Visão geral do Access Context Manager

Este documento oferece uma visão geral do serviço Access Context Manager e das funções dele.Os administradores da organização Trusted Cloud by S3NS podem usar o Access Context Manager para definir o controle de acesso refinado e baseado em atributos para projetos e recursos no Trusted Cloud. Como administrador, primeiro você define uma política de acesso, que é um contêiner de toda a organização para níveis de acesso e perímetros de serviço.

Os níveis de acesso descrevem os requisitos para que as solicitações sejam atendidas. Os exemplos incluem:

  • Tipo de dispositivo e sistema operacional
  • Endereço IP
  • Identidade do usuário

Os perímetros de serviço definem sandboxes de recursos que podem trocar dados livremente dentro do perímetro, mas não têm permissão para exportar dados para fora dele. O Access Context Manager não é responsável pela aplicação de políticas. Em vez disso, o Access Context Manager foi projetado para definir regras ou contextos específicos. A política é configurada e aplicada em vários pontos, como os VPC Service Controls. Leia mais sobre esses serviços nos respectivos guias do usuário.

É possível configurar e aplicar políticas do Access Context Manager nos seguintes componentes da solução do Chrome Enterprise Premium:

Vantagens

Muitas empresas dependem de um modelo de segurança de perímetro, como um firewall, para proteger recursos internos. Um modelo de segurança de perímetro é fortemente protegido com um único ponto de entrada e saída. Qualquer coisa que esteja do lado de fora é considerada perigosa . e tudo o que estiver do lado de dentro é confiável.

Os firewalls e o modelo de segurança de perímetro funcionarão bem se houver um limite preciso em torno de usuários e serviços específicos. No entanto, se uma força de trabalho for móvel, a variedade de dispositivos aumentará à medida que os usuários trouxerem os próprios dispositivos deles (BYOD, sigla em inglês) e utilizarem serviços baseados em nuvem. Esse cenário resulta em outros vetores de ataque que não são considerados pelo modelo de perímetro. Por isso, o perímetro não é mais apenas o local físico da empresa, e o que está dentro não pode mais ser considerado seguro.

Use o Access Context Manager para reduzir o tamanho da rede privilegiada e mudar para um modelo em que os endpoints não têm autoridade do ambiente com base na rede. Em vez disso, é possível conceder acesso com base no contexto da solicitação, como tipo de dispositivo, identidade do usuário e muito mais, enquanto ainda verifica o acesso a redes corporativas, quando necessário.

Políticas de acesso

Uma política de acesso é um contêiner para todos os seus recursos do Access Context Manager, como níveis de acesso e perímetros de serviço.

É possível criar uma política de acesso no contexto de uma organização e usar a política de acesso no nível da organização em qualquer lugar da organização. Para delegar a administração de uma política de acesso, crie uma política de acesso com escopo e defina o escopo no nível da pasta ou do projeto. O administrador delegado a quem a política com escopo é atribuída pode gerenciar apenas a política de acesso com escopo, não a política de acesso no nível da organização.

Uma política de acesso é versionada usando um etag. Você pode usar etag para direcionar mudanças na sua política de acesso, como modificações nos níveis de acesso ou em uma versão específica da política. Se várias fontes mudarem sua política de acesso, use o campo etag para a ferramenta de linha de comando gcloud e as chamadas de API. Isso ajuda a evitar substituições e conflitos não intencionais.

Para saber como criar políticas de acesso, consulte Criar uma política de acesso.

Níveis de acesso

Os níveis de acesso são usados para permitir o acesso a recursos com base em informações contextuais sobre a solicitação. Usando níveis de acesso, é possível começar a organizar níveis de confiança. Por exemplo, é possível criar um nível de acesso chamado High_Level que permitirá solicitações de um pequeno grupo de indivíduos com privilégios altos. Também é possível identificar um grupo mais geral para confiar, como um intervalo de IP de onde você quer permitir solicitações. Nesse caso, é possível criar um nível de acesso chamado Medium_Level para permitir essas solicitações.

Depois de definir os níveis de acesso, os serviços de aplicação podem usá-los para determinar se uma solicitação será atendida. Por exemplo, você pode especificar que, enquanto muitos recursos estão disponíveis para Medium_Trust, certos recursos mais sensíveis exigem o nível High_Trust. Essas verificações são aplicadas além da política padrão do IAM.

Os níveis de acesso são personalizáveis. Os níveis de acesso High_Trust e Medium_Trust são exemplos. É possível especificar vários níveis de acesso como parte de uma política de acesso.

Um nível de acesso básico consiste em um conjunto de condições usadas para testar solicitações. As condições podem ser definidas como um grupo de atributos que você quer testar, como tipo de dispositivo, endereço IP ou identidade do usuário. Os atributos são combinados como uma operação AND (todos precisam ser verdadeiros) ou NOR (nenhum pode ser verdadeiro) para determinar se a condição é atendida.

!(origin.region_code in ['RU', 'BY', 'UA']) -> FAILED  // levels.regions_check

inIpRange(origin.ip, ['205.220.128.0/23']) -> GRANTED  // levels.ip_check

!(origin.region_code in ['RU', 'BY', 'UA']) || inIpRange(origin.ip, ['205.220.128.0/23']) -> GRANTED

levels.regions_check || levels.ip_check -> GRANTED

Endereço IP

É possível conceder um nível de acesso com base no endereço IP da solicitação de origem. O intervalo de IPs permitidos é especificado na forma de um bloco de roteamento entre domínios sem classe (CIDR), que permite um controle detalhado sobre os IPs permitidos.

Um único nível de acesso pode conter vários intervalos de IP.

Para aprender a criar um nível de acesso que permita acesso somente a um intervalo especificado de endereços IP, como aqueles dentro de uma única rede corporativa, consulte Como criar um nível de acesso para rede corporativa.

Identidade do usuário

Em alguns cenários, é possível conceder um nível de acesso a entidades específicas. Nesses cenários, a identidade do chamador determina se a condição é atendida. Esse cenário é usado com frequência com contas de serviço e VPC Service Controls.

É possível criar e gerenciar níveis de acesso somente para identidade com a ferramenta de linha de comando gcloud, mas não com o console Trusted Cloud .

Para começar a criar um nível de acesso básico, consulte Criar um nível de acesso para o Access Context Manager.

Como combinar condições

Um único nível de acesso pode conter várias condições. As condições podem ser avaliadas usando o operador AND ou OR. Especifique o modo ao criar ou atualizar um nível de acesso.

O caso AND é a opção mais estrita e padrão. Essa opção só concede o nível de acesso se todas as condições forem cumpridas. Por exemplo, é possível exigir que uma solicitação venha de dentro da rede corporativa e de um dispositivo que esteja executando a versão mais recente de um sistema operacional.

OR é uma opção menos restritiva. Essa opção só exige que uma das muitas condições seja verdadeira. Às vezes, isso é valioso ao lidar com identidades de usuários. Por exemplo, para excluir entidades específicas (como Contas de serviço) dos requisitos normais.

Condições de aninhamento

As condições podem ser aninhadas de maneira que uma dependa da outra. Por exemplo, se você tiver dois níveis de acesso, de confiança "Média" e "Alta", será possível definir os requisitos da "Alta" para a "Média", além de outras condições.

As condições de aninhamento podem tornar o gerenciamento de níveis de acesso mais conveniente. Por exemplo, imagine que seu nível de acesso mais abrangente contém uma versão mínima do sistema operacional e você define os níveis mais restritivos para depender dele. Se você atualizar a versão mínima no futuro, só precisará atualizar uma única condição, em vez de cada nível de acesso na política.

Saiba mais