Beispiele für Organisationsbeschränkungen

Mit Organisationsbeschränkungen können Sie den ausgehenden Traffic aus Ihrem Netzwerk steuern, sodass Nutzer und Arbeitslasten nur auf zulässigeCloud de Confiance by S3NS -Organisationen zugreifen können. Diese Einschränkungen tragen dazu bei, die Daten-Exfiltration in nicht autorisierte externe Umgebungen zu verhindern. In den folgenden Beispielen wird gezeigt, wie Sie den Anfrageheader für Organisationsbeschränkungen für gängige Szenarien konfigurieren, z. B. für einzelne oder mehrere Organisationen, Cloud Storage-Lesezugriff und Uploadanfragen.

Zugriff nur auf Ihre Organisation beschränken

In diesem Beispiel arbeiten der Cloud de Confiance by S3NS -Administrator und der Administrator des Proxys für ausgehenden Traffic von Organisation A zusammen, um den Zugriff von Mitarbeitern auf Ressourcen in ihrerCloud de Confiance by S3NS -Organisation zu beschränken.

So beschränken Sie den Zugriff auf Ihre Organisation:

  1. Verwenden Sie als Cloud de Confiance by S3NS -Administrator den gcloud organizations list-Befehl, um die Cloud de Confiance by S3NS -Organisations-ID von Organisation A abzurufen:

        gcloud organizations list

    Hier sehen Sie die Beispielausgabe:

        DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. Als Administrator des ausgehenden Proxys erstellen Sie nach Erhalt der Organisations-ID vom Cloud de Confiance by S3NS-Administrator die JSON-Darstellung für den Headerwert im folgenden Format:

     {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }

  3. Als Administrator des ausgehenden Proxys codieren Sie den Wert für den Anfrageheader gemäß den Spezifikationen in RFC 4648, Abschnitt 5.

    Wenn die JSON-Darstellung für den Headerwert beispielsweise in der Datei authorized_orgs.json gespeichert ist, führen Sie den folgenden basenc-Befehl aus, um die Datei zu codieren: 

     $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

  4. Konfigurieren Sie als Administrator für ausgehenden Traffic den Proxy für ausgehenden Traffic so, dass der folgende Anfrageheader in alle Anfragen eingefügt wird, die von den verwalteten Geräten in Organisation A stammen:

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

Zugriff auf Ihre Organisation einschränken und Leseanfragen für Cloud Storage-Ressourcen zulassen

In diesem Beispiel arbeiten der Cloud de Confiance by S3NS -Administrator und der Administrator des ausgehenden Proxys von Organisation A zusammen, um den Zugriff von Mitarbeitern auf Ressourcen in ihrerCloud de Confiance by S3NS -Organisation zu beschränken, mit Ausnahme von Leseanfragen an Cloud Storage-Ressourcen. Administratoren möchten möglicherweise Leseanfragen an Cloud Storage-Ressourcen von der Durchsetzung von Organisationsbeschränkungen ausnehmen, damit ihre Mitarbeiter auf externe Websites zugreifen können, die Cloud Storage zum Hosten statischer Inhalte verwenden. Der Administrator verwendet die Option cloudStorageReadAllowed, um Leseanfragen an Cloud Storage-Ressourcen zuzulassen.

So beschränken Sie den Zugriff auf Ihre Organisation und lassen Leseanfragen für Cloud Storage-Ressourcen zu:

  1. Verwenden Sie als Cloud de Confiance by S3NS -Administrator den gcloud organizations list-Befehl, um die Cloud de Confiance by S3NS -Organisations-ID von Organisation A abzurufen:

        gcloud organizations list

    Hier sehen Sie die Beispielausgabe:

        DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. Als Administrator des ausgehenden Proxys erstellen Sie nach Erhalt der Organisations-ID vom Cloud de Confiance by S3NS-Administrator die JSON-Darstellung für den Headerwert im folgenden Format:

     {
 "resources": ["organizations/123456789"],
  "options": "cloudStorageReadAllowed"
 }

  3. Als Administrator des ausgehenden Proxys codieren Sie den Wert für den Anfrageheader gemäß den Spezifikationen in RFC 4648, Abschnitt 5.

