Kontextsensitiven Zugriff einrichten

Console

1. Rufen Sie in der Cloud de Confiance Console die Seite IAM auf.

   IAM aufrufen

2. Wählen Sie im Menü „Projektauswahl“ Ihre Organisations-ID aus.

3. Klicken Sie auf Zugriff erlauben und konfigurieren Sie Folgendes:

   • Neue Prinzipale: Geben Sie den Nutzer oder die Gruppe an, dem bzw. der Sie die Berechtigungen gewähren möchten.

   • Rolle auswählen: Wählen Sie Access Context Manager > Administrator für Cloud-Zugriffsbindungen aus.

4. Klicken Sie auf Speichern.

gcloud

1. Prüfen Sie, ob Sie über ausreichende Berechtigungen verfügen, um IAM-Berechtigungen auf Organisationsebene hinzuzufügen. Sie benötigen mindestens die Rolle Organisationsadministrator.

   Nachdem Sie bestätigt haben, dass Sie die richtigen Berechtigungen haben, melden Sie sich mit dem folgenden Befehl an:

   gcloud auth login
   

2. Weisen Sie die Rolle „Administrator für Cloud-Zugriffsbindungen“ (roles/accesscontextmanager.gcpAccessAdmin) mit dem folgenden Befehl zu:

   gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
       --member=PRINCIPAL \
       --role=roles/accesscontextmanager.gcpAccessAdmin
   

   Ersetzen Sie Folgendes:

   • ORGANIZATION_ID: die ID für Ihre Organisation. Mit dem folgenden Befehl können Sie die Organisations-ID ermitteln:

     gcloud organizations list
     ```
   
   * <code><var>PRINCIPAL</var></code>: the user or group that you want to
   grant the role to.
   

Console

So binden Sie die Gruppe über die Cloud de Confiance Console an die Zugriffsebene:

1. Rufen Sie in der Cloud de Confiance Console die Seite Chrome Enterprise Premium auf.

   
   Zu Chrome Enterprise Premium

   Wählen Sie Ihre Organisation aus, wenn Sie dazu aufgefordert werden.

2. Klicken Sie auf Zugriff für Cloud de Confiance Console und APIs verwalten. Auf der Seite werden die vorhandenen Zugriffsbindungen aufgeführt.

3. Klicken Sie auf Bindung erstellen.

4. Klicken Sie im Bereich Hauptkonten auf Hinzufügen.

5. Geben Sie die E-Mail-Adresse der Google-Gruppe ein, die Sie binden möchten.

6. Wählen Sie im Bereich Zugriffsebenen die Zugriffsebenen aus, die Mitglieder der Gruppe erfüllen müssen, um Zugriff zu erhalten. Mehrere Zugriffsebenen werden logisch mit OR verknüpft. Das logische OR bedeutet, dass der Nutzer die Bedingungen von mindestens einer der ausgewählten Ebenen erfüllen muss, um auf die Ressource zuzugreifen.

7. Klicken Sie auf Speichern, um die Zugriffsbindung zu speichern.

Es kann einige Minuten dauern, bis die Bindung weitergegeben wird. Nachdem die Bindung aktiv ist, unterliegen Mitglieder der Gruppe den konfigurierten Anforderungen für die Zugriffsebene, wenn sie auf die Cloud de Confiance Console zugreifen oder Tools wie die gcloud CLI verwenden, die mit Cloud de Confiance APIs interagieren.

gcloud

Führen Sie den folgenden Befehl aus, um die Gruppe an die Zugriffsebene zu binden:

gcloud access-context-manager cloud-bindings create \
  --group-key=GROUP_EMAIL \
  --level=ACCESS_LEVEL_ID \
  --organization=ORGANIZATION_ID

Ersetzen Sie Folgendes:

• GROUP_EMAIL: Die E-Mail-Adresse der zu bindenden Google-Gruppe, z. B. my-restricted-users@example.com.

• ACCESS_LEVEL_ID: Der vollständige Ressourcenname der anzuwendenden Zugriffsebene. Der Ressourcenname hat das Format accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.

Sie finden POLICY_ID, indem Sie die Richtlinien mit dem folgenden Befehl auflisten:

gcloud access-context-manager policies list --organization ORGANIZATION_ID

• ORGANIZATION_ID: Optional. Ihre Cloud de Confiance Organisations-ID. Die Organisations-ID ist nur erforderlich, wenn Sie die Standardorganisation nicht in Ihrer gcloud CLI-Konfiguration festgelegt haben.