Gerätebasierte Zugriffsebene erstellen

Auf dieser Seite wird gezeigt, wie Sie mit Access Context Manager gerätebasierte Zugriffsebenen erstellen.

Informationen zum Anwenden von Zugriffsebenen auf mit Identity-Aware Proxy (IAP) gesicherte Ressourcen finden Sie in der BeyondCorp Enterprise-Dokumentation.

Übersicht

Eine Zugriffsebene ist eine Gruppe von Attributen, die Anfragen auf der Grundlage ihres Ursprungs zugewiesen werden. Anhand von Informationen wie dem Gerätetyp können Sie festlegen, welche Zugriffsebene gewährt werden soll. Sie können beispielsweise Geräten mit verschlüsselten Laufwerken die Stufe "High_Trust" und für Geräte, die nur eine Displaysperre haben, mit "Medium_Trust" zuweisen.

Geräteinformationen werden gesammelt und über Zugriffsebenen referenziert, sobald Sie die Endpunktprüfung einrichten.

Eine Zugriffsebene wird erzwungen, wenn Sie sie als IAM-Bedingung (Identity and Access Management) für Ihre mit IAP gesicherte Ressource hinzufügen. Dieser Prozess ist Teil des Ansatzes BeyondCorp Enterprise, um Anwendungen und Ressourcen zu sichern.

Weitere Informationen finden Sie in der Übersicht zum Access Context Manager.

Hinweis

Ihnen muss eine der folgenden Rollen zugewiesen werden:
- Access Context Manager-Administrator
- Access Context Manager-Bearbeiter
- Access Context Manager-Leser
Endpunktprüfung einrichten

Zugriffsebene erstellen

Mit den folgenden Schritten wird eine gerätebasierte Zugriffsebene erstellt.

Angenommen, Sie möchten eine Zugriffsebene erstellen, mit der Nutzer nur auf Ihre Ressource zugreifen können, wenn sie verschlüsselten Gerätespeicher haben.

Console

Rufen Sie die Seite „Access Context Manager“ in der Cloud Console auf.

Zur Seite „Access Context Manager“
Wählen Sie Ihre Organisation aus, wenn Sie dazu aufgefordert werden.
Klicken Sie oben auf der Seite Access Context Manager auf Neu.
Klicken Sie im Bereich Neue Zugriffsebene im Abschnitt Bedingungen auf Attribut hinzufügen und dort auf Geräterichtlinie.
Klicken Sie auf das Drop-down Speicherverschlüsselung und wählen Sie Verschlüsselt aus. Beachten Sie, dass diese Regel nur funktioniert, wenn Sie die Endpunktprüfung auf den Geräten Ihrer Mitarbeiter eingerichtet haben.
Klicken Sie auf Speichern.

gcloud

Erstellen Sie eine .yaml-Datei für eine Zugriffsebene, die Geräterichtlinienattribute enthält.

In diesem Beispiel geben Sie Folgendes in die Datei .yaml ein, um den Zugriff auf Nutzer mit verschlüsselten Gerätespeichern zu beschränken:
```
- devicePolicy:
    allowedEncryptionStatuses
      - ENCRYPTED
```
Eine Liste der Zugriffsebenenattribute für Geräterichtlinien und ihr YAML-Format finden Sie unter Geräterichtlinienattribute. In dieser Beispiel-YAML-Datei für die Zugriffsebene finden Sie eine umfassende YAML-Datei aller möglichen Attribute.

Beachten Sie, dass die Regel devicePolicy nur funktioniert, nachdem Sie auf den Geräten Ihrer Mitarbeiter die Endpunktprüfung eingerichtet haben.
Speichern Sie die Datei. In diesem Beispiel heißt die Datei CONDITIONS.yaml.
Erstellen Sie die Zugriffsebene.
```
gcloud access-context-manager levels create NAME \
   --title TITLE \
   --basic-level-spec CONDITIONS.yaml \
   --policy=POLICY_NAME
```
Wobei:
- NAME ist der eindeutige Name für die Zugriffsebene. Dieser Name muss mit einem Buchstaben beginnen und darf nur Buchstaben, Zahlen und Unterstriche enthalten.
- TITLE ist ein für Menschen lesbarer Titel. Er muss für die Richtlinie eindeutig sein.
- POLICY_NAME ist der Name der Zugriffsrichtlinie Ihrer Organisation.
Die Ausgabe sollte etwa so aussehen:
```
Create request issued for: NAME
Waiting for operation [accessPolicies/POLICY_NAME/accessLevels/NAME/create/1521594488380943] to complete...done.
Created level NAME.
```

API

Fordern Sie einen Anfragetext an, um eine AccessLevel-Ressource zu erstellen.

In diesem Beispiel geben Sie Folgendes in die Datei .yaml ein, um den Zugriff auf Nutzer mit verschlüsselten Gerätespeichern zu beschränken:
```
{
 "name": "NAME",
 "title": "TITLE",
 "basic": {
   "conditions": [
     {
     "devicePolicy": [
       "allowedEncryptionStatuses": [
         "ENCRYPTED"
       ]
     ]
     }
   ]
 }
}
```
Wobei:
- NAME ist der eindeutige Name für die Zugriffsebene. Dieser Name muss mit einem Buchstaben beginnen und darf nur Buchstaben, Zahlen und Unterstriche enthalten.
- TITLE ist ein für Menschen lesbarer Titel. Er muss für die Richtlinie eindeutig sein.
Eine Liste der Zugriffsebenenattribute für Geräterichtlinien und ihr YAML-Format finden Sie unter Geräterichtlinienattribute. In dieser Beispiel-YAML-Datei für die Zugriffsebene finden Sie eine umfassende YAML-Datei aller möglichen Attribute.
Rufen Sie zum Erstellen der Zugriffsebene Folgendes auf: accessLevels.create.
```
POST https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NAME/accessLevels
```
Wobei:
- POLICY_NAME ist der Name der Zugriffsrichtlinie Ihrer Organisation.

Zugriffsebene anwenden

Nachdem Sie die Zugriffsebene erstellt haben, müssen Sie sie auf eine mit IAP gesicherte Ressource anwenden, damit sie wirksam wird. Dieser Prozess ist Teil der Bereitstellung kontextsensitiver Google Cloud-Ressourcen.

Ihre Ressource mit IAP sichern
Wenden Sie Ihre Zugriffsebene auf die Ressource an.