Access Context Manager – Übersicht

In diesem Dokument finden Sie einen allgemeinen Überblick über den Access Context Manager-Dienst und seine Funktionen. Trusted Cloud by S3NS Organization Administrators können mit Access Context Manager eine differenzierte, attributbasierte Zugriffssteuerung für Projekte und Ressourcen in Trusted Clouddefinieren. Als Administrator definieren Sie zuerst eine Zugriffsrichtlinie. Dies ist ein organisationsweiter Container für Zugriffsebenen und Dienstperimeter.

Zugriffsebenen beschreiben die Anforderungen, die Anfragen erfüllen müssen. Beispiele:

  • Gerätetyp und Betriebssystem
  • IP-Adresse
  • Nutzeridentität

Dienstperimeter definieren Sandboxes von Ressourcen, die Daten innerhalb des Perimeters frei austauschen können, jedoch keine Daten außerhalb des Perimeters exportieren dürfen. Access Context Manager ist nicht für die Durchsetzung von Richtlinien zuständig. Access Context Manager ist vielmehr dafür konzipiert, bestimmte Regeln oder Kontexte zu definieren. Die Richtlinie wird übergreifend an mehreren Punkten konfiguriert und durchgesetzt, wie zum Beispiel bei VPC Service Controls. Weitere Informationen zu diesen Diensten finden Sie in den jeweiligen Nutzeranleitungen.

Sie können Access Context Manager-Richtlinien für die folgenden Komponenten der Chrome Enterprise Premium-Lösung konfigurieren und erzwingen:

Vorteile

Viele Unternehmen verlassen sich bei der Sicherung interner Ressourcen auf ein Perimetersicherheitsmodell, zum Beispiel auf Firewalls. Ein Perimeter-Sicherheitsmodell ist stark gesichert und hat nur einen Ein- und Ausgangspunkt. Alles, was sich außerhalb befindet, gilt als gefährlich . Alles, was sich innerhalb der Mauern befindet, gilt als vertrauenswürdig.

Firewalls und das Perimetersicherheitsmodell funktionieren gut, wenn Nutzer und Dienste präzise eingegrenzt werden können. Ist eine Belegschaft mobil, erhöht sich jedoch die Vielfalt der Geräte, zum Beispiel wenn Nutzer eigene Geräte (BYOD) und cloudbasierte Dienste verwenden. Dieses Szenario führt zu zusätzlichen Angriffsvektoren, die vom Perimetermodell nicht berücksichtigt werden. Der Perimeter beschränkt sich in diesem Fall nicht mehr auf den physischen Standort des Unternehmens und was sich im Inneren befindet, kann nicht mehr als sicher angesehen werden.

Mit Access Context Manager können Sie die Größe des privilegierten Netzwerks reduzieren und zu einem Modell wechseln, bei dem Endpunkte keine Umgebungsberechtigung auf Netzwerkbasis haben. Stattdessen können Sie den Zugriff basierend auf dem Kontext der Anfrage gewähren, z. B. nach Gerätetyp, Nutzeridentität usw. und bei Bedarf weiterhin den Zugriff auf das Unternehmensnetzwerk prüfen.

Zugriffsrichtlinien

Eine Zugriffsrichtlinie ist ein Container für alle Ihre Access Context Manager-Ressourcen, z. B. Zugriffsebenen und Dienstperimeter.

Sie können eine Zugriffsrichtlinie im Kontext einer Organisation erstellen und die Zugriffsrichtlinie auf Organisationsebene überall in Ihrer Organisation verwenden. Wenn Sie die Verwaltung einer Zugriffsrichtlinie delegieren möchten, können Sie eine Zugriffsrichtlinie für Bereiche erstellen und den Bereich der Richtlinie auf Ordner- oder Projektebene festlegen. Der delegierte Administrator, dem die Richtlinie mit Bereich zugewiesen ist, kann nur die Zugriffsrichtlinie mit Bereich und nicht die Zugriffsrichtlinie auf Organisationsebene verwalten.

Die Version einer Zugriffsrichtlinie wird mit einer etag verwaltet. Mit etag können Sie Änderungen an Ihrer Zugriffsrichtlinie, z. B. Änderungen an Zugriffsebenen, an einer bestimmten Version der Richtlinie vornehmen. Wenn Ihre Zugriffsrichtlinie von mehreren Quellen geändert wird, können Sie mithilfe des Felds etag für das gcloud-Befehlszeilentool und API-Aufrufe unbeabsichtigte Überschreibungen und Konflikte vermeiden.

Informationen zum Erstellen von Zugriffsrichtlinien finden Sie unter Zugriffsrichtlinie erstellen.

Zugriffsebenen

Zugriffsebenen werden verwendet, um den Zugriff auf Ressourcen basierend auf Kontextinformationen über die Anfrage zu ermöglichen. Mithilfe von Zugriffsebenen können Sie Vertrauensebenen organisieren. Sie können beispielsweise eine Zugriffsebene mit dem Namen High_Level erstellen, die Anfragen von einer kleinen Gruppe berechtigter Personen zulässt. Sie können auch eine allgemeinere Gruppe angeben, der Sie vertrauen möchten, z. B. einen IP-Bereich, für den Sie Anfragen zulassen möchten. In diesem Fall können Sie eine Zugriffsebene mit dem Namen Medium_Level erstellen, um diese Anfragen zuzulassen.

Nachdem Sie Zugriffsebenen definiert haben, können Sie Erzwingungsdienste verwenden, um zu bestimmen, ob eine Anfrage berücksichtigt wird. Beispiel: Sie können festlegen, dass die meisten Ressourcen auf der Ebene Medium_Trust verfügbar sind, während bestimmte sensible Ressourcen die Ebene High_Trust erfordern. Diese Prüfungen werden zusätzlich zu den standardmäßigen IAM-Richtlinien angewendet.

Zugriffsebenen können angepasst werden. Die Zugriffsebenen High_Trust und Medium_Trust sind Beispiele. Sie können mehrere Zugriffsebenen als Teil einer Zugriffsrichtlinie angeben.

Eine Basiszugriffsebene besteht aus einer Sammlung von Bedingungen, die zum Testen von Anfragen verwendet werden. Bedingungen können als Gruppe von Attributen definiert werden, die Sie testen möchten, z. B. Gerätetyp, IP-Adresse oder Nutzeridentität. Die Attribute werden entweder als AND-Vorgang (alle müssen wahr sein) oder als NOR-Vorgang (keiner darf wahr sein) kombiniert, um zu ermitteln, ob die Bedingung erfüllt ist.

!(origin.region_code in ['RU', 'BY', 'UA']) -> FAILED  // levels.regions_check

inIpRange(origin.ip, ['205.220.128.0/23']) -> GRANTED  // levels.ip_check

!(origin.region_code in ['RU', 'BY', 'UA']) || inIpRange(origin.ip, ['205.220.128.0/23']) -> GRANTED

levels.regions_check || levels.ip_check -> GRANTED

IP-Adresse

Sie können eine Zugriffsebene basierend auf der IP-Adresse der ursprünglichen Anfrage gewähren. Der Bereich der zulässigen IP-Adressen wird in Form eines CIDR-Blocks (Classless Inter-Domain Routing) angegeben, der eine differenzierte Kontrolle über die zulässigen IP-Adressen ermöglicht.

Eine Zugriffsebene kann mehrere IP-Adressbereiche enthalten.

Informationen zum Erstellen einer Zugriffsebene, die nur den Zugriff auf einen bestimmten Bereich von IP-Adressen zulässt, z. B. auf die IP-Adressen innerhalb eines einzelnen Unternehmensnetzwerks, finden Sie unter Zugriffsebene für Unternehmensnetzwerke erstellen.

Nutzeridentität

In einigen Szenarien möchten Sie möglicherweise nur bestimmten Entitäten eine Zugriffsebene gewähren. In diesen Fällen bestimmt die Identität des Aufrufers, ob die Bedingung erfüllt ist. Dieses Szenario wird häufig in Verbindung mit Dienstkonten und VPC Service Controls verwendet.

Sie können rein identitätsbasierte Zugriffsebenen mit dem gcloud-Befehlszeilentool erstellen und verwalten, aber nicht mit der Trusted Cloud -Konsole.

Informationen zum Erstellen einer einfachen Zugriffsebene finden Sie unter Zugriffsebene für Access Context Manager erstellen.

Bedingungen kombinieren

Eine Zugriffsebene kann mehrere Bedingungen enthalten. Die Bedingungen können mit dem Operator AND oder OR ausgewertet werden. Sie können den Modus angeben, wenn Sie eine Zugriffsebene erstellen oder aktualisieren.

Die Auswertung mit AND ist die strengere und standardmäßige Option. Sie gewährt die Zugriffsebene nur, wenn alle Bedingungen erfüllt sind. Beispielsweise können Sie festlegen, dass eine Anfrage aus dem Unternehmensnetzwerk und von einem Gerät kommen muss, auf dem die neueste Version eines Betriebssystems ausgeführt wird.

OR ist eine weniger einschränkende Option. In diesem Fall muss für den Zugriff nur eine von vielen Bedingungen erfüllt sein. Dies kann bei der Konfiguration mit Nutzeridentitäten nützlich sein, zum Beispiel um bestimmte Entitäten (wie Dienstkonten) von den Standardanforderungen auszuschließen.

Bedingungen verschachteln

Bedingungen können verschachtelt werden, sodass eine Bedingung von einer anderen abhängt. Wenn Sie beispielsweise die beiden Zugriffsebenen „Mittel“ und „Hoch“ haben, können Sie für „Hoch“ festlegen, dass die Bedingungen für die Ebene „Mittel“ und weitere Bedingungen erfüllt sein müssen.

Verschachtelte Bedingungen können die Verwaltung der Zugriffsebenen erleichtern. Sie können zum Beispiel festlegen, dass Ihre moderateste Zugriffsebene eine Mindestversion des Betriebssystems verlangt und dass die stärker einschränkenden Ebenen davon abhängig sind. Wenn Sie die Mindestversion in Zukunft aktualisieren, müssen Sie nur eine Bedingung und nicht jede Zugriffsebene in der Richtlinie einzeln aktualisieren.

Weitere Informationen