfrage stammt, verwendet ein Desktop-Windows-Betriebssystem und gehört Ihrer Organisation.
Das Gerät, von dem die Anfrage stammt, verwendet ein Mac-Desktop-Betriebssystem, ist vom Domainadministrator genehmigt und verwendet mindestens MacOS10.11.
Dieses Beispiel stellt eine Zugriffsebene dar, für die die folgende Bedingung erfüllt sein müssen, um eine Anfrage zuzulassen:
Die Erweiterungsfunktion certificateBindingState bestimmt, dass das bei der Anfrage angegebene Zertifikat mit einem der Gerätezertifikate übereinstimmt, die bei der Registrierung des Geräts in der Endpunktprüfung registriert wurden.