    Wenn die JSON-Darstellung für den Headerwert beispielsweise in der Datei authorized_orgs.json gespeichert ist, führen Sie den folgenden basenc-Befehl aus, um die Datei zu codieren:

     $ cat authorized_orgs.json | basenc --base64url -w0
ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l

  4. Konfigurieren Sie als Administrator für ausgehenden Traffic den Proxy für ausgehenden Traffic so, dass der folgende Anfrageheader in alle Anfragen eingefügt wird, die von den verwalteten Geräten in Organisation A stammen:

     X-Goog-Allowed-Resources: ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l

    Die Mitarbeiter von Organisation A haben jetzt Zugriff auf ihre Cloud de Confiance by S3NS -Organisation und Lesezugriff auf Cloud Storage-Ressourcen.

Mitarbeitern Zugriff auf die Cloud de Confiance by S3NS -Organisation eines Anbieters gewähren

In diesem Beispiel arbeiten der Cloud de Confiance by S3NS -Administrator und der Administrator des ausgehenden Proxys von Organisation B zusammen, um Mitarbeitern den Zugriff auf eine Cloud de Confiance by S3NS -Organisation eines Anbieters zusätzlich zu ihrer bestehenden Cloud de Confiance by S3NS -Organisation zu ermöglichen.

So beschränken Sie den Zugriff von Mitarbeitern auf Ihre Organisation und die Organisation des Anbieters:

  1. Wenden Sie sich als Cloud de Confiance by S3NS -Administrator an den Anbieter, um die Cloud de Confiance by S3NS-Organisations-ID der Anbieterorganisation zu erhalten.

  2. Als Administrator des ausgehenden Proxys müssen Sie die JSON-Darstellung für den Headerwert aktualisieren, um zusätzlich zur vorhandenen Organisations-ID die Organisations-ID des Anbieters einzufügen. Nachdem Sie die Organisations-ID des Anbieters vom Cloud de Confiance by S3NS-Administrator erhalten haben, aktualisieren Sie den Headerwert im folgenden Format:

     {
 "resources": ["organizations/1234", "organizations/3456"],
  "options": "strict"
 }

  3. Als Administrator des ausgehenden Proxys codieren Sie den Wert für den Anfrageheader gemäß den Spezifikationen in RFC 4648, Abschnitt 5.

    Wenn die JSON-Darstellung für den Headerwert beispielsweise in der Datei authorized_orgs.json gespeichert ist, führen Sie den folgenden basenc-Befehl aus, um die Datei zu codieren:

     $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K

  4. Konfigurieren Sie als Administrator für ausgehenden Traffic den Proxy für ausgehenden Traffic so, dass der folgende Anfrageheader in alle Anfragen eingefügt wird, die von den verwalteten Geräten in Organisation B stammen:

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K

    Die Mitarbeiter von Organisation B haben jetzt Zugriff auf die Organisationen des Anbieters und von Cloud de Confiance by S3NS .

Zugriff nur für Uploads einschränken

In diesem Beispiel arbeiten der Cloud de Confiance by S3NS -Administrator und der Administrator des Proxys für ausgehenden Traffic von Organisation C zusammen, um den Uploadzugriff von Mitarbeitern auf Ressourcen in der OrganisationCloud de Confiance by S3NS zu beschränken.

So beschränken Sie den Uploadzugriff auf Ihre Organisation:

  1. Verwenden Sie als Cloud de Confiance by S3NS -Administrator den Befehl gcloud organizations list, um die Cloud de Confiance by S3NS -Organisations-ID von Organisation C abzurufen:

        gcloud organizations list

    Hier sehen Sie die Beispielausgabe:

        DISPLAY_NAME: Organization C
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. Als Administrator des ausgehenden Proxys erstellen Sie nach Erhalt der Organisations-ID vom Cloud de Confiance by S3NS-Administrator die JSON-Darstellung für den Headerwert im folgenden Format:

     {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }

  3. Als Administrator des ausgehenden Proxys codieren Sie den Wert für den Anfrageheader gemäß den Spezifikationen in RFC 4648, Abschnitt 5.

    Wenn die JSON-Darstellung für den Headerwert beispielsweise in der Datei authorized_orgs.json gespeichert ist, führen Sie den folgenden basenc-Befehl aus, um die Datei zu codieren:

     $ cat authorized_orgs.json | basenc --base64url -w0
ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

  4. Konfigurieren Sie als Administrator für ausgehenden Proxy den Proxy für ausgehenden Traffic so, dass der folgende Anfrageheader nur für Anfragen mit PUT-, POST- und PATCH-Methoden eingefügt wird, die von den verwalteten Geräten in Organisation C stammen:

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

Nächste Schritte