Dokumen ini memberikan ringkasan umum tentang layanan Access Context Manager dan fungsinya.Administrator organisasi dapat menggunakan Access Context Manager untuk menentukan kontrol akses berbasis atribut yang terperinci untuk project dan resource di organisasi. Trusted Cloud by S3NS Trusted CloudSebagai administrator, Anda harus menentukan kebijakan akses terlebih dahulu, yang merupakan container tingkat organisasi untuk tingkat akses dan perimeter layanan.
Tingkat akses menjelaskan persyaratan agar permintaan dipenuhi. Contohnya mencakup:
- Jenis perangkat dan sistem operasi
- Alamat IP
- Identitas pengguna
Perimeter layanan menentukan sandbox resource, yang dapat bertukar data secara bebas dalam perimeter, tetapi tidak diizinkan untuk mengekspor data ke luar perimeter. Access Context Manager tidak bertanggung jawab atas penerapan kebijakan. Sebaliknya, Access Context Manager dirancang untuk menentukan aturan atau konteks tertentu. Kebijakan dikonfigurasi dan diterapkan di berbagai titik, seperti Kontrol Layanan VPC. Anda dapat membaca lebih lanjut layanan ini dalam panduan pengguna masing-masing.
Anda dapat mengonfigurasi dan menerapkan kebijakan Access Context Manager di seluruh komponen solusi Chrome Enterprise Premium berikut:
Manfaat
Banyak perusahaan mengandalkan model keamanan perimeter seperti firewall untuk mengamankan resource internal. Model keamanan perimeter dijaga ketat dengan satu titik masuk dan keluar. Apa pun yang berada di luar dianggap berbahaya . Semua yang ada di dalamnya dipercaya.
Firewall dan model keamanan perimeter berfungsi dengan baik jika ada batas yang jelas di sekitar pengguna dan layanan tertentu. Namun, jika tenaga kerja bersifat mobile, variasi perangkat akan meningkat karena pengguna membawa perangkat mereka sendiri (BYOD) dan menggunakan layanan berbasis cloud. Skenario ini menghasilkan vektor serangan tambahan yang tidak dipertimbangkan oleh model perimeter. Dengan demikian, perimeter tidak lagi hanya lokasi fisik perusahaan, dan apa yang ada di dalamnya tidak dapat diasumsikan aman.
Anda dapat menggunakan Access Context Manager untuk mengurangi ukuran jaringan yang memiliki hak istimewa dan beralih ke model yang tidak memiliki otoritas sekitar berdasarkan jaringan. Sebagai gantinya, Anda dapat memberikan akses berdasarkan konteks permintaan, seperti jenis perangkat, identitas pengguna, dan lainnya, sambil tetap memeriksa akses jaringan perusahaan jika diperlukan.
Kebijakan akses
Kebijakan akses adalah container untuk semua resource Access Context Manager Anda, seperti tingkat akses dan perimeter layanan.
Anda dapat membuat kebijakan akses dalam konteks organisasi dan menggunakan kebijakan akses tingkat organisasi di mana saja dalam organisasi Anda. Untuk mendelegasikan administrasi kebijakan akses, Anda dapat membuat kebijakan akses yang tercakup dan menetapkan cakupan kebijakan di tingkat folder atau project. Administrator yang didelegasikan yang diberi kebijakan terbatas hanya dapat mengelola kebijakan akses terbatas dan bukan kebijakan akses tingkat organisasi.
Kebijakan akses diberi versi menggunakan etag.
Anda dapat menggunakan etag untuk menargetkan perubahan pada kebijakan akses Anda, seperti
modifikasi pada tingkat akses atau pada versi kebijakan tertentu. Jika
beberapa sumber mengubah kebijakan akses Anda, penggunaan kolom etag untuk
panggilan API dan alat command line gcloud akan membantu mencegah penimpaan dan konflik yang tidak diinginkan.
Untuk mempelajari cara membuat kebijakan akses, lihat Membuat kebijakan akses.
Tingkat akses
Tingkat akses digunakan untuk memberikan akses ke resource berdasarkan informasi kontekstual tentang permintaan. Dengan tingkat akses, Anda dapat mulai mengatur tingkat kepercayaan. Misalnya, Anda dapat membuat tingkat akses yang disebut
High_Level yang akan mengizinkan permintaan dari sekelompok kecil individu
dengan hak istimewa tinggi. Anda juga dapat mengidentifikasi grup yang lebih umum untuk dipercayai, seperti rentang IP yang ingin Anda izinkan permintaannya. Dalam hal ini, Anda dapat membuat
tingkat akses yang disebut Medium_Level untuk mengizinkan permintaan tersebut.
Setelah Anda menentukan tingkat akses, layanan penerapan dapat menggunakannya untuk menentukan apakah akan memenuhi permintaan. Misalnya, Anda dapat menentukan bahwa, meskipun
banyak resource tersedia untuk Medium_Trust, resource tertentu yang lebih sensitif
memerlukan tingkat High_Trust. Pemeriksaan ini diterapkan selain
kebijakan IAM standar.
Tingkat akses dapat disesuaikan; tingkat akses High_Trust dan Medium_Trust adalah contohnya. Anda dapat menentukan beberapa tingkat akses sebagai bagian dari
kebijakan akses.
!(origin.region_code in ['RU', 'BY', 'UA']) -> FAILED // levels.regions_check
inIpRange(origin.ip, ['205.220.128.0/23']) -> GRANTED // levels.ip_check
!(origin.region_code in ['RU', 'BY', 'UA']) || inIpRange(origin.ip, ['205.220.128.0/23']) -> GRANTED
levels.regions_check || levels.ip_check -> GRANTED
Alamat IP
Anda dapat memberikan tingkat akses berdasarkan alamat IP permintaan yang berasal. Rentang IP yang diizinkan ditentukan dalam bentuk blok Classless Inter-Domain Routing (CIDR), yang memungkinkan kontrol terperinci atas IP yang diizinkan.
Satu tingkat akses dapat berisi beberapa rentang IP.
Untuk mempelajari cara membuat tingkat akses yang hanya mengizinkan akses ke rentang alamat IP tertentu seperti yang ada dalam satu jaringan perusahaan, lihat Membuat Tingkat Akses untuk Akses Jaringan Perusahaan.
Identitas pengguna
Dalam beberapa skenario, Anda mungkin ingin memberikan tingkat akses ke entity tertentu. Dalam skenario ini, identitas pemanggil menentukan apakah kondisi terpenuhi. Skenario ini sering digunakan bersama dengan Akun Layanan dan Kontrol Layanan VPC.
Anda dapat membuat dan mengelola tingkat akses khusus identitas dengan alat command line gcloud, tetapi tidak dengan konsol Trusted Cloud .
Untuk mulai membuat tingkat akses dasar, lihat Membuat tingkat akses untuk Access Context Manager.
Menggabungkan kondisi
Satu tingkat akses dapat berisi beberapa kondisi. Kondisi dapat dievaluasi menggunakan operator AND atau OR. Anda dapat menentukan mode saat
membuat atau memperbarui tingkat akses.
Kasus AND adalah opsi yang lebih ketat dan default. Opsi ini hanya memberikan
Tingkat Akses jika semua kondisi terpenuhi. Misalnya, Anda dapat mewajibkan permintaan
berasal dari dalam jaringan perusahaan dan dari perangkat yang menjalankan sistem operasi
versi terbaru.
OR adalah opsi yang kurang ketat. Opsi ini hanya memerlukan salah satu dari banyak
kondisi agar bernilai benar. Hal ini terkadang berguna saat menangani identitas pengguna, misalnya, untuk mengecualikan entitas tertentu (seperti Akun Layanan) dari persyaratan normal.
Kondisi bertingkat
Kondisi dapat bertingkat sehingga satu kondisi bergantung pada kondisi lainnya. Misalnya, jika Anda memiliki dua tingkat akses kepercayaan "Sedang" dan "Tinggi", Anda dapat menetapkan persyaratan untuk "Tinggi" agar memerlukan "Sedang", selain kondisi lainnya.
Kondisi bertingkat dapat membuat pengelolaan tingkat akses menjadi lebih mudah. Misalnya, bayangkan tingkat akses Anda yang paling permisif berisi versi sistem operasi minimum, dan Anda menyetel tingkat yang lebih ketat agar bergantung padanya. Jika Anda memperbarui versi minimum di masa mendatang, Anda hanya perlu memperbarui satu kondisi, bukan setiap tingkat akses dalam kebijakan.