החלת כללי מדיניות על קבוצות משתמשים באמצעות הגדרות כבילת גישה

gcloud

יוצרים את קישור הגישה.

gcloud access-context-manager cloud-bindings create \
     --group-key GROUP_ID
     --organization ORG_ID
     --level DEFAULT_ACCESS_LEVEL
  [  --session-length=DEFAULT_SESSION_LENGTH                ]
  [  --session-reauth-method=DEFAULT_SESSION_REAUTH_METHOD  ]

מחליפים את מה שכתוב בשדות הבאים:

• ‫GROUP_ID: מזהה הקבוצה. אם מזהה הקבוצה לא זמין, אפשר לאחזר אותו על ידי הפעלת השיטה get במשאב הקבוצה.
• ‫ORG_ID: מזהה הארגון.
• ‫DEFAULT_ACCESS_LEVEL: השם האופציונלי של רמת הגישה, בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME. מחליפים את POLICY_ID במזהה של מדיניות הגישה, ואת ACCESS_LEVEL_NAME בשם של רמת הגישה.
• ‫DEFAULT_SESSION_LENGTH: משך הסשן האופציונלי בפורמט של שעות, למשל 15h ל-15 שעות או 2h לשעתיים.
• ‫DEFAULT_SESSION_REAUTH_METHOD: השיטה האופציונלית לאתגר משתמשים לאמת מחדש את הזהות שלהם, שחייבת להיות אחת מהאפשרויות הבאות:
  • ‫LOGIN: החלת ההתחברות הרגילה, שיכולה לכלול אימות רב-שלבי או גורמים אחרים שמוגדרים ב-Workspace.
  • PASSWORD: דורשים רק סיסמה, גם אם מוגדרים גורמים אחרים. אם הסיסמאות מנוהלות באמצעות IdP חיצוני, המשתמשים מופנים ל-IdP. אם הסשן של ה-IdP פעיל, המשתמשים מאומתים מחדש באופן משתמע. אם ה-IdP לא פעיל, המשתמשים צריכים להיכנס דרך ה-IdP.
  • ‫SECURITY_KEY: דרישה למפתח אבטחה פיזי.

API

1. יוצרים גוף JSON:

   {
     "groupKey": "GROUP_ID",
     "accessLevels": [
       "DEFAULT_ACCESS_LEVEL"
     ],
     // optional:
     "sessionSettings": {
       "sessionLength": "DEFAULT_SESSION_LENGTH",
       "sessionReauthMethod": "DEFAULT_SESSION_REAUTH_METHOD"
     }
   }
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫GROUP_ID: מזהה הקבוצה. אם מזהה הקבוצה לא זמין, אפשר לאחזר אותו על ידי הפעלת השיטה get במשאב הקבוצה.
   • ‫DEFAULT_ACCESS_LEVEL: השם האופציונלי של רמת הגישה, בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME. מחליפים את POLICY_ID במזהה של מדיניות הגישה, ואת ACCESS_LEVEL_NAME בשם של רמת הגישה.
   • ‫DEFAULT_SESSION_LENGTH: משך הסשן האופציונלי בפורמט של שעות, למשל 15h ל-15 שעות או 2h לשעתיים.
   • ‫DEFAULT_SESSION_REAUTH_METHOD: השיטה האופציונלית לאתגר משתמשים לאמת מחדש את הזהות שלהם, שחייבת להיות אחת מהאפשרויות הבאות:
     • ‫LOGIN: החלת ההתחברות הרגילה, שיכולה לכלול אימות רב-שלבי או גורמים אחרים שמוגדרים ב-Workspace.
     • PASSWORD: דורשים רק סיסמה, גם אם מוגדרים גורמים אחרים. אם הסיסמאות מנוהלות באמצעות IdP חיצוני, המשתמשים מופנים ל-IdP. אם הסשן של ה-IdP פעיל, המשתמשים מאומתים מחדש באופן משתמע. אם ה-IdP לא פעיל, המשתמשים צריכים להיכנס דרך ה-IdP.
     • ‫SECURITY_KEY: דרישה למפתח אבטחה פיזי.

2. שולחים את בקשת ה-POST:

   POST https://accesscontextmanager.googleapis.com/v1/organizations/ORG_ID/gcpUserAccessBindings
   

   ‫ORG_ID הוא המזהה של הארגון שבו השתמשתם כדי ליצור את התפקיד אדמין של קישורי גישה ב-Cloud. אם המאפיין access-context-manager/organization לא הוגדר, מחליפים את ORG_ID בדגל האופציונלי --organization במזהה של הארגון שבו השתמשתם כשיצרתם את התפקיד "אדמין של קישורי גישה ל-Cloud".

