Sebagian atau seluruh informasi di halaman ini mungkin tidak berlaku untuk Cloud de Confiance dari S3NS. Lihat Perbedaan dengan Google Cloud untuk mengetahui detail selengkapnya.

Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Memecahkan masalah Akses Kontekstual

Halaman ini membantu administrator keamanan dan cloud mendiagnosis serta menyelesaikan masalah terkait tingkat akses Access Context Manager, binding akun layanan Akses Kontekstual, akses berbasis sertifikat, dan perangkat seluler terkelola.

Masalah pengelolaan tingkat akses

Bagian ini mencantumkan masalah yang mungkin Anda alami saat mengelola tingkat akses di Access Context Manager dan memberikan saran tentang cara memperbaiki setiap masalah tersebut.

Tidak dapat menghapus tingkat akses yang digunakan dalam kebijakan Akses Kontekstual Google Workspace

Masalah berikut terjadi saat Anda mencoba menghapus tingkat akses di Access Context Manager yang ditetapkan ke kebijakan Akses Kontekstual Google Workspace.

Bergantung pada antarmuka yang Anda gunakan, Anda akan menerima salah satu pesan error berikut:

Cloud de Confiance console:

Cannot delete Access Level 'ACCESS_LEVEL_TITLE'. It's currently
used in Google Workspace Context-Aware Access policies. To delete this
Access Level, first remove it from all app assignments and default rules in
the Google Workspace Admin Console.

Google Cloud CLI:

ERROR: (gcloud.access-context-manager.levels.delete) FAILED_PRECONDITION:
Cannot delete Access Level: ACCESS_LEVEL_NAME. This Access Level
is currently being used by Google Workspace Context-Aware Access policies.
Please remove the Access Level from all assignments in the Google Workspace
Admin Console before attempting deletion.

Access Context Manager API:

FAILED_PRECONDITION: WORKSPACE_CAA_LIEN_PROTECTED

Kebijakan Akses Kontekstual Google Workspace dan Access Context Manager memiliki tingkat akses dasar yang sama. Untuk mencegah gangguan layanan yang tidak disengaja bagi pengguna Google Workspace, sistem akan menempatkan kunci penghapusan (lien) pada tingkat akses apa pun yang ditetapkan ke kebijakan Akses Kontekstual Google Workspace, baik kebijakan tersebut dalam mode aktif, pantau, atau peringatan.

Untuk mengatasi masalah ini, hapus penetapan tingkat akses di konsol Google Admin sebelum Anda menghapus tingkat akses:

Login ke konsol Admin.
Buka Keamanan > Kontrol data dan akses > Akses Kontekstual.
Identifikasi aplikasi Google Workspace inti, aplikasi SAML, atau aturan API default yang memiliki tingkat akses yang ditetapkan.
Batalkan penetapan tingkat akses dari kebijakan tersebut. Untuk mengetahui informasi selengkapnya, lihat Menetapkan tingkat Akses Kontekstual ke aplikasi.
Setelah Anda menghapus tingkat akses dari semua penetapan Akses Kontekstual Google Workspace, sistem akan otomatis menghapus kunci penghapusan. Coba lagi menghapus tingkat akses di konsol Cloud de Confiance atau menggunakan gcloud CLI.

Tidak dapat menghapus tingkat akses yang dirujuk oleh tingkat akses lain

Anda dapat menerima error ini saat mencoba menghapus tingkat akses yang direferensikan sebagai kondisi di tingkat akses dasar atau kustom lainnya.

Untuk mengatasi masalah ini, periksa dependensi tingkat akses Anda dan perbarui tingkat akses yang mereferensikan untuk menghapus dependensi sebelum Anda menghapus tingkat akses.

Terkunci dari konsol Cloud de Confiance setelah menghapus atau mengubah tingkat akses

Masalah berikut terjadi saat administrator atau pengguna di grup Google diblokir dari mengakses konsol Cloud de Confiance atau API Cloud de Confiance by S3NS setelah Anda menghapus atau mengubah tingkat akses yang direferensikan dalam binding aksesCloud de Confiance . Karena binding akses Cloud de Confiance tidak menempatkan kunci penghapusan pada tingkat akses yang direferensikan, menghapus tingkat akses yang sedang digunakan akan menyebabkan evaluasi akses untuk grup terikat gagal ditutup.

