Crea y asigna niveles de acceso personalizados mediante los datos de Falcon ZTA
Organiza tus páginas con colecciones
Guarda y categoriza el contenido según tus preferencias.
En este documento, se muestra cómo crear niveles de acceso personalizados basados en dispositivos con los datos de Falcon ZTA y asignarlos a tus recursos organizativos.
Puedes crear niveles de acceso con una o más condiciones. Si quieres que los dispositivos de los usuarios cumplan con varias condiciones (una operación lógica AND de condiciones), crea un nivel de acceso que contenga todas las condiciones requeridas.
Para crear un nuevo nivel de acceso personalizado con los datos que proporciona Falcon ZTA, haz lo siguiente:
Ve a la página de Access Context Manager en la consola de Google Cloud .
En la página Access Context Manager, haz clic en Nuevo.
En el panel Nuevo nivel de acceso, ingresa lo siguiente:
En el campo Título del nivel de acceso, ingresa un título para el nivel de acceso.
El título debe tener un máximo de 50 caracteres, comenzar con una letra y solo puede contener números, letras, guiones bajos y espacios.
En la sección Crear condiciones en, selecciona Modo avanzado.
En la sección Condiciones, ingresa las expresiones para tu nivel de acceso personalizado. La condición debe resolverse en un solo valor booleano.
A fin de encontrar los campos de CrowdStrike disponibles para tu expresión CEL, puedes revisar los datos de Falcon ZTA recopilados para tus dispositivos.
Ejemplos
La siguiente expresión CEL crea una regla que permite el acceso solo desde dispositivos administrados por Falcon ZTA con una puntuación de evaluación del SO mayor que 50:
La siguiente expresión CEL crea una regla que permite el acceso solo desde dispositivos que Falcon ZTA evaluó en los últimos dos días. El campo iat (fecha de emisión) se proporciona como parte de la evaluación de confianza cero de Falcon ZTA.
La siguiente expresión CEL crea una regla que permite el acceso solo desde dispositivos cuya evaluación de Falcon ZTA no haya vencido. El campo exp (vencimiento) se proporciona como parte de la evaluación de confianza cero de Falcon ZTA.
Para obtener ejemplos y más información sobre la compatibilidad con Common Expression Language (CEL) y los niveles de acceso personalizados, consulta la especificación del nivel de acceso personalizado.
Haz clic en Guardar.
Asigna niveles de acceso personalizados
Puedes asignar niveles de acceso personalizados para controlar el acceso a las aplicaciones. Estas aplicaciones incluyen las aplicaciones de Google Workspace y las aplicaciones protegidas por Identity-Aware Proxy en Google Cloud (también conocido como recurso protegido con IAP).
Puedes asignar uno o más niveles de acceso para las apps. Si seleccionas varios niveles de acceso, los dispositivos de los usuarios solo deben cumplir con las condiciones de uno de los niveles de acceso para que se les otorgue acceso a la app.
Asigna niveles de acceso personalizados para aplicaciones de Google Workspace.
Asigna niveles de acceso para las aplicaciones de Google Workspace desde la Consola del administrador de Google Workspace:
En la página principal de la Consola del administrador, ve a Seguridad > Acceso adaptado al contexto.
En la sección Unidades organizativas, selecciona tu grupo o unidad organizativa.
Selecciona la aplicación a la que deseas asignar un nivel de acceso y haz clic en Asignar.
Verás una lista de todos los niveles de acceso. Los niveles de acceso son un recurso compartido entre Google Workspace, Cloud Identity y Google Cloud , por lo que es posible que veas en la lista niveles de acceso que no creaste.
Selecciona uno o más niveles de acceso para la app.
Para aplicar los niveles de acceso a los usuarios en las apps para computadoras y dispositivos móviles (y en el navegador), selecciona Aplicar a las apps de Google para computadoras y dispositivos móviles.
Esta casilla de verificación solo se aplica a las apps integradas.
Haz clic en Guardar.
El nombre del nivel de acceso se muestra en la lista de niveles de acceso asignados junto a la app.
Asigna niveles de acceso personalizados para recursos protegidos con IAP
[[["Fácil de comprender","easyToUnderstand","thumb-up"],["Resolvió mi problema","solvedMyProblem","thumb-up"],["Otro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Información o código de muestra incorrectos","incorrectInformationOrSampleCode","thumb-down"],["Faltan la información o los ejemplos que necesito","missingTheInformationSamplesINeed","thumb-down"],["Problema de traducción","translationIssue","thumb-down"],["Otro","otherDown","thumb-down"]],["Última actualización: 2025-09-05 (UTC)"],[],[],null,["# Create and assign custom access levels using Falcon ZTA data\n\nThis document shows you how to create device-based custom access levels using Falcon ZTA\ndata and assign those access levels to your organizational resources.\n\nBefore you begin\n----------------\n\n- [Set up Chrome Enterprise Premium and Falcon ZTA integration](/chrome-enterprise-premium/docs/setting-up-cs).\n- Upgrade to Chrome Enterprise Premium, which is the paid subscription of Chrome Enterprise Premium. To upgrade, [contact our sales team](https://go.chronicle.security/beyondcorp-enterprise-upgrade).\n- Ensure that you have one of the following Identity and Access Management roles:\n - Access Context Manager Admin (`roles/accesscontextmanager.policyAdmin`)\n - Access Context Manager Editor (`roles/accesscontextmanager.policyEditor`)\n- Understand the objects and attributes that are used to build the [Common Expression Language (CEL)](https://opensource.google.com/projects/cel) expressions for custom access levels. For details, see [Custom access level specification](/access-context-manager/docs/custom-access-level-spec).\n\nCreate custom access levels\n---------------------------\n\nYou can create access levels with one or more conditions. If you want the users'\ndevices to satisfy multiple conditions (a logical AND of conditions), create\nan access level that contains all the required conditions.\n\nTo create a new custom access level using the data provided by Falcon ZTA, do the\nfollowing:\n\n1. Go to the **Access Context Manager** page in the Google Cloud console.\n\n [Go to Access Context Manager](https://console.cloud.google.com/security/access-level)\n2. If you are prompted, select your organization.\n3. On the **Access Context Manager** page, click **New**.\n4. In the **New Access Level** pane, enter the following:\n 1. In the **Access level title** field, enter a title for the access level. The title must be at most 50 characters, start with a letter, and can contain only numbers, letters, underscores, and spaces.\n 2. In the **Create Conditions in** section, select **Advanced Mode**.\n 3. In the **Conditions** section, enter the expressions for your custom access level. The condition must resolve to a single boolean value.\n\n To find the available CrowdStrike fields for your CEL expression, you can review the\n [Falcon ZTA data](/chrome-enterprise-premium/docs/setting-up-cs#verify-client-data)\n collected for your devices.\n **Examples**\n\n The following CEL expression creates a rule that allows access only from\n Falcon ZTA-managed devices with an OS assessment score higher than 50: \n\n ```scdoc\n device.vendors[\"CrowdStrike\"].is_managed_device == true && device.vendors[\"CrowdStrike\"].data[\"assessment.os\"] \u003e 50.0\n ```\n\n The following CEL expression creates a rule that allows access only from devices that\n Falcon ZTA assessed in the last two days. The `iat` (issued at) field is provided\n as part of the Falcon ZTA's zero trust assessment. \n\n ```text\n request.time - timestamp(device.vendors[\"CrowdStrike\"].data[\"iat\"]) \u003c duration(\"48h\")\n \n ```\n | **Note:** We recommend setting a value more than 90 minutes for `duration` because Chrome Enterprise Premium has an innate delay of 90 minutes for getting any new assessment by Falcon ZTA.\n\n The following CEL expression creates a rule that allows access only from devices whose\n Falcon ZTA's assessment is not expired. The `exp` field (expiry) field is\n provided as part of the Falcon ZTA's zero trust assessment. \n\n ```text\n timestamp(device.vendors[\"CrowdStrike\"].data[\"exp\"]) - request.time \u003e duration(\"0m\")\n \n ```\n\n For examples and more information about Common Expression Language\n (CEL) support and custom access levels, see the [Custom access level specification](/access-context-manager/docs/custom-access-level-spec).\n 4. Click **Save**.\n\nAssign custom access levels\n---------------------------\n\nYou can assign custom access levels to control access to\napplications. These applications include [Google Workspace](https://workspace.google.com/) apps\nand the applications that are protected by [Identity-Aware Proxy](/iap/docs/concepts-overview)\non Google Cloud (also known as IAP-secured resource).\nYou can assign one or more access levels for the apps. If you\nselect multiple access levels, users' devices only need to satisfy the conditions in **one**\nof the access levels to be granted access to the app.\n| **Note:** If you want user devices to satisfy conditions in more than one access level (a logical AND of access levels), create an access level with all the required conditions.\n\n### Assign custom access levels for Google Workspace applications\n\nAssign access levels for Google Workspace applications\nfrom the Google Workspace Admin console:\n\n1. From the Admin console Home page, go to **Security \\\u003e Context-Aware Access**.\n\n [Go to Context-Aware Access](https://admin.google.com/u/1/ac/security/context-aware)\n2. Click **Assign access levels**.\n\n You see a list of apps.\n3. In the **Organizational units** section, select your organizational unit or group.\n4. Select the app for which you want to assign an access level, and click **Assign**.\n\n You see a list of all access levels. Access levels are a shared resource\n between Google Workspace, Cloud Identity, and Google Cloud so you\n might see access levels that you didn't create in the list.\n5. Select one or more access levels for the app.\n6. To apply the access levels to users on desktop and mobile apps (and on the browser), select **Apply to Google desktop and mobile apps**. This checkbox applies to built-in apps only.\n7. Click **Save**. The access level name displays in the assigned access levels list next to the app.\n\n### Assign custom access levels for IAP-secured resources\n\nTo assign access levels for IAP-secured\nresources from the Google Cloud console, follow the instructions in\n[Apply an access level for IAP-secured resources](/chrome-enterprise-premium/docs/access-levels#applying_an_access_level)."]]