אם הפעולה בוצעה ללא שגיאות, תקבלו ייצוג של אובייקט ה-JSON. אם יש בעיה, תופיע הודעת שגיאה.

gcloud

1. יוצרים קובץ קישור בפורמט YAML עם רשימה של רשומות היקף ברשימה scopedAccessSettings. לכל אפליקציה שרוצים למפות לרמת גישה ספציפית, צריך לכלול רשומה של clientScope.

   scopedAccessSettings:
   - scope:
       clientScope:
         restrictedClientApplication:
           clientId: CLIENT_ID
     activeSettings:
       accessLevels:
       - ACCESS_LEVEL_A
       sessionSettings:
         sessionLength: SESSION_LENGTH
         sessionReauthMethod: SESSION_REAUTH_METHOD
         sessionLengthEnabled: true
   - scope:
       clientScope:
         restrictedClientApplication:
           name: CLIENT_NAME
     activeSettings:
       accessLevels:
       - ACCESS_LEVEL_B
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫CLIENT_ID: מזהה הלקוח ב-OAuth. אפשר להשתמש ב-clientId או ב-name כשאפליקציה מכילה את sessionSettings.
   • ‫ACCESS_LEVEL_A: שם של רמת גישה בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.
   • ‫SESSION_LENGTH: משך הסשן בפורמט של שעות, למשל 15h ל-15 שעות או 2h לשעתיים.

   • ‫SESSION_REAUTH_METHOD: השיטה האופציונלית לאתגר משתמשים לאמת מחדש את הזהות שלהם. השיטה חייבת להיות אחת מהאפשרויות הבאות:

     • ‫LOGIN: החלת ההתחברות הרגילה, שיכולה לכלול אימות רב-שלבי (MFA) או גורמים אחרים שמוגדרים ב-Workspace.
     • ‫PASSWORD: דרישה לסיסמה בלבד, גם אם הוגדרו גורמים אחרים. אם הסיסמאות מנוהלות באמצעות IdP חיצוני, המשתמשים מופנים ל-IdP. אם הסשן של ספק הזהויות פעיל, המשתמשים מאומתים מחדש באופן משתמע. אם ה-IdP לא פעיל, המשתמשים צריכים להיכנס דרך ה-IdP.
     • ‫SECURITY_KEY: דרישה למפתח אבטחה פיזי.

   • ‫CLIENT_NAME: שם הלקוח. אפשר להשתמש ב-name או ב-clientId כשאפליקציה מכילה את sessionSettings.

   • ‫ACCESS_LEVEL_B: שם של רמת גישה בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.

   כדי להגדיר רמת גישה כברירת מחדל לאפליקציות שלא מוגדרות בקובץ ה-YAML, משתמשים בארגומנט --level. קובץ ה-YAML תומך רק בהגדרות ספציפיות לאפליקציה (scopedAccessSettings).

2. יוצרים את קישור הגישה.

   gcloud access-context-manager cloud-bindings create
       --organization ORG_ID
       --group-key GROUP_ID
       --binding-file BINDING_FILE_PATH
     [  --level DEFAULT_ACCESS_LEVEL ]
     [  --session-length=DEFAULT_SESSION_LENGTH                ]
     [  --session-reauth-method=DEFAULT_SESSION_REAUTH_METHOD  ]
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫ORG_ID: מזהה הארגון.
   • ‫GROUP_ID: מזהה הקבוצה. אם מזהה הקבוצה לא זמין, אפשר לאחזר אותו על ידי הפעלת השיטה get במשאב הקבוצה.
   • ‫BINDING_FILE_PATH: הנתיב לקובץ ה-YAML שמכיל את סכימת קישור הגישה. קובץ הקישור תומך רק ב-scopedAccessSettings.
   • ‫DEFAULT_ACCESS_LEVEL: השם האופציונלי של רמת הגישה, בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME. מחליפים את POLICY_ID במזהה של מדיניות הגישה, ואת ACCESS_LEVEL_NAME בשם של רמת הגישה.
   • ‫DEFAULT_SESSION_LENGTH: משך הסשן האופציונלי בפורמט של שעות, למשל 15h ל-15 שעות או 2h לשעתיים.
   • ‫DEFAULT_SESSION_REAUTH_METHOD: השיטה האופציונלית לאתגר משתמשים לאמת מחדש את הזהות שלהם, שחייבת להיות אחת מהאפשרויות הבאות:
     • ‫LOGIN: החלת ההתחברות הרגילה, שיכולה לכלול אימות רב-שלבי או גורמים אחרים שמוגדרים ב-Workspace.
     • PASSWORD: דורשים רק סיסמה, גם אם מוגדרים גורמים אחרים. אם הסיסמאות מנוהלות באמצעות IdP חיצוני, המשתמשים מופנים ל-IdP. אם הסשן של ה-IdP פעיל, המשתמשים מאומתים מחדש באופן משתמע. אם ה-IdP לא פעיל, המשתמשים צריכים להיכנס דרך ה-IdP.
     • ‫SECURITY_KEY: דרישה למפתח אבטחה פיזי.

