Panoramica di Gestore contesto accesso

Gestore contesto accesso consente agli amministratori dell'organizzazione Google Cloud di definire un controllo dell'controllo dell'accesso granulare basato su attributi per progetti e risorse in Google Cloud.

Gli amministratori definiscono prima un criterio di accesso, ovvero un container a livello di organizzazione per i livelli di accesso e i perimetri di servizio.

I livelli di accesso descrivono i requisiti per le richieste da soddisfare. Ecco alcuni esempi:

Tipo di dispositivo e sistema operativo
Indirizzo IP
Identità utente

I perimetri di servizio definiscono sandbox di risorse che possono scambiare liberamente dati all'interno del perimetro, ma che non sono autorizzate a esportare dati all'esterno. Gestore contesto accesso non è responsabile dell'applicazione dei criteri. Il suo scopo è descrivere le regole desiderate. Il criterio viene configurato e applicato su vari punti, ad esempio Controlli di servizio VPC. Puoi leggere ulteriori informazioni su questi servizi nelle rispettive guide dell'utente.

Puoi configurare e applicare i criteri di Gestore contesto accesso nei seguenti componenti della soluzione BeyondCorp Enterprise:

Perché Gestore contesto accesso

Molte aziende si affidano a un modello di sicurezza perimetrale, ad esempio i firewall, per proteggere le risorse interne. Questo modello è simile a un castello medievale: una fortezza con mura spesse, circondata da un fossato e con un unico punto di ingresso e di uscita molto protetto. Tutto ciò che si trova fuori dalle mura è considerato pericoloso. Tutto ciò che si trova all'interno è attendibile.

I firewall e il modello di sicurezza perimetrale funzionano bene se esiste un confine preciso tra utenti e servizi specifici. Tuttavia, se la forza lavoro è mobile, la varietà di dispositivi aumenta man mano che gli utenti utilizzano i propri dispositivi (BYOD) e utilizzano servizi basati su cloud. Questo scenario produce altri vettori d'attacco che non vengono considerati dal modello del perimetro. Il perimetro non è più solo la posizione fisica dell'azienda e ciò che si trova al suo interno non può essere considerato sicuro.

Gestore contesto accesso consente di ridurre le dimensioni della rete con privilegi e passare a un modello in cui agli endpoint non è associata un'autorità ambientale basata sulla rete. Puoi invece concedere l'accesso in base al contesto della richiesta, ad esempio il tipo di dispositivo, l'identità dell'utente e altro ancora, controllando comunque l'accesso alla rete aziendale quando necessario.

Gestore contesto accesso è parte integrante dell'impegno di BeyondCorp in Google. Per scoprire di più, consulta BeyondCorp.

Criteri di accesso

Un criterio di accesso è un container per tutte le risorse di Gestore contesto accesso, ad esempio livelli di accesso e perimetri di servizio.

Puoi creare un criterio di accesso nel contesto di un'organizzazione e utilizzare il criterio di accesso a livello di organizzazione in qualsiasi punto dell'organizzazione. Per delegare l'amministrazione di un criterio di accesso, puoi creare un criterio di accesso per ambito e impostare l'ambito del criterio a livello di cartella o progetto. L'amministratore delegato a cui è assegnato il criterio con ambito può gestire solo il criterio di accesso con ambito e non il criterio di accesso a livello di organizzazione.

Il controllo delle versioni di un criterio di accesso viene eseguito utilizzando un etag. Puoi utilizzare etag per scegliere come target le modifiche al criterio di accesso, ad esempio modifiche ai livelli di accesso, a una versione specifica del criterio. Se più origini modificano il criterio di accesso, l'uso del campo etag per lo strumento a riga di comando gcloud e le chiamate API garantisce che non si verifichino sovrascritture e conflitti involontari.

Per scoprire come creare criteri di accesso, vedi Creazione di un criterio di accesso.

Livelli di accesso

I livelli di accesso vengono utilizzati per consentire l'accesso alle risorse in base a informazioni contestuali sulla richiesta. Utilizzando i livelli di accesso, puoi iniziare a organizzare i livelli di attendibilità. Ad esempio, puoi creare un livello di accesso denominato High_Level che consentirà le richieste da parte di un piccolo gruppo di persone con privilegi elevati. Puoi anche identificare un gruppo più generale da considerare attendibile, ad esempio un intervallo IP da cui vuoi consentire le richieste. In questo caso, puoi creare un livello di accesso denominato Medium_Level per consentire queste richieste.

Una volta definiti i livelli di accesso, i servizi di applicazione forzata possono utilizzarli per determinare se soddisfare o meno una richiesta. Ad esempio, puoi specificare che sebbene siano disponibili molte risorse per il livello "Medium_Trust", per alcune risorse più sensibili è necessario il livello "High_Trust". Questi controlli vengono applicati in aggiunta al criterio IAM standard.

I livelli di accesso sono personalizzabili; i livelli di accesso High_Trust e Medium_Trust sono esempi. Puoi specificare più livelli di accesso nell'ambito di un criterio di accesso.

Gestore contesto accesso fornisce due modi per definire i livelli di accesso: di base e personalizzati.

Un livello di accesso di base è un insieme di condizioni utilizzate per testare le richieste. Le condizioni sono un gruppo di attributi che vuoi testare, come il tipo di dispositivo, l'indirizzo IP o l'identità utente. Gli attributi vengono combinati come un'operazione AND (tutti devono essere true) o un'operazione NOR (nessuna deve essere true) per determinare se la condizione è soddisfatta.

I livelli di accesso personalizzati vengono creati utilizzando un sottoinsieme di Common Expression Language. Oltre al contesto della richiesta utilizzato per i livelli di accesso di base, puoi utilizzare livelli di accesso personalizzati per consentire le richieste in base ai dati di servizi di terze parti. Per ulteriori informazioni, consulta la pagina Livelli di accesso personalizzati.

Indirizzo IP

Puoi concedere un livello di accesso in base all'indirizzo IP della richiesta di origine. L'intervallo di IP da consentire è specificato sotto forma di blocco Classless Inter-Domain Routing (CIDR), che consente un controllo semplice ma granulare sugli IP consentiti.

Un singolo livello di accesso può contenere più intervalli IP.

Consulta Creazione di un livello di accesso per l'accesso alla rete aziendale per scoprire come creare un livello di accesso che consenta l'accesso solo a un intervallo specifico di indirizzi IP (ad esempio, quelli all'interno di una rete aziendale).

Tipo di dispositivo

Gestore contesto accesso utilizza Verifica endpoint per raccogliere informazioni relative ai dispositivi degli utenti, inclusi il sistema operativo e la versione. Puoi concedere un livello di accesso basato su questi dati; ad esempio, potresti decidere di concedere un livello di accesso più permissivo ai dispositivi che eseguono la versione più recente del sistema operativo principale di cui è stato eseguito il deployment nella tua azienda.

Per ulteriori informazioni su come concedere un livello di accesso a determinati dispositivi, consulta Creazione di un livello di accesso per i dispositivi degli utenti.

Identità utente

In alcuni casi potrebbe essere opportuno concedere un livello di accesso a entità specifiche. In questo caso, l'identità del chiamante determina se la condizione è soddisfatta.

Questo scenario viene spesso utilizzato in combinazione con gli account di servizio e i Controlli di servizio VPC; ad esempio, per consentire a una Cloud Function di accedere ai dati protetti dai Controlli di servizio VPC.

Puoi creare e gestire i livelli di accesso di sola identità con lo strumento a riga di comando gcloud, ma non con la console Google Cloud.

Per iniziare a creare un livello di accesso di base, consulta Creare un livello di accesso per Gestore contesto accesso.

Per informazioni sulla creazione di un livello di accesso che consente l'accesso in base al contesto di una richiesta, consulta Creare un livello di accesso personalizzato.

Combinare le condizioni

Un singolo livello di accesso può contenere più condizioni. Le condizioni possono essere valutate utilizzando l'operatore AND o OR. Puoi specificare la modalità durante la creazione o l'aggiornamento di un livello di accesso.

La richiesta AND è l'opzione più restrittiva (e predefinita). Concede il livello di accesso solo se tutte le condizioni vengono superate. Ad esempio, potresti richiedere che una richiesta provenga all'interno della rete aziendale e da un dispositivo su cui è in esecuzione un sistema operativo più recente.

OR è un'opzione meno restrittiva. Richiede solo una delle tante condizioni per essere vera. Questo a volte è utile quando si gestiscono le identità degli utenti, ad esempio per escludere entità specifiche (come gli account di servizio) dai normali requisiti.

Condizioni di nidificazione

È possibile nidificare le condizioni in modo che una condizione dipenda da un'altra. Ad esempio, se hai due livelli di accesso, attendibilità "Media" e "Alta", puoi impostare i requisiti per "Elevato" in modo che venga richiesto "Media" e altre condizioni.

Le condizioni di nidificazione possono semplificare la gestione dei livelli di accesso. Ad esempio, immagina che il tuo livello di accesso più permissivo contenga una versione minima del sistema operativo e imposti livelli più restrittivi per dipendere da questa versione. Ora, se in futuro aggiorni la versione minima, sarà sufficiente aggiornare una singola condizione, anziché ogni livello di accesso nel criterio.