Mantenha tudo organizado com as coleções
Salve e categorize o conteúdo com base nas suas preferências.
Nesta página, detalhamos os objetos e atributos usados para criar expressões
Common Expression Language (CEL)
para níveis de acesso personalizados. Exemplos estão incluídos.
Contém atributos que descrevem o dispositivo de origem da solicitação.
Atributos do origin
Esta seção lista os atributos compatíveis com o objeto origin.
Atributos
ip
Tipo
string
Descrição
O endereço IP de origem da solicitação. Se não for possível determinar o endereço IP, origin.ip será avaliado como um erro. Recomendamos usar inIpRange para verificar se o endereço IP de origem está em um intervalo de endereços IP específico, em vez de fazer uma comparação de strings.
Exemplo:
inIpRange(origin.ip, ["203.0.113.24"])
region_code
Tipo
string
Descrição
O código ISO 3166-1 alfa-2 do país ou da região de origem da solicitação. Se não for possível determinar o código da região, origin.region_code será avaliado como um erro.
Exemplo:
origin.region_code == "GB"
origin.region_code in ["US", "FR", "JP"]
Atributos do request.auth
Esta seção lista os atributos compatíveis com o objeto request.auth.
Atributos
principal
Tipo
string, list(string)
Descrição
O ID exclusivo do usuário que emitiu a solicitação.
O valor de request.auth.principal precisa ser um
ou mais IDs de usuário exclusivos. Para conseguir os UUIDs, use a
API Admin SDK Directory.
O valor precisa estar no seguinte formato:
https://accounts.google.com/UUID
Em que UUID é o UUID de um usuário.
Exemplo:
request.auth.principal == "https://accounts.google.com/1134924314572461055"
request.auth.principal in ["https://accounts.google.com/1134924314572461055", "https://accounts.google.com/3134824314572461115"]
claims.crd_str.pwd
Tipo
boolean
Descrição
Usuário autenticado com uma senha.
Exemplo:
request.auth.claims.crd_str.pwd == true
claims.crd_str.push
Tipo
boolean
Descrição
Usuário autenticado com uma notificação push para o dispositivo móvel.
Exemplo:
request.auth.claims.crd_str.push == true
claims.crd_str.sms
Tipo
boolean
Descrição
Usuário autenticado usando um código enviado para SMS ou por chamada telefônica.
Exemplo:
request.auth.claims.crd_str.sms == true
claims.crd_str.swk
Tipo
boolean
Descrição
A verificação em duas etapas usou uma chave de software, como um smartphone, como uma chave de segurança.
Exemplo:
request.auth.claims.crd_str.swk == true
claims.crd_str.hwk
Tipo
boolean
Descrição
A verificação em duas etapas usou uma chave de hardware, como a chave Titan do Google.
Exemplo:
request.auth.claims.crd_str.hwk == true
claims.crd_str.otp
Tipo
boolean
Descrição
Usuário autenticado com métodos de senha única (Google Authenticator e códigos alternativos).
Exemplo:
request.auth.claims.crd_str.otp == true
claims.crd_str.mfa
Tipo
boolean
Descrição
Usuário autenticado com qualquer um dos métodos desta tabela, exceto pwd.
Esta seção lista os atributos compatíveis com o objeto levels.
Atributos
level name
Tipo
boolean
Descrição
level name corresponde ao nome de um nível de acesso existente.
Quando usadas, as condições do nível de acesso especificado também precisam ser atendidas, além dos outros requisitos do seu nível de acesso personalizado.
Exemplo:
levels.allow_corp_ips
Em que allow_corp_ips é o nome de um nível de acesso.
Atributo device
Esta seção lista os atributos compatíveis com o objeto device. Se nenhum dispositivo
associado aos identificadores for encontrado, todos os atributos
a seguir serão considerados erros.
Atributos
encryption_status
Tipo
enum
Descrição
Descreve o status de criptografia do dispositivo.
Valores de tipo enumerado:
enum DeviceEncryptionStatus {
// The encryption status of the device is not specified or not known.
ENCRYPTION_UNSPECIFIED == 0;
// The device does not support encryption.
ENCRYPTION_UNSUPPORTED == 1;
// The device supports encryption, but is currently unencrypted.
UNENCRYPTED == 2;
// The device is encrypted.
ENCRYPTED == 3;
}
Se o dispositivo foi aprovado pelo administrador do
domínio.
Exemplo:
device.is_admin_approved_device == true
is_corp_owned_device
Tipo
boolean
Descrição
Se o dispositivo é da organização.
Exemplo:
device.is_corp_owned_device == true
is_secured_with_screenlock
Tipo
boolean
Descrição
Se o dispositivo está com a função de bloqueio de tela ativada.
Exemplo:
device.is_secured_with_screenlock == true
os_type
Tipo
enum
Descrição
Identifica qual sistema operacional o dispositivo está usando.
Valores de tipo enumerado:
enum OsType {
// The operating system of the device is not specified or not known.
OS_UNSPECIFIED == 0;
// A desktop Mac operating system.
DESKTOP_MAC == 1;
// A desktop Windows operating system.
DESKTOP_WINDOWS == 2;
// A desktop Linux operating system.
DESKTOP_LINUX == 3;
// An Android operating system.
ANDROID == 4;
// An iOS operating system.
IOS == 5;
// A desktop ChromeOS operating system.
DESKTOP_CHROME_OS == 6;
}
O objeto vendors é usado para acessar dados fornecidos
por fornecedores de segurança e gerenciamento de endpoints de terceiros. Cada
fornecedor pode preencher três atributos de nível superior compartilhados:
is_compliant_device,
is_managed_device e
device_health_score.
Além disso, os fornecedores podem fornecer as próprias chaves e valores
referenciados usando o atributo data.
As chaves disponíveis para o atributo data variam
de acordo com o fornecedor. Verifique se você está consistente ao comparar o valor da chave na expressão da política. Por exemplo, se você espera que o valor-chave seja uma string ou um booleano, compare-o a uma string ou um booleano na expressão de política correspondente. Quando o valor for um número inteiro, compare-o com um número duplo na expressão de política.
Valores de tipo enumerado:
// Health score of the device as provided by the vendor (possibly third party).
enum DeviceHealthScore {
// The health score for the device is not specified or unknown.
DEVICE_HEALTH_SCORE_UNSPECIFIED = 0;
// The health of the device is very poor.
VERY_POOR = 1;
// The health of the device is poor.
POOR = 2;
// The health of the device is ok.
NEUTRAL = 3;
// The health of the device is good.
GOOD = 4;
// The health of the device is very good.
VERY_GOOD = 5;
}
Se o navegador é gerenciado no nível do navegador ou do perfil e pela empresa no domínio correto.
Um navegador é considerado gerenciado se as políticas são gerenciadas centralmente e enviadas e o domínio do navegador ou perfil gerenciado corresponde ao domínio esperado no servidor.
Verifica se o sistema operacional do dispositivo é pelo menos uma determinada
versão. Recomendamos que você use essa função com o atributo
device.os_type.
Exemplo:
device.versionAtLeast("10.0") == true
certificateBindingState(origin, device)
Tipo
(Peer, DeviceType) -> inteiro
Descrição
Verifica se o certificado do cliente associado à origem
corresponde ao dispositivo e informa o estado.
O estado retornado pela função pode ser um dos seguintes:
Testa se o operando da string começa com o argumento prefix.
Exemplo:
"Sample string".startsWith("Sample")
endsWith()
Tipo
string.(string) -> booleano
Descrição
Testa se o operando da string termina com o argumento de sufixo.
Exemplo:
"Sample string".endsWith("string")
origin.clientCertFingerprint()
Tipo
Origin.() -> string
Descrição
Retorna a impressão digital do certificado associado à origem. Ele pode ser usado em macros para testar certificados de dispositivos.
Exemplo:
// Checks if the enterprise certificate associated with the origin matches the device.
device.certificates.exists(cert, cert.is_valid && cert.cert_fingerprint == origin.clientCertFingerprint())
Macros para expressões CEL
É possível usar as seguintes macros nas expressões CEL para níveis de acesso personalizados:
Macro
Descrição
has(e.f)
Testa se um campo está disponível. Consulte Seleção de campo para mais detalhes. Exemplo:
Testa se um predicado contém todos os elementos de uma e de lista ou as chaves de um e de mapa. Aqui, x é um identificador a ser usado no p que é vinculado ao elemento ou à chave. A macro all() combina os resultados dos predicados por elemento com o operador and (&&). Portanto, se algum predicado for avaliado como falso, a macro será avaliada como falsa, ignorando os erros de outros predicados. Exemplo:
A função retorna "false" porque nem todos os elementos são maiores que 1: [1,2,3].all(x, x > 1)
e.exists(x, p)
Semelhante à macro all(), mas combina os resultados do predicado com o operador or (||). Exemplo:
A função retorna "true" porque há pelo menos um elemento na lista maior que 1: [1,2,3].exists(x, x > 1)
Verifica se o certificado empresarial associado ao dispositivo corresponde ao emissor: device.certificates.exists(cert, cert.is_valid && cert.issuer == "EMAILADDRESS=test_inter1@beyondcorp.in, CN=inter_1, OU=BCEDemo_1, O=BCEDemo, L=NCR, ST=UP, C=IN")
e.exists_one(x, p)
Como a macro exists(), mas avalia como verdadeiro somente se o predicado de exatamente um elemento ou chave é avaliado como verdadeiro e o restante como falso. Qualquer outra combinação de resultados booleanos será avaliada como falsa, e qualquer erro de predicado fará com que a macro gere um erro. Exemplo:
A função retorna "false" porque mais de um elemento é maior que 1: [1,2,3].exists_one(x, x > 1)
Exemplo de expressões CEL
Esta seção inclui exemplos de expressões CEL usadas para criar níveis de acesso
personalizados.
Exemplo 1
device.encryption_status == DeviceEncryptionStatus.ENCRYPTED && (origin.region_code in ["US"] || device.is_admin_approved_device)
Este exemplo representa um nível de acesso que exige que as seguintes condições
sejam atendidas para permitir uma solicitação:
O dispositivo de origem da solicitação é criptografado.
Um ou mais dos itens a seguir são verdadeiros:
A solicitação foi originada nos Estados Unidos.
O dispositivo de origem da solicitação foi aprovado pelo
administrador do domínio.
Este exemplo representa um nível de acesso que exige que as seguintes condições
sejam atendidas para permitir uma solicitação:
Um dos seguintes itens é verdadeiro:
O dispositivo de origem da solicitação usa um sistema operacional Windows
para computador e pertence à sua organização.
O dispositivo de origem da solicitação usa um sistema operacional Mac
para computadores, é aprovado pelo administrador do domínio e está
usando pelo menos o MacOS 10.11.
Este exemplo representa um nível de acesso que exige que a condição a seguir
seja atendida para permitir uma solicitação:
A função de extensão certificateBindingState determina que o certificado
apresentado no momento da solicitação corresponde a um dos certificados
de dispositivo que foram registrados quando o dispositivo foi inscrito na
verificação de endpoints.