Untuk menyelesaikan masalah ini dan mendapatkan kembali akses, hapus pengguna yang terpengaruh dari grup Google di konsol Admin:

Login ke konsol Admin menggunakan akun administrator yang dapat mengelola grup Google.
Buka Direktori > Grup, lalu pilih grup Google yang digunakan dalam binding akses.
Hapus akun administrator atau pengguna yang terpengaruh dari grup untuk mengabaikan binding akses dan memulihkan akses ke konsol Cloud de Confiance dan APICloud de Confiance .
Setelah Anda mendapatkan kembali akses, perbarui atau hapus binding akses sehingga merujuk ke tingkat akses yang valid, lalu tambahkan kembali pengguna ke grup Google.

Masalah akun layanan

Bagian ini mencantumkan masalah yang mungkin Anda alami saat mengonfigurasi Akses Kontekstual untuk akun layanan dan memberikan saran tentang cara memperbaiki setiap masalah tersebut.

Akses ditolak untuk akun layanan

Masalah berikut terjadi saat Akses Kontekstual menolak akses akun layanan ke resource Cloud de Confiance setelah Anda mengikat kebijakan Akses Kontekstual.

Masalah ini biasanya terjadi karena salah satu alasan berikut:

Anda mengikat kebijakan Akses Kontekstual dalam mode diterapkan, bukan mode uji coba.
Tingkat akses tidak menyertakan semua sumber yang diperlukan, seperti alamat IP yang tidak Anda sertakan saat membuat tingkat akses.
Identitas pengguna Anda adalah anggota grup Google yang memiliki kebijakan Akses Kontekstual terikat yang membatasi akses pengguna, sehingga mencegah alur panggilan ke akun layanan.

Untuk mengatasi masalah ini, selesaikan beberapa langkah berikut:

Gunakan mode uji coba, bukan mode penerapan, untuk mengizinkan akun layanan mengakses resource dan mencatat peristiwa penerapan ke dalam log tanpa menolak akses.
Tinjau entri Cloud Audit Logs dengan menjalankan kueri log berikut:
```
protoPayload.serviceName="contextawareaccess.googleapis.com"
```
Periksa nama resource tingkat akses yang dilaporkan Akses Kontekstual di entri Cloud Audit Logs.
Pastikan tingkat akses adalah resource tingkat organisasi dan hanya menggunakan atribut yang didukung untuk akun layanan.
Pastikan kebijakan Akses Kontekstual terikat ke akun layanan yang dimaksud dan tingkat akses mencakup semua alamat IP atau jaringan sumber yang diperlukan.
Pastikan identitas pengguna Anda tidak dibatasi oleh kebijakan Akses Kontekstual tingkat grup.

Masalah akses berbasis sertifikat

Bagian ini mencantumkan masalah yang mungkin Anda alami saat menggunakan akses berbasis sertifikat untuk workload atau sertifikat perusahaan dan memberikan saran tentang cara memperbaiki setiap masalah tersebut.

Error 403 Forbidden saat mengizinkan workload

Masalah berikut terjadi saat workload mencoba mengakses resource Cloud de Confiance menggunakan akses berbasis sertifikat untuk Workload Identity Federation:

403 Forbidden, user does not have permission.

Untuk mengatasi masalah ini, periksa kebijakan Identity and Access Management (IAM) Anda untuk memverifikasi bahwa workload identity pool memiliki akses ke resource Cloud de Confiance Anda. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi akses berbasis sertifikat untuk Workload Identity Federation.

Error klien yang tidak diotorisasi untuk atribut `google.subject`

Masalah berikut terjadi saat backend tidak dapat mengekstrak nilai untuk atribut google.subject dari sertifikat klien berdasarkan pemetaan atribut Anda:

Unauthorized_client: Could not obtain a value for google.subject from the given
credential.

Untuk mengatasi masalah ini, periksa sertifikat klien Anda dan pastikan kolom sertifikat yang dirujuk dalam pemetaan atribut Anda berisi nilai yang valid.

Penolakan akses yang tidak terduga setelah mengaktifkan binding Akses Kontekstual

Masalah berikut terjadi saat Akses Kontekstual secara tidak terduga menolak permintaan workload yang valid setelah Anda mengaktifkan binding Akses Kontekstual.

Untuk mengatasi masalah ini, batalkan pemblokiran traffic sambil terus mengevaluasi akses dan membuat log audit dengan memindahkan binding Akses Kontekstual ke mode uji coba:

gcloud alpha access-context-manager cloud-bindings update \
    --binding=BINDING_ID \
    --organization=ORG_ID \
    --level= \
    --dry-run-level=DRY_RUN_ACCESS_LEVEL_ID

Ganti kode berikut:

BINDING_ID: ID binding Akses Kontekstual.
ORG_ID: ID organisasi Anda.
DRY_RUN_ACCESS_LEVEL_ID: nama resource lengkap tingkat akses uji coba—misalnya, accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME.

Atau, Anda dapat menghapus binding Akses Kontekstual untuk segera membuka blokir traffic:

gcloud alpha access-context-manager cloud-bindings delete \
    --binding=BINDING_ID \
    --organization=ORG_ID

Setelah Anda memulihkan akses, tinjau log audit Akses Kontekstual untuk mengetahui alasan Akses Kontekstual menolak permintaan.

Kondisi sertifikat Enterprise gagal divalidasi

Masalah berikut terjadi saat tingkat akses menolak akses ke perangkat dengan sertifikat perusahaan meskipun Anda telah mengonfigurasi kondisi sertifikat perusahaan.

Untuk menyelesaikan masalah ini, verifikasi atribut sertifikat dan kumpulkan log Verifikasi Endpoint untuk proses debug:

Di konsol Admin, tinjau atribut sertifikat di halaman detail perangkat untuk memverifikasi bahwa atribut tersebut cocok dengan penerbit dan atribut di tingkat akses kustom Anda.
Di browser Google Chrome, masukkan chrome://policy di kolom URL dan pastikan AutoSelectCertificateForUrls ditetapkan ke Machine (atau Current User di ChromeOS) dan tidak menampilkan status Conflict.
Download log ekstensi Verifikasi Endpoint untuk memeriksa error pemilihan sertifikat:
1. Klik kanan ekstensi Verifikasi Endpoint, lalu pilih Opsi.
2. Pilih Tingkat log > Semua > Download Log.
3. Jika masalah berlanjut, buka kasus dukungan dengan Cloud Customer Care dan bagikan log untuk proses debug lebih lanjut.

Masalah perangkat seluler

Bagian ini mencantumkan masalah yang mungkin Anda alami saat menggunakan perangkat seluler dengan tingkat akses dan memberikan saran tentang cara memperbaiki setiap masalah tersebut.

Tingkat akses menolak permintaan dari perangkat seluler yang mematuhi kebijakan

Masalah berikut terjadi saat tingkat akses menolak permintaan pengguna dari perangkat seluler Android atau iOS meskipun tingkat akses dan setelan pengelolaan perangkat seluler dikonfigurasi dengan benar.

Masalah ini terjadi saat status perangkat sisi server belum dimuat ulang atau saat permintaan tidak berasal dari Safari atau Chrome saat login ke akun pengguna organisasi.

Untuk mengatasi masalah ini, pastikan permintaan berasal dari Safari atau Chrome menggunakan akun pengguna organisasi, lalu paksa refresh status perangkat sisi server:

Perangkat Android:
1. Jika Anda login ke accounts.google.com di browser perangkat, logout dari akun tersebut.
2. Buka aplikasi Setelan di perangkat Anda, lalu buka Akun.
3. Menghapus Akun Google perusahaan dari perangkat.
4. Tambahkan kembali Akun Google perusahaan ke perangkat.
Perangkat iOS:
1. Jika Anda login ke accounts.google.com di browser perangkat, logout dari akun tersebut.
2. Buka aplikasi Google di perangkat, seperti Gmail.
3. Menghapus Akun Google perusahaan dari perangkat.
4. Tambahkan kembali Akun Google perusahaan ke perangkat.