创建基于设备的访问权限级别

本页面介绍如何使用 Access Context Manager 创建基于设备的访问权限级别。

如需了解如何对受 Identity-Aware Proxy (IAP) 保护的资源应用访问权限级别，请参阅 BeyondCorp Enterprise 文档。

概览

访问权限级别是基于请求来源而为请求分配的一组属性。您可以使用设备类型等信息，指定授予的访问权限级别。例如，您可以为具有加密硬盘的设备分配“High_Trust”级别，而为只有屏幕锁定的设备指定“Medium_Trust”级别。

设置 Endpoint Verification 后，系统会按访问权限级别收集并引用设备信息。

通过在 IAP 保护的资源上将访问权限级别添加为身份和访问权限管理 (IAM) 条件，即可强制执行访问权限级别。此过程属于保护应用和资源 BeyondCorp Enterprise 方法。

如需了解详情，请参阅 Access Context Manager 概览。

准备工作

您必须拥有以下角色之一：
- Access Context Manager Admin
- Access Context Manager 编辑者
- Access Context Manager 查看者
设置 Endpoint Verification

创建访问权限级别

以下过程将创建基于设备的访问权限级别。

在本示例中，假设您要创建一个访问权限级别，该级别仅允许用户在已加密设备存储空间时访问您的资源。

控制台

在 Cloud Console 中，转到 Access Context Manager 页面。

转到 Access Context Manager 页面
如果收到提示，请选择您的组织。
在 Access Context Manager 页面的顶部，点击新建。
在新建访问权限级别窗格的条件部分中，点击添加属性，然后点击设备政策。
点击存储加密下拉列表，然后选择加密。请注意，仅当在您员工的设备上设置 Endpoint Verification 后，此规则才有效。
点击保存。

gcloud

创建设定访问权限级别的 .yaml 文件，其中包含设备政策属性。

在本示例中，要将访问权限仅授予具有加密设备存储空间的用户，您可以在 .yaml 文件中输入以下内容：
```
- devicePolicy:
    allowedEncryptionStatuses
      - ENCRYPTED
```
如需查看设备政策访问权限级别属性及其 YAML 格式的列表，请参阅设备政策属性。如需查看所有可能属性的完整 YAML 文件，请参阅此示例访问权限级别 YAML 文件。

请注意，仅当在您员工的设备上设置 Endpoint Verification 后，devicePolicy 规则才有效。
保存文件。在本示例中，该文件命名为 CONDITIONS.yaml。

创建访问权限级别。

gcloud access-context-manager levels create NAME \
   --title TITLE \
   --basic-level-spec CONDITIONS.yaml \
   --policy=POLICY_NAME

其中：

NAME 是访问权限级别的唯一名称，必须以字母开头，并且只包含字母、数字和下划线。
TITLE 是直观易懂的标题，必须为政策所独有。
POLICY_NAME 是您组织的访问权限政策名称。

您应看到如下输出：

Create request issued for: NAME
Waiting for operation [accessPolicies/POLICY_NAME/accessLevels/NAME/create/1521594488380943] to complete...done.
Created level NAME.

API

编写请求正文以创建 AccessLevel 资源。

在本示例中，要将访问权限仅授予具有加密设备存储空间的用户，您可以在 .yaml 文件中输入以下内容：
```
{
 "name": "NAME",
 "title": "TITLE",
 "basic": {
   "conditions": [
     {
     "devicePolicy": [
       "allowedEncryptionStatuses": [
         "ENCRYPTED"
       ]
     ]
     }
   ]
 }
}
```
其中：
- NAME 是访问权限级别的唯一名称，必须以字母开头，并且只包含字母、数字和下划线。
- TITLE 是直观易懂的标题，必须为政策所独有。
如需查看设备政策访问权限级别属性及其 YAML 格式的列表，请参阅设备政策属性。如需查看所有可能属性的完整 YAML 文件，请参阅此示例访问权限级别 YAML 文件。
通过调用 accessLevels.create，创建访问权限级别。
```
POST https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NAME/accessLevels
```
其中：
- POLICY_NAME 是您组织的访问权限政策名称。

应用访问权限级别

创建完访问权限级别后，您需要将它应用于受 IAP 保护的资源以使其生效。此过程是将 Google Cloud 资源设置为情境感知资源过程的一部分。

使用 IAP 保护您的资源。
对资源应用访问权限级别。