Access Context Manager の概要

Access Context Manager を使用すると、Google Cloud 組織管理者は、Google Cloud のプロジェクトとリソースに対するきめ細かい属性ベースのアクセス制御を定義できます。

管理者はまずアクセスポリシーを定義します。これは、アクセスレベルとサービス境界用の組織全体のコンテナです。

アクセスレベルは、リクエストに対応するための要件を示します。次に例を示します。

デバイスの種類とオペレーティングシステム
IP アドレス
ユーザー ID

サービス境界は、境界内のデータを自由に交換できるリソースのサンドボックスを定義しますが、その外部にデータをエクスポートすることは許可されていません。Access Context Manager は、ポリシーの適用を行いません。この機能の目的は、必要とされるルールを記述することです。ポリシーは、VPC Service Controls など、さまざまなポイントにまたがって構成され、適用されます。こうしたサービスの詳細については、それぞれのユーザーガイドをご覧ください。

Access Context Manager ポリシーは、次の Chrome Enterprise Premium ソリューションコンポーネント間で構成して適用できます。

Access Context Manager を使用する理由

多くの企業は、内部リソースを保護するために、ファイアウォールなどの境界セキュリティモデルに依存しています。このモデルは、中世の城に似ています。堀に囲まれた厚壁の要塞で、厳重に保護された唯一の入り口と出口があります。壁の外側にあるものはすべて危険と見なされます。中のものはすべて信頼されています。

特定のユーザーとサービスの周囲に正確な境界がある場合は、ファイアウォールと境界セキュリティモデルが適切に機能します。ただし、従業員がモバイルである場合、ユーザーが自分のデバイスを持ち込み（BYOD）、クラウドベースのサービスを利用するので、デバイスの種類が増えます。このシナリオでは、境界モデルで考慮されていない攻撃ベクトルが追加されます。境界線はもはや企業の物理的な場所だけではなくなり、内部にあるものは安全と見なすことはできません。

Access Context Manager を使用すると、特権ネットワークのサイズを縮小し、エンドポイントがネットワークに基づいて周囲の権限を持たないモデルに移行できます。代わりに、必要に応じてリクエストのコンテキスト（デバイスの種類、ユーザー ID など）に基づいてアクセスを許可し、必要に応じて企業ネットワークアクセスを確認できるようにします。

Access Context Manager は、Google における BeyondCorp の取り組みに不可欠な要素です。詳細については、BeyondCorp をご覧ください。

アクセスポリシー

アクセスポリシーは、アクセスレベルやサービス境界など、すべての Access Context Manager リソースのコンテナです。

組織のコンテキストでアクセスポリシーを作成すると、組織内の任意の場所で組織レベルのアクセスポリシーを使用できます。アクセスポリシーの管理を委任するには、スコープアクセスポリシーを作成し、ポリシーのスコープをフォルダレベルまたはプロジェクトレベルで設定します。スコープ指定されたポリシーが割り当てられている委任管理者は、スコープアクセスポリシーのみを管理し、組織レベルのアクセスポリシーは管理できません。

アクセスポリシーは etag を使用してバージョン管理されます。 etag を使用すると、特定のバージョンのポリシーを対象にして、アクセスポリシーの変更（アクセスレベルの変更など）ができます。複数のソースがアクセスポリシーを変更する場合、gcloud コマンドラインツールと API 呼び出しに etag フィールドを使用すると、意図しない上書きや競合が発生しません。

アクセスポリシーを作成する方法については、アクセスポリシーを作成するをご覧ください。

アクセスレベル

アクセスレベルは、リクエストに関するコンテキスト情報に基づいてリソースへのアクセスを許可するのに使用されます。アクセスレベルを使用すると、信頼階層の編成を開始できます。たとえば、High_Level というアクセスレベルを作成して、高い権限を持つユーザーの少人数のグループからのリクエストを許可できます。リクエストを許可する IP 範囲など、信頼できるより一般的なグループを特定することもできます。その場合、Medium_Level というアクセスレベルを作成して、これらのリクエストを許可します。

アクセスレベルを定義すると、執行サービスはそれらを使用して、リクエストを受け入れるかどうかを決定できます。たとえば、「Medium_Trust」には多くのリソースが利用可能ですが、より機密性の高い特定のリソースには「High_Trust」レベルが必要であると指定できます。こうした確認は、標準の IAM ポリシーに加えて適用されます。

アクセスレベルはカスタマイズ可能です。High_Trust と Medium_Trust というアクセスレベルが例としてあげられます。アクセスポリシーの一部として複数のアクセスレベルを指定できます。

Access Context Manager では、ベーシックとカスタムの 2 種類のアクセスレベルを定義できます。

ベーシックアクセスレベルは、リクエストのテストに使用される条件のコレクションです。条件は、デバイスタイプ、IP アドレス、ユーザー ID など、テストする属性のグループです。属性は、条件を判断するために、AND 演算（すべてが true であること）または NOR 演算（true を含めないこと）として組み合わせて、条件が満たされているかどうかを判断できます。

カスタムアクセスレベルは、Common Expression Language のサブセットを使用して作成されます。基本アクセスレベルに使用されるリクエストコンテキストに加えて、カスタムアクセスレベルを使用して、サードパーティサービスからのデータに基づいてリクエストを許可することもできます。詳細については、カスタムアクセスレベルをご覧ください。

IP アドレス

元のリクエストの IP アドレスに基づいてアクセスレベルを付与できます。許可する IP の範囲は、クラスレスドメイン間ルーティング（CIDR）ブロックの形式で指定されます。これにより、許可される IP を簡単かつきめ細かく制御できます。

単一のアクセスレベルに複数の IP 範囲を含めることが可能です。

指定された範囲の IP アドレス（企業ネットワーク内のアドレスなど）へのアクセスのみを許可するアクセスレベルを作成する方法については、企業ネットワークアクセス用のアクセスレベルの作成をご覧ください。

デバイスの種類

Access Context Manager は、エンドポイントの確認を使用して、オペレーティングシステムやバージョンなどのユーザーデバイスに関する情報を収集します。このデータに基づいてアクセスレベルを付与できます。たとえば、会社に展開されている最新バージョンのプライマリオペレーティングシステムを実行しているデバイスに、より寛容なアクセスレベルを付与するとします。

特定のデバイスにアクセスレベルを付与する方法の詳細については、ユーザーデバイス用のアクセスレベルの作成をご覧ください。

ユーザー ID

特定のエンティティにアクセスレベルを付与する場合があります。この場合、発信者の ID によって、条件が満たされているかどうかを判断します。

このシナリオは、多くの場合、サービスアカウントおよびVPC Service Controlsと組み合わせて使用されます。たとえば、Cloud Function が VPC Service Controls で保護されたデータにアクセスできるようにします。

ID のみのアクセスレベルの作成と管理は gcloud コマンドラインツールで行うことができますが、Google Cloud コンソールでは行えません。

基本アクセスレベルの作成を開始するには、Access Context Manager のアクセスレベルを作成するをご覧ください。

リクエストのコンテキストに基づいてアクセスを許可するアクセスレベルの作成方法については、カスタムアクセスレベルを作成するをご覧ください。

条件の組み合わせ

単一のアクセスレベルに複数の条件を含めることが可能です。条件は AND または OR 演算子を使用して評価できます。アクセスレベルを作成または更新するときにモードを指定できます。

AND の場合は、より厳密な（デフォルトの）オプションです。すべての条件が満たされた場合にのみアクセスレベルを付与します。たとえば、企業ネットワーク内と最新のオペレーティングシステムを実行しているデバイスからのリクエストがあるとします。

OR は制限の厳しくないオプションです。満たす必要があるのは多くの条件のうちの 1 つのみです。これは、ユーザー ID を処理するときに役立つことがあります。たとえば、通常の要件から特定のエンティティ（サービスアカウントなど）を除外する場合などです。

ネスト条件

ある条件が別の条件に依存するように、条件をネストできます。たとえば、「中」と「高」の信頼性という 2 つのアクセスレベルがある場合、「高」の要件を「中」にその他の条件を追加するように設定できます。

ネスト条件はアクセスレベルの管理をより便利にすることが可能です。たとえば、最も許容度の高いアクセスレベルに最低限のオペレーティングシステムバージョンが含まれ、それに応じて制限レベルを設定します。将来、最小バージョンを更新する場合は、ポリシー内のすべてのアクセスレベルではなく、単一の条件を更新する必要があるだけです。