Esempi di restrizioni dell'organizzazione

Puoi utilizzare le restrizioni dell'organizzazione per controllare il traffico in uscita dalla tua rete, in modo che gli utenti e i workload possano accedere solo alle organizzazioniCloud de Confiance by S3NS consentite. Queste limitazioni aiutano a prevenire l'esfiltrazione di dati in ambienti esterni non autorizzati. Gli esempi seguenti mostrano come configurare l'intestazione della richiesta restrizioni dell'organizzazione#39;organizzazione per scenari comuni, come organizzazioni singole o multiple, accesso in lettura a Cloud Storage e richieste di caricamento.

Limita l'accesso solo alla tua organizzazione

In questo esempio, l'amministratore Cloud de Confiance by S3NS e l'amministratore del proxy in uscita dell'Organizzazione A collaborano per limitare l'accesso dei dipendenti solo alle risorse della propria organizzazioneCloud de Confiance by S3NS .

Per limitare l'accesso solo alla tua organizzazione, segui questi passaggi:

  1. In qualità di amministratore di Cloud de Confiance by S3NS , per ottenere l'ID organizzