Benutzerdefinierte Zugriffsebenen mit Microsoft Intune-Daten erstellen und zuweisen

In diesem Dokument erfahren Sie, wie Sie mit Intune gerätebasierte benutzerdefinierte Zugriffsebenen erstellen und weisen Sie diese Zugriffsebenen den Ressourcen Ihrer Organisation zu.

Hinweise

• Richten Sie die Integration von Chrome Enterprise Premium mit Microsoft Intune ein.
• Führen Sie ein Upgrade auf Chrome Enterprise Premium durch, das kostenpflichtige Abo von Chrome Enterprise Premium. Wenn Sie ein Upgrade ausführen möchten, wenden Sie sich an unser Vertriebsteam.
• Sie benötigen eine der folgenden Identity and Access Management-Rollen:
  • Access Context Manager-Administrator (roles/accesscontextmanager.policyAdmin)
  • Access Context Manager-Bearbeiter (roles/accesscontextmanager.policyEditor)
• Informieren Sie sich über die Objekte und Attribute, die zum Erstellen der Ausdrücke in Common Expression Language (CEL) für benutzerdefinierte Zugriffsebenen verwendet werden. Weitere Informationen finden Sie unter Spezifikation für benutzerdefinierte Zugriffsebenen.

Benutzerdefinierte Zugriffsebenen erstellen

Sie können Zugriffsebenen mit einer oder mehreren Bedingungen erstellen. Wenn die Geräte der Nutzer mehrere Bedingungen erfüllen sollen (ein logisches UND von Bedingungen), erstellen Sie eine Zugriffsebene, die alle erforderlichen Bedingungen enthält.

So erstellen Sie mit den von Intune bereitgestellten Daten eine neue benutzerdefinierte Zugriffsebene: Folgendes:

1. Rufen Sie in der Google Cloud Console die Seite Access Context Manager auf.

   Zu Access Context Manager
2. Wählen Sie Ihre Organisation aus, wenn Sie dazu aufgefordert werden.
3. Klicken Sie auf der Seite Access Context Manager auf Neu.
4. Geben Sie im Bereich Neue Zugriffsebene Folgendes ein:
   1. Geben Sie in das Feld Titel der Zugriffsebene einen Titel ein für Zugriffsebene ein. Der Titel darf maximal 50 Zeichen lang sein und muss mit einem Buchstaben beginnen. Er darf nur Zahlen, Buchstaben, Unterstriche und Leerzeichen enthalten.
   2. Wählen Sie im Abschnitt Bedingungen erstellen in die Option Erweiterter Modus aus.
   3. Geben Sie im Abschnitt Bedingungen die Ausdrücke für Ihre benutzerdefinierte Zugriffsebene ein. Die Bedingung muss in einen einzelnen booleschen Wert aufgelöst werden.

      Informationen zu den verfügbaren Intune-Feldern für Ihren CEL-Ausdruck finden Sie in den Intune-Daten, die für Ihre Geräte erfasst wurden.

      Beispiele

      Der folgende CEL-Ausdruck erstellt eine Regel, die den Zugriff nur von Intune-verwaltete Geräte, die konform sind:

      device.vendors["Intune"].is_managed_device == true && device.vendors["Intune"].data["complianceState"] == "compliant"

      Der folgende CEL-Ausdruck erstellt eine Regel, die den Zugriff nur von Geräten zulässt, die in den letzten drei Tagen mit Intune synchronisiert wurden. Das Feld lastSyncDateTime wird von Intune bereitgestellt.

      request.time - timestamp(device.vendors["Intune"].data["lastSyncDateTime"]) < duration("72h")
            

      Hinweis: Es kann bis zu 60 Minuten dauern, bis Chrome Enterprise Premium Updates aus Intune abruft. Intune wird nur wenige Male am Tag synchronisiert, wenn das Gerät aktiv ist. Wir empfehlen daher, diesen Zeitplan bei der Planung der Gültigkeitsdauer zu berücksichtigen.

      Beispiele und weitere Informationen zur Unterstützung von Common Expression Language (CEL) und benutzerdefinierten Zugriffsebenen finden Sie in der Spezifikation für benutzerdefinierte Zugriffsebenen.

   4. Klicken Sie auf Speichern.

Benutzerdefinierte Zugriffsebenen zuweisen

Sie können benutzerdefinierte Zugriffsebenen zuweisen, um den Zugriff auf Anwendungen zu steuern. Dazu gehören Google Workspace-Anwendungen und Anwendungen, die durch Identity-Aware Proxy in Google Cloud geschützt sind (auch als IAP-gesicherte Ressource bezeichnet). Sie können den Anwendungen eine oder mehrere Zugriffsebenen zuweisen. Wenn Sie mehrere Zugriffsebenen auswählen, müssen die Geräte der Nutzer nur die Bedingungen in einer der Zugriffsebenen erfüllen, um Zugriff auf die Anwendung zu erhalten.

Hinweis: Wenn Sie möchten, dass Nutzergeräte Bedingungen in mehr als einer Zugriffsebene erfüllen (logisches UND von Zugriffsebenen), erstellen Sie eine Zugriffsebene mit allen erforderlichen Bedingungen.

Benutzerdefinierte Zugriffsebenen für Google Workspace-Anwendungen zuweisen

Zugriffsebenen für Google Workspace-Anwendungen zuweisen in der Admin-Konsole:

1. Klicken Sie auf der Startseite der Admin-Konsole auf Sicherheit > Kontextsensitiver Zugriff.

   Zu „Kontextsensitiver Zugriff“

2. Klicken Sie auf Zugriffsebenen zuweisen.

   Eine Liste mit Apps wird angezeigt.

3. Wählen Sie im Abschnitt Organisationseinheiten Ihre Organisationseinheit oder Gruppe aus.

4. Wählen Sie die Anwendung aus, der Sie eine Zugriffsebene zuweisen möchten, und klicken Sie auf Zuweisen.

   

   Eine Liste mit allen Zugriffsebenen wird angezeigt. Zugriffsebenen gelten als freigegebene Ressource zwischen Google Workspace, Cloud Identity und Google Cloud werden möglicherweise Zugriffsebenen angezeigt, die Sie nicht erstellt haben.

5. Wählen Sie mindestens eine Zugriffsebene für die App aus.
6. Wählen Sie Auf Desktop- und mobile Apps von Google anwenden aus, um die Zugriffsebenen auf Nutzer in Desktop- und mobilen Apps (und im Browser) anzuwenden. Dieses Kästchen gilt nur für integrierte Anwendungen.
7. Klicken Sie auf Speichern. Der Name der Zugriffsebene wird in der Liste der zugewiesenen Zugriffsebenen neben der Anwendung angezeigt.

Benutzerdefinierte Zugriffsebenen für mit IAP gesicherte Ressourcen zuweisen

So weisen Sie Zugriffsebenen für IAP-gesicherte finden Sie in der Google Cloud Console Zugriffsebene für mit IAP gesicherte Ressourcen anwenden

Nächste Schritte

• Gerätebestand überwachen