איך הארגומנטים --level ו---binding-file פועלים יחד

• אם משתמשים רק ב---binding-file, המדיניות חלה רק על האפליקציות שבקובץ.
• אם משתמשים רק ב---level, רמת הגישה חלה על כל האפליקציות.
• אם משתמשים בשניהם, הכללים משולבים. הערך --level חל על כל האפליקציות, ואילו כללי המדיניות בקובץ ה-YAML שצוין על ידי --binding-file חלים רק על האפליקציות כפי שהוגדרו בקובץ.

איך משתמשים באמצעי הבקרה של הסשנים

• כדי להגדיר אמצעי בקרה על סשנים כברירת מחדל לכל האפליקציות, צריך להשתמש ב---session-length וב---session-reauth-method.
• אם מגדירים גם אמצעי בקרה על סשנים בקובץ ה-YAML, אמצעי הבקרה האלה מבטלים את הגדרות ברירת המחדל של האפליקציות הספציפיות האלה.
• צריך להשתמש ב---session-length וב---session-reauth-method ביחד.

API

יוצרים גוף JSON:

{
  "groupKey": "GROUP_ID",
   //
   // Optional; if specified, all applications that aren't defined in
   // scopedAccessSettings have these access levels applied.
   //
   // If more than one access level is specified, the user is
   // granted access if any one resolves to TRUE (OR logic, not AND).
   //
   // If you omit this key entirely, then no policy enforcement is
   // applied by default.
   //
  "accessLevels": [
    "DEFAULT_ACCESS_LEVEL"
  ],
  "scopedAccessSettings": [
    {
      "scope": {
        "clientScope": {
          "restrictedClientApplication": {
            "clientId": "CLIENT_ID"
          }
        }
      },
      "activeSettings": {
        "accessLevels": [
          "ACCESS_LEVEL_A"
        ],
        "sessionSettings": {
          "sessionLength": "SESSION_LENGTH",
          "sessionReauthMethod": "SESSION_REAUTH_METHOD",
          "sessionLengthEnabled": true
        }
      }
    },
    {
      "scope": {
        "clientScope": {
          "restrictedClientApplication": {
            "name": "CLIENT_NAME"
          }
        },
        "activeSettings": {
          "accessLevels": [
            "ACCESS_LEVEL_B"
          ]
        }
      }
    }
  ]
}

מחליפים את מה שכתוב בשדות הבאים:

• ‫GROUP_ID: מזהה הקבוצה. אם מזהה הקבוצה לא זמין, אפשר לאחזר אותו על ידי הפעלת השיטה get במשאב הקבוצה.
• ‫DEFAULT_ACCESS_LEVEL: השם האופציונלי של רמת הגישה, בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME. מחליפים את POLICY_ID במזהה של מדיניות הגישה, ואת ACCESS_LEVEL_NAME בשם של רמת הגישה.
• ‫CLIENT_ID: מזהה הלקוח ב-OAuth. אפשר להשתמש ב-clientId או ב-name כשאפליקציה מכילה את sessionSettings.
• ‫ACCESS_LEVEL_A: שם של רמת גישה בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.
• ‫SESSION_LENGTH: משך הסשן בפורמט של שעות, למשל 2h לשעתיים.

• ‫SESSION_REAUTH_METHOD: השיטה האופציונלית לאתגר משתמשים לאמת מחדש את הזהות שלהם. השיטה חייבת להיות אחת מהאפשרויות הבאות:

  • ‫LOGIN: החלת ההתחברות הרגילה, שיכולה לכלול אימות רב-שלבי או גורמים אחרים שמוגדרים ב-Workspace.
  • ‫PASSWORD: דרישה לסיסמה בלבד, גם אם הוגדרו גורמים אחרים. אם הסיסמאות מנוהלות באמצעות IdP חיצוני, המשתמשים מופנים ל-IdP. אם הסשן של ספק הזהויות פעיל, המשתמשים מאומתים מחדש באופן משתמע. אם ה-IdP לא פעיל, המשתמשים צריכים להיכנס דרך ה-IdP.
  • ‫SECURITY_KEY: דרישה למפתח אבטחה פיזי.

• ‫CLIENT_NAME: שם הלקוח. אפשר להשתמש ב-name או ב-clientId כשאפליקציה מכילה את sessionSettings.

• ‫ACCESS_LEVEL_B: שם של רמת גישה בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.

שולחים את בקשת ה-POST:

POST https://accesscontextmanager.googleapis.com/v1/organizations/ORG_ID/gcpUserAccessBindings

‫ORG_ID הוא המזהה של הארגון שבו השתמשתם כדי ליצור את התפקיד אדמין של קישורי גישה ב-Cloud. אם המאפיין access-context-manager/organization לא הוגדר, מחליפים את ORG_ID בדגל האופציונלי --organization במזהה של הארגון שבו השתמשתם כשיצרתם את התפקיד "אדמין של קישורי גישה ל-Cloud".

אם הפעולה בוצעה ללא שגיאות, אמור להתקבל ייצוג של אובייקט ה-JSON. אם הייתה בעיה, אמורה להתקבל הודעת שגיאה.

gcloud

יוצרים את קישור הגישה באמצעות הדגל --dry-run-level.

gcloud access-context-manager cloud-bindings create \
     --group-key=<var>GROUP_ID</var> \
     --organization=<var>ORG_ID</var> \
     --dry-run-level=<var>DEFAULT_DRY_RUN_ACCESS_LEVEL</var>

מחליפים את מה שכתוב בשדות הבאים:

• ‫GROUP_ID: מזהה הקבוצה. אם מזהה הקבוצה לא זמין, אפשר לאחזר אותו על ידי הפעלת השיטה get במשאב הקבוצה.
• ‫ORG_ID: מזהה הארגון.
• ‫DEFAULT_DRY_RUN_ACCESS_LEVEL: השם של רמת הגישה להרצה ללא השפעה על הנתונים, בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.

API

1. יוצרים גוף JSON שמכיל את dry_run_access_levels.

   {
     "group_key": "GROUP_ID",
     "dry_run_access_levels": [
       "DEFAULT_DRY_RUN_ACCESS_LEVEL"
     ]
   }
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫GROUP_ID: מזהה הקבוצה. אם מזהה הקבוצה לא זמין, אפשר לאחזר אותו על ידי הפעלת השיטה get במשאב הקבוצה.
   • ‫DEFAULT_DRY_RUN_ACCESS_LEVEL: השם של רמת הגישה להרצה ללא השפעה על הנתונים, בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.

2. שולחים את בקשת ה-POST:

   POST https://accesscontextmanager.googleapis.com/v1/organizations/ORG_ID/gcpUserAccessBindings
   

   ‫ORG_ID הוא המזהה של הארגון שבו השתמשתם כדי ליצור את התפקיד אדמין של קישורי גישה ב-Cloud. אם המאפיין access-context-manager/organization לא הוגדר, מחליפים את ORG_ID בדגל האופציונלי --organization במזהה של הארגון שבו השתמשתם כשיצרתם את התפקיד "אדמין של קישורי גישה ל-Cloud".

gcloud

1. מגדירים את הרשאות הגישה בקובץ קישור YAML באמצעות השדה dryRunSettings.

   scopedAccessSettings:
   - scope:
       clientScope:
         restrictedClientApplication:
           name: CLIENT_NAME
     activeSettings:
       accessLevels:
       - ACCESS_LEVEL_A
     dryRunSettings:
       accessLevels:
       - DRY_RUN_ACCESS_LEVEL_1
   - scope:
       clientScope:
         restrictedClientApplication:
           clientId: CLIENT_ID
     dryRunSettings:
       accessLevels:
       - DRY_RUN_ACCESS_LEVEL_2
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫CLIENT_NAME: שם הלקוח. אפשר להשתמש ב-name או ב-clientId כשאפליקציה מכילה את sessionSettings.
   • ‫ACCESS_LEVEL_A: שם של רמת גישה בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.
   • ‫DRY_RUN_ACCESS_LEVEL_1: שם של רמת גישה בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.
   • ‫CLIENT_ID: מזהה הלקוח ב-OAuth. אפשר להשתמש ב-clientId או ב-name כשאפליקציה מכילה את sessionSettings.
   • ‫DRY_RUN_ACCESS_LEVEL_2: שם של רמת גישה בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.

2. יוצרים את קישור הגישה.

   gcloud access-context-manager cloud-bindings create \
     --organization ORG_ID \
     --group-key GROUP_ID \
     --binding-file BINDING_FILE_PATH
     --dry-run-level DEFAULT_DRY_RUN_ACCESS_LEVEL
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫ORG_ID: מזהה הארגון.
   • ‫GROUP_ID: מזהה הקבוצה. אם מזהה הקבוצה לא זמין, אפשר לאחזר אותו על ידי הפעלת השיטה get במשאב הקבוצה.
   • ‫BINDING_FILE_PATH: הנתיב לקובץ ה-YAML שמכיל את סכימת קישור הגישה. קובץ הקישור תומך רק ב-scopedAccessSettings.
   • ‫DEFAULT_DRY_RUN_ACCESS_LEVEL: שם אופציונלי של רמת גישה להרצה (dry run) בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.

   צריך לכלול את הדגל הזה כדי להחיל כברירת מחדל את רמת הגישה שצוינה להרצה לניסיון על כל האפליקציות, אם הן לא צוינו בקובץ ה-YAML.

API

1. יוצרים גוף JSON:

   {
     "group_key": "GROUP_ID",
     //
     // Optional; if specified, all applications that aren't defined in scopedAccessSettings will have these dry-run access levels applied.
     //
     "dry_run_access_levels": [
       "DEFAULT_DRY_RUN_ACCESS_LEVEL"
     ],
     "scoped_access_settings": [
       {
         "scope": {
           "client_scope": {
             "restricted_client_application": {
               "name": "CLIENT_NAME"
             }
           }
         },
         "active_settings": {
           "access_levels": [
             "ACCESS_LEVEL_A"
           ]
         },
         "dry_run_settings": {
           "access_levels": [
             "DRY_RUN_ACCESS_LEVEL_1"
           ]
         }
       },
       {
         "scope": {
           "client_scope": {
             "restricted_client_application": {
               "client_id": "CLIENT_ID"
             }
           }
         },
         "dry_run_settings": {
           "access_levels": [
             "DRY_RUN_ACCESS_LEVEL_2"
           ]
         }
       }
     ]
   }
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫GROUP_ID: מזהה הקבוצה. אם מזהה הקבוצה לא זמין, אפשר לאחזר אותו על ידי הפעלת השיטה get במשאב הקבוצה.
   • ‫DEFAULT_DRY_RUN_ACCESS_LEVEL: שם אופציונלי של רמת גישה להרצה (dry run) בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.
   • ‫CLIENT_NAME: שם הלקוח. אפשר להשתמש ב-name או ב-clientId כשאפליקציה מכילה את sessionSettings.
   • ‫ACCESS_LEVEL_A: שם של רמת גישה בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.
   • ‫DRY_RUN_ACCESS_LEVEL_1: שם של רמת גישה בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.
   • ‫CLIENT_ID: מזהה הלקוח ב-OAuth. אפשר להשתמש ב-client_id או ב-name כשאפליקציה מכילה את sessionSettings.
   • ‫DRY_RUN_ACCESS_LEVEL_2: שם של רמת גישה בפורמט accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.

2. שולחים את בקשת ה-POST:

   POST https://accesscontextmanager.googleapis.com/v1/organizations/ORG_ID/gcpUserAccessBindings
   

   ‫ORG_ID הוא המזהה של הארגון שבו השתמשתם כדי ליצור את התפקיד אדמין של קישורי גישה ב-Cloud. אם המאפיין access-context-manager/organization לא הוגדר, מחליפים את ORG_ID בדגל האופציונלי --organization במזהה של הארגון שבו השתמשתם כשיצרתם את התפקיד "אדמין של קישורי גישה ל-Cloud".

   אם הפעולה בוצעה ללא שגיאות, תקבלו ייצוג של אובייקט ה-JSON. אם יש בעיה, תופיע הודעת שגיאה.