Vista geral do Gestor de acesso sensível ao contexto

Este documento oferece uma vista geral do serviço Gestor de acesso sensível ao contexto e das respetivas funções. Google Cloud Os administradores da organização podem usar o Gestor de acesso sensível ao contexto para definir um controlo de acesso detalhado baseado em atributos para projetos e recursos no Google Cloud. Enquanto administrador, define primeiro uma política de acesso, que é um contentor ao nível da organização para níveis de acesso e perímetros de serviço.

Os níveis de acesso descrevem os requisitos para que os pedidos sejam aceites. Os exemplos incluem o seguinte:

  • Tipo de dispositivo e sistema operativo
  • Endereço IP
  • Identidade do utilizador

Os perímetros de serviço definem caixas de areia de recursos que podem trocar dados livremente dentro do perímetro, mas não podem exportar dados para fora do perímetro. O Gestor de acesso sensível ao contexto não é responsável pela aplicação de políticas. Em alternativa, o Gestor de acesso sensível ao contexto foi concebido para definir regras ou contexto específicos. A política é configurada e aplicada em vários pontos, como os VPC Service Controls. Pode ler mais acerca destes serviços nos respetivos manuais do utilizador.

Pode configurar e aplicar políticas do Gestor de acesso sensível ao contexto nos seguintes componentes da solução Chrome Enterprise Premium:

Vantagens

Muitas empresas confiam num modelo de segurança de perímetro, como uma firewall, para proteger os recursos internos. Um modelo de segurança de perímetro é fortemente protegido com um único ponto de entrada e saída. Tudo o que estiver localizado no exterior é considerado perigoso . Tudo o que estiver no interior é fidedigno.

As firewalls e o modelo de segurança de perímetro funcionam bem se existir um limite preciso em torno de utilizadores e serviços específicos. No entanto, se uma força de trabalho for móvel, a variedade de dispositivos aumenta à medida que os utilizadores trazem os seus próprios dispositivos (BYOD) e utilizam serviços baseados na nuvem. Este cenário resulta em vetores de ataque adicionais que não são considerados pelo modelo de perímetro. Tendo isto em conta, o perímetro já não é apenas a localização física da empresa, e o que está no interior não pode ser considerado seguro.

Pode usar o Gestor de contexto de acesso para reduzir a dimensão da rede privilegiada e mudar para um modelo em que os pontos finais não têm autoridade ambiente com base na rede. Em alternativa, pode conceder acesso com base no contexto do pedido, como o tipo de dispositivo, a identidade do utilizador e muito mais, enquanto continua a verificar o acesso à rede empresarial quando necessário.

O Gestor de acesso sensível ao contexto é parte integrante do esforço do BeyondCorp na Google. Para mais informações, consulte o artigo BeyondCorp.

Políticas de acesso

Uma política de acesso é um contentor para todos os seus recursos do Access Context Manager, como níveis de acesso e perímetros de serviço.

Pode criar uma política de acesso no contexto de uma organização e usar a política de acesso ao nível da organização em qualquer lugar da sua organização. Para delegar a administração de uma política de acesso, pode criar uma política de acesso com âmbito e definir o âmbito da política ao nível da pasta ou do projeto. O administrador delegado ao qual a política com âmbito está atribuída só pode gerir a política de acesso com âmbito e não a política de acesso ao nível da organização.

Uma política de acesso tem versões através de um etag. Pode usar etag para segmentar alterações à sua política de acesso, como modificações aos níveis de acesso ou a uma versão específica da política. Se várias fontes alterarem a sua política de acesso, a utilização do campo etag para a ferramenta de linha de comandos gcloud e as chamadas à API ajudam a evitar substituições e conflitos não intencionais.

Para saber como criar políticas de acesso, consulte o artigo Criar uma política de acesso.

Níveis de acesso

Os níveis de acesso são usados para permitir o acesso a recursos com base em informações contextuais sobre o pedido. Com os níveis de acesso, pode começar a organizar níveis de confiança. Por exemplo, pode criar um nível de acesso denominado High_Level que permita pedidos de um pequeno grupo de indivíduos com privilégios elevados. Também pode identificar um grupo mais geral no qual confia, como um intervalo de IPs a partir do qual quer permitir pedidos. Nesse caso, pode criar um nível de acesso denominado Medium_Level para permitir esses pedidos.

Depois de definir os níveis de acesso, os serviços de aplicação podem usá-los para determinar se devem aceitar um pedido. Por exemplo, pode especificar que, embora muitos recursos estejam disponíveis para Medium_Trust, determinados recursos mais confidenciais requerem o nível High_Trust. Estas verificações são aplicadas além da política de IAM padrão.

Os níveis de acesso são personalizáveis. Os níveis de acesso High_Trust e Medium_Trust são exemplos. Pode especificar vários níveis de acesso como parte de uma política de acesso.

O Gestor de acesso sensível ao contexto oferece duas formas de definir níveis de acesso:

  • Um nível de acesso básico consiste numa coleção de condições que são usadas para testar pedidos. As condições podem ser definidas como um grupo de atributos que quer testar, como o tipo de dispositivo, o endereço IP ou a identidade do utilizador. Os atributos são combinados como uma operação AND (todos têm de ser verdadeiros) ou uma operação NOR (nenhum tem de ser verdadeiro) para determinar se a condição é cumprida.

  • Os níveis de acesso personalizados são criados com um subconjunto do Idioma de expressão comum. Além do contexto de pedido usado para níveis de acesso básicos, também pode usar níveis de acesso personalizados para permitir pedidos com base em dados de serviços de terceiros. Para mais informações, consulte o artigo Níveis de acesso personalizados.

Quando aninhar níveis de acesso e combinar toda a lógica, tenha em atenção que, se qualquer um dos operandos dos operadores booleanos AND (&&) e OR (||) determinar exclusivamente o resultado, o outro operando pode ou não ser avaliado. Além disso, se essa avaliação produzir um erro de tempo de execução, é ignorada. Por exemplo, na expressão seguinte, a avaliação de origin.region_code falha, mas a avaliação de levels.ip_check é bem-sucedida. Uma vez que, pelo menos, uma das verificações é bem-sucedida, a condição geral, que é combinada por OR, torna-se verdadeira e o acesso é GRANTED.

!(origin.region_code in ['RU', 'BY', 'UA']) -> FAILED  // levels.regions_check

inIpRange(origin.ip, ['205.220.128.0/23']) -> GRANTED  // levels.ip_check

!(origin.region_code in ['RU', 'BY', 'UA']) || inIpRange(origin.ip, ['205.220.128.0/23']) -> GRANTED

levels.regions_check || levels.ip_check -> GRANTED

Endereço IP

Pode conceder um nível de acesso com base no endereço IP do pedido de origem. O intervalo de IPs a permitir é especificado sob a forma de um bloco de Classless Inter-Domain Routing (CIDR), que permite um controlo detalhado sobre os IPs permitidos.

Um único nível de acesso pode conter vários intervalos de IP.

Para saber como criar um nível de acesso que só permita o acesso a um intervalo especificado de endereços IP, como os que se encontram numa única rede empresarial, consulte o artigo Criar um nível de acesso para acesso à rede empresarial.

Tipo de dispositivo

O Gestor de contexto de acesso usa a validação de pontos finais para recolher informações sobre os dispositivos dos utilizadores, como o sistema operativo, o tipo de dispositivo ou a versão. Pode conceder um nível de acesso com base nestes dados. Por exemplo, pode conceder um nível de acesso mais permissivo a dispositivos que executam a versão mais recente do sistema operativo principal implementado na sua empresa.

Para saber como conceder um nível de acesso com base nesses atributos do dispositivo, consulte o artigo Limite o acesso por tipo de dispositivo.

Identidade do utilizador

Em alguns cenários, pode querer conceder um nível de acesso a entidades específicas. Nestes cenários, a identidade do autor da chamada determina se a condição é cumprida. Este cenário é frequentemente usado em conjunto com contas de serviço e os VPC Service Controls. Por exemplo, pode usar este cenário para permitir que uma função do Google Cloud aceda a dados protegidos pelos VPC Service Controls.

Pode criar e gerir níveis de acesso apenas de identidade com a ferramenta de linha de comandos gcloud, mas não com a consola Google Cloud .

Para começar a criar um nível de acesso básico, consulte o artigo Crie um nível de acesso para o Gestor de contexto de acesso.

Para obter informações sobre como criar um nível de acesso que permita o acesso com base no contexto de um pedido, consulte o artigo Crie um nível de acesso personalizado.

Combinar condições

Um único nível de acesso pode conter várias condições. As condições podem ser avaliadas através do operador AND ou OR. Pode especificar o modo quando criar ou atualizar um nível de acesso.

A opção AND é a mais restrita e a predefinida. Esta opção só concede o nível de acesso se todas as condições forem aprovadas. Por exemplo, pode exigir que um pedido seja proveniente da rede corporativa e de um dispositivo que execute a versão mais recente de um sistema operativo.

OR é uma opção menos restritiva. Esta opção só requer que uma de muitas condições seja verdadeira. Por vezes, isto é útil quando se lida com identidades de utilizadores, por exemplo, para excluir entidades específicas (como contas de serviço) dos requisitos normais.

Condições de aninhamento

As condições podem ser aninhadas de modo que uma condição dependa de outra. Por exemplo, se tiver os dois níveis de acesso de confiança "Média" e "Elevada", pode definir os requisitos para "Elevada" de modo a exigir "Média", além de outras condições.

As condições de aninhamento podem tornar a gestão dos níveis de acesso mais conveniente. Por exemplo, imagine que o seu nível de acesso mais permissivo contém uma versão mínima do sistema operativo e define os seus níveis mais restritivos para dependerem dele. Se atualizar a versão mínima no futuro, só tem de atualizar uma condição, em vez de todos os níveis de acesso na política.

Saiba mais