Creazione e assegnazione di livelli di accesso personalizzati utilizzando i dati di Falcon ZTA

Questo documento mostra come creare livelli di accesso personalizzati basati sul dispositivo utilizzando Falcon ZTA dati e assegnare questi livelli di accesso alle risorse dell'organizzazione.

Prima di iniziare

• Configura l'integrazione di Chrome Enterprise Premium e Falcon ZTA.
• Esegui l'upgrade a Chrome Enterprise Premium Premium, che è l'abbonamento a pagamento di Chrome Enterprise Premium. Per eseguire l'upgrade, contatta il nostro team di vendita.
• Assicurati di disporre di uno dei seguenti ruoli di Identity and Access Management:
  • Amministratore Gestore contesto accesso (roles/accesscontextmanager.policyAdmin)
  • Editor Gestore contesto accesso (roles/accesscontextmanager.policyEditor)
• Comprendere gli oggetti e gli attributi utilizzati per creare CEL (Common Expression Language) le espressioni per livelli di accesso personalizzati. Per maggiori dettagli, vedi Specifica del livello di accesso personalizzato.

Crea livelli di accesso personalizzati

Puoi creare livelli di accesso con una o più condizioni. Se vuoi che gli utenti dispositivi per soddisfare più condizioni (un AND logico di condizioni), creare un livello di accesso che contiene tutte le condizioni richieste.

Per creare un nuovo livello di accesso personalizzato utilizzando i dati forniti da Falcon ZTA, procedi come segue seguenti:

1. Vai alla pagina Gestore contesto accesso nella console Google Cloud.

   Vai a Gestore contesto accesso
2. Se richiesto, seleziona la tua organizzazione.
3. Nella pagina Gestore contesto accesso, fai clic su Nuovo.
4. Nel riquadro Nuovo livello di accesso, inserisci quanto segue:
   .
   1. Nel campo Titolo livello di accesso, inserisci un titolo per il livello di accesso. Il titolo deve contenere al massimo 50 caratteri, iniziare con una lettera e può contenere solo numeri, lettere, trattini bassi e spazi.
   2. Nella sezione Crea condizioni in, seleziona Modalità avanzata.
   3. Nella sezione Condizioni, inserisci le espressioni per la tua livello di accesso. La condizione deve risolversi in un singolo valore booleano.

      Per trovare i campi di CrowdStrike disponibili per la tua espressione CEL, puoi esaminare il Dati ZTA di Falcon raccolte per i tuoi dispositivi.

      Esempi

      La seguente espressione CEL crea una regola che consente l'accesso solo da: Dispositivi gestiti da ZTA Falcon con un punteggio di valutazione del sistema operativo superiore a 50:

      device.vendors["CrowdStrike"].is_managed_device == true && device.vendors["CrowdStrike"].data["assessment.os"] > 50.0

      La seguente espressione CEL crea una regola che consente l'accesso solo dai dispositivi che ZTA Falcon valutato negli ultimi due giorni. Il campo iat (emesso alle) è fornito nell'ambito della valutazione ZTA di Falcon ZTA.

      request.time - timestamp(device.vendors["CrowdStrike"].data["iat"]) < duration("48h")
            

      Nota: ti consigliamo di impostare un valore superiore a 90 minuti per duration perché Chrome Enterprise Premium ha un ritardo innato di 90 minuti per ricevere qualsiasi nuova valutazione da Falcon ZTA.

      La seguente espressione CEL crea una regola che consente l'accesso solo dai dispositivi la cui La valutazione di Falcon ZTA non è scaduta. Il campo exp (scadenza) è nell'ambito della valutazione ZTA di Falcon ZTA.

      
      timestamp(device.vendors["CrowdStrike"].data["exp"]) - request.time > duration("0m")
             

      Per esempi e ulteriori informazioni sul Common Expression Language per il supporto (CEL) e i livelli di accesso personalizzati, consulta la specifica del livello di accesso personalizzato.

   4. Fai clic su Salva.

Assegna livelli di accesso personalizzati

Puoi assegnare livelli di accesso personalizzati per controllare l'accesso a diverse applicazioni. Queste applicazioni includono le app di Google Workspace e le applicazioni protette da Identity-Aware Proxy su Google Cloud (nota anche come risorsa protetta da IAP). Puoi assegnare uno o più livelli di accesso alle app. Se selezionare più livelli di accesso, i dispositivi devono soddisfare solo le condizioni in uno dei livelli di accesso a cui concedere l'accesso all'app.

Nota: se vuoi che i dispositivi degli utenti soddisfino le condizioni in più di una (un AND logico dei livelli di accesso), crea un livello di accesso con tutte le condizioni richieste.

Assegna livelli di accesso personalizzati per le applicazioni Google Workspace

Assegna livelli di accesso per le applicazioni Google Workspace dalla Console di amministrazione Google Workspace:

1. Nella home page della Console di amministrazione, vai a Sicurezza > Accesso sensibile al contesto.

   Vai ad Accesso sensibile al contesto

2. Fai clic su Assegna livelli di accesso.

   Viene visualizzato un elenco di app.

3. Nella sezione Unità organizzative, seleziona la tua unità organizzativa. o un gruppo di utenti.

4. Seleziona l'app per cui vuoi assegnare un livello di accesso e fai clic su Assegna.

   

   Viene visualizzato l'elenco di tutti i livelli di accesso. I livelli di accesso sono una risorsa condivisa tra Google Workspace, Cloud Identity e Google Cloud, nell'elenco potrebbero essere visualizzati livelli di accesso non creati da te.

5. Seleziona uno o più livelli di accesso per l'app.
6. Per applicare i livelli di accesso agli utenti su app desktop e mobile (e sul browser), seleziona Applica ad app mobile e desktop Google. Questa casella di controllo si applica soltanto alle app integrate.
7. Fai clic su Salva. Il nome del livello di accesso viene visualizzato nell'elenco dei livelli di accesso assegnati accanto a l'app.

Assegna livelli di accesso personalizzati per le risorse protette da IAP

Per assegnare i livelli di accesso per la protezione IAP di risorse dalla console Google Cloud, segui le istruzioni Applica un livello di accesso per le risorse protette da IAP.