Fehlerbehebung für kontextsensitiven Zugriff

Auf dieser Seite finden Sicherheits- und Cloud-Administratoren Informationen zur Diagnose und Behebung von Problemen mit Access Context Manager-Zugriffsebenen, Bindungen von Dienstkonten für kontextsensitiven Zugriff, zertifikatsbasiertem Zugriff und verwalteten Mobilgeräten.

Probleme bei der Verwaltung von Zugriffsebenen

In diesem Abschnitt werden Probleme aufgeführt, die beim Verwalten von Zugriffsebenen in Access Context Manager auftreten können, sowie Vorschläge zur Problemlösung.

Eine Zugriffsebene, die in Google Workspace-Richtlinien für den kontextsensitiven Zugriff verwendet wird, kann nicht gelöscht werden

Das folgende Problem tritt auf, wenn Sie versuchen, eine Zugriffsebene in Access Context Manager zu löschen, die einer Google Workspace-Richtlinie für kontextsensitiven Zugriff zugewiesen ist.

Je nach verwendeter Schnittstelle erhalten Sie eine der folgenden Fehlermeldungen:

  • Cloud de Confiance Console:

    Cannot delete Access Level 'ACCESS_LEVEL_TITLE'. It's currently
used in Google Workspace Context-Aware Access policies. To delete this
Access Level, first remove it from all app assignments and default rules in
the Google Workspace Admin Console.

  • Google Cloud CLI:

    ERROR: (gcloud.access-context-manager.levels.delete) FAILED_PRECONDITION:
Cannot delete Access Level: ACCESS_LEVEL_NAME. This Access Level
is currently being used by Google Workspace Context-Aware Access policies.
Please remove the Access Level from all assignments in the Google Workspace
Admin Console before attempting deletion.

  • Access Context Manager API:

    FAILED_PRECONDITION: WORKSPACE_CAA_LIEN_PROTECTED

Richtlinien für den kontextsensitiven Zugriff von Google Workspace und Access Context Manager verwenden dieselben Zugriffsebenen. Um versehentliche Dienstunterbrechungen für Google Workspace-Nutzer zu vermeiden, wird für jede Zugriffsebene, die einer Google Workspace-Richtlinie für kontextsensitiven Zugriff zugewiesen ist, eine Löschsperre eingerichtet. Dies gilt unabhängig davon, ob sich die Richtlinie im Aktiv-, Monitor- oder Warnmodus befindet.

Um dieses Problem zu beheben, entfernen Sie die Zuweisung der Zugriffsebene in der Admin-Konsole, bevor Sie die Zugriffsebene löschen:

  1. Melden Sie sich in der Admin-Konsole an.
  2. Gehen Sie zu Sicherheit > Zugriffs- und Datenkontrolle > Kontextsensitiver Zugriff.
  3. Ermitteln Sie alle Google Workspace-Hauptdienste, SAML-Apps oder Standard-API-Regeln, denen die Zugriffsebene zugewiesen ist.
  4. Heben Sie die Zuweisung der Zugriffsebene zu diesen Richtlinien auf. Weitere Informationen finden Sie im Hilfeartikel Apps kontextsensitive Zugriffsebenen zuweisen.
  5. Nachdem Sie die Zugriffsebene aus allen Zuweisungen für den kontextsensitiven Zugriff in Google Workspace entfernt haben, wird die Löschsperre automatisch entfernt. Versuchen Sie noch einmal, die Zugriffsebene in der Cloud de Confiance Console oder mit der gcloud CLI zu löschen.

Eine Zugriffsebene, auf die von einer anderen Zugriffsebene verwiesen wird, kann nicht gelöscht werden

Dieser Fehler kann auftreten, wenn Sie versuchen, eine Zugriffsebene zu löschen, die als Bedingung in einer anderen einfachen oder benutzerdefinierten Zugriffsebene referenziert wird.

Um dieses Problem zu beheben, prüfen Sie die Abhängigkeiten der Zugriffsebene und aktualisieren Sie alle referenzierenden Zugriffsebenen, um die Abhängigkeit zu entfernen, bevor Sie die Zugriffsebene löschen.

Nach dem Löschen oder Ändern einer Zugriffsebene ist der Zugriff auf die Cloud de Confiance Console nicht mehr möglich

Das folgende Problem tritt auf, wenn Administratoren oder Nutzer in einer Google-Gruppe nach dem Löschen oder Ändern einer Zugriffsebene, auf die in einer Cloud de Confiance -Zugriffsbindung verwiesen wird, nicht mehr auf die Cloud de Confiance Console oder Cloud de Confiance by S3NS APIs zugreifen können. Da Cloud de Confiance -Zugriffsbindungen keine Löschsperre für referenzierte Zugriffsebenen festlegen, führt das Löschen einer verwendeten Zugriffsebene dazu, dass die Zugriffsbewertungen für die gebundene Gruppe fehlschlagen.

Um dieses Problem zu beheben und den Zugriff wiederherzustellen, entfernen Sie die betroffenen Nutzer in der Admin-Konsole aus der Google-Gruppe:

  1. Melden Sie sich mit einem Administratorkonto, mit dem Google-Gruppen verwaltet werden können, in der Admin-Konsole an.
  2. Gehen Sie zu Verzeichnis > Gruppen und wählen Sie die Google-Gruppe aus, die in der Zugriffsbindung verwendet wird.
  3. Entfernen Sie die betroffenen Administrator- oder Nutzerkonten aus der Gruppe, um die Zugriffsbindung zu umgehen und den Zugriff auf die Cloud de Confiance Console und dieCloud de Confiance APIs wiederherzustellen.
  4. Nachdem Sie wieder Zugriff haben, aktualisieren oder löschen Sie die Zugriffsbindung, sodass sie auf eine gültige Zugriffsebene verweist, und fügen Sie die Nutzer dann wieder der Google-Gruppe hinzu.

Probleme mit dem Dienstkonto

In diesem Abschnitt werden Probleme aufgeführt, die beim Konfigurieren des kontextsensitiven Zugriffs für Dienstkonten auftreten können, sowie Vorschläge zu deren Behebung.

Der Zugriff für ein Dienstkonto wird verweigert.

Das folgende Problem tritt auf, wenn der kontextsensitive Zugriff einem Dienstkonto den Zugriff auf Cloud de Confiance -Ressourcen verweigert, nachdem Sie eine Richtlinie für den kontextsensitiven Zugriff gebunden haben.

Dieses Problem tritt in der Regel aus einem der folgenden Gründe auf:

  • Sie haben die Richtlinie für kontextsensitiven Zugriff im erzwungenen Modus und nicht im Probelaufmodus gebunden.
  • Die Zugriffsebene enthält nicht alle erforderlichen Quellen, z. B. eine IP-Adresse, die Sie beim Erstellen der Zugriffsebene nicht angegeben haben.
  • Ihre Nutzeridentität ist Mitglied einer Google-Gruppe, die eine gebundene Richtlinie für kontextsensitiven Zugriff hat, die den Nutzerzugriff einschränkt. Dadurch wird der Aufruffluss zum Dienstkonto verhindert.

So beheben Sie das Problem:

  1. Verwenden Sie den Probelaufmodus anstelle des erzwungenen Modus, damit Dienstkonten auf Ressourcen zugreifen und Erzwingungsereignisse protokollieren können, ohne den Zugriff zu verweigern.

  2. Prüfen Sie die Cloud-Audit-Logeinträge mit der folgenden Logabfrage:

    protoPayload.serviceName="contextawareaccess.googleapis.com"

  3. Prüfen Sie den Ressourcennamen der Zugriffsebene, den der kontextsensitive Zugriff in den Cloud-Audit-Logeinträgen meldet.

  4. Prüfen Sie, ob die Zugriffsebene eine Ressource auf Organisationsebene ist und nur Attribute verwendet, die für Dienstkonten unterstützt werden.

  5. Prüfen Sie, ob die Richtlinie für den kontextsensitiven Zugriff an das gewünschte Dienstkonto gebunden ist und ob die Zugriffsebene alle erforderlichen IP-Adressen oder Quellnetzwerke enthält.

  6. Prüfen Sie, ob Ihre Nutzeridentität durch eine kontextsensitive Zugriffsrichtlinie auf Gruppenebene eingeschränkt ist.

Probleme mit dem zertifikatbasierten Zugriff

In diesem Abschnitt werden Probleme aufgeführt, die bei der Verwendung des zertifikatsbasierten Zugriffs für Arbeitslasten oder Unternehmenszertifikate auftreten können. Außerdem finden Sie Vorschläge zur Behebung dieser Probleme.

Fehler „403 Forbidden“ beim Autorisieren von Arbeitslasten

Das folgende Problem tritt auf, wenn eine Arbeitslast versucht, über den zertifikatbasierten Zugriff für die Workload Identity-Föderation auf eineCloud de Confiance -Ressource zuzugreifen:

403 Forbidden, user does not have permission.

Prüfen Sie Ihre IAM-Richtlinie (Identity and Access Management), um sicherzustellen, dass der Workload Identity-Pool Zugriff auf Ihre Cloud de Confiance -Ressource hat. Weitere Informationen finden Sie unter Zertifikatbasierten Zugriff für die Workload Identity-Föderation konfigurieren.

Fehler „Nicht autorisierter Client“ für das Attribut google.subject

Das folgende Problem tritt auf, wenn das Backend basierend auf Ihrer Attributzuordnung keinen Wert für das Attribut google.subject aus einem Clientzertifikat extrahieren kann:

Unauthorized_client: Could not obtain a value for google.subject from the given
credential.

Prüfen Sie zur Behebung dieses Problems Ihr Clientzertifikat und vergewissern Sie sich, dass das in der Attributzuordnung referenzierte Zertifikatsfeld einen gültigen Wert enthält.

Unerwartete Zugriffsverweigerungen nach dem Aktivieren von Bindungen für den kontextsensitiven Zugriff

Das folgende Problem tritt auf, wenn der kontextsensitive Zugriff nach dem Aktivieren einer Bindung für den kontextsensitiven Zugriff unerwartet gültige Arbeitslastanfragen ablehnt.

Um dieses Problem zu beheben, können Sie den Traffic entsperren, während Sie den Zugriff weiterhin auswerten und Audit-Logs generieren, indem Sie die Bindung für den kontextsensitiven Zugriff in den Probelaufmodus verschieben:

gcloud alpha access-context-manager cloud-bindings update \
    --binding=BINDING_ID \
    --organization=ORG_ID \
    --level= \
    --dry-run-level=DRY_RUN_ACCESS_LEVEL_ID

Ersetzen Sie Folgendes:

  • BINDING_ID: die ID der Bindung für den kontextsensitiven Zugriff.
  • ORG_ID: ID Ihrer Organisation.
  • DRY_RUN_ACCESS_LEVEL_ID: der vollständige Ressourcenname der Zugriffsebene für den Probelauf, z. B. accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.

Alternativ können Sie die Bindung für den kontextsensitiven Zugriff löschen, um den Traffic sofort freizugeben:

gcloud alpha access-context-manager cloud-bindings delete \
    --binding=BINDING_ID \
    --organization=ORG_ID

Nachdem Sie den Zugriff wiederhergestellt haben, prüfen Sie die Audit-Logs für den kontextsensitiven Zugriff, um festzustellen, warum der kontextsensitive Zugriff die Anfragen abgelehnt hat.

Unternehmenszertifikatsbedingung schlägt bei der Validierung fehl

Das folgende Problem tritt auf, wenn eine Zugriffsebene den Zugriff auf ein Gerät mit einem Unternehmenszertifikat verweigert, obwohl Sie Bedingungen für Unternehmenszertifikate konfiguriert haben.

Prüfen Sie zur Behebung dieses Problems die Zertifikatsattribute und erfassen Sie Protokolle der Endpunktprüfung zur Fehlerbehebung:

  1. Prüfen Sie in der Admin-Konsole auf der Seite „Gerätedetails“ die Zertifikatsattribute, um festzustellen, ob sie mit dem Aussteller und den Attributen in Ihrer benutzerdefinierten Zugriffsebene übereinstimmen.
  2. Geben Sie im Google Chrome-Browser chrome://policy in die Adressleiste ein und prüfen Sie, ob AutoSelectCertificateForUrls auf Maschine (oder Aktueller Nutzer unter ChromeOS) festgelegt ist und kein Konflikt-Status angezeigt wird.
  3. Laden Sie die Protokolle der Erweiterung „Endpunktprüfung“ herunter, um Fehler bei der Zertifikatsauswahl zu prüfen:
    1. Rechtsklicken Sie auf die Erweiterung „Endpunktprüfung“ und wählen Sie Optionen aus.
    2. Wählen Sie Log-Ebene > Alle > Logs herunterladen aus.
    3. Wenn das Problem weiterhin besteht, öffnen Sie eine Supportanfrage bei Cloud Customer Care und geben Sie die Logs für die weitere Fehlerbehebung frei.

Probleme mit Mobilgeräten

In diesem Abschnitt werden Probleme aufgeführt, die bei der Verwendung von Mobilgeräten mit Zugriffsebenen auftreten können, sowie Vorschläge zu deren Behebung.

Zugriffsebene lehnt Anfragen von einem konformen Mobilgerät ab

Das folgende Problem tritt auf, wenn eine Zugriffsebene eine Nutzeranfrage von einem Android- oder iOS-Mobilgerät ablehnt, obwohl die Zugriffsebene und die Einstellungen für die Mobilgeräteverwaltung richtig konfiguriert sind.

Dieses Problem tritt auf, wenn der serverseitige Gerätestatus nicht aktualisiert wurde oder wenn die Anfrage nicht von Safari oder Chrome stammt, während Sie in einem Nutzerkonto einer Organisation angemeldet sind.

Prüfen Sie, ob die Anfrage von Safari oder Chrome mit einem Nutzerkonto der Organisation stammt, und erzwingen Sie dann eine Aktualisierung des serverseitigen Gerätestatus:

  • Android-Geräte:

    1. Wenn du im Browser deines Geräts in accounts.google.com angemeldet bist, melde dich von dem Konto ab.
    2. Öffne auf deinem Gerät die Einstellungen und gehe zu Konten.
    3. Entfernen Sie das Google-Konto vom Gerät.
    4. Fügen Sie das geschäftliche Google-Konto wieder dem Gerät hinzu.

  • iOS-Geräte:

    1. Wenn du im Browser deines Geräts in accounts.google.com angemeldet bist, melde dich von dem Konto ab.
    2. Öffnen Sie eine Google-App auf dem Gerät, z. B. Gmail.
    3. Entfernen Sie das Google-Konto vom Gerät.
    4. Fügen Sie das geschäftliche Google-Konto wieder dem Gerät hinzu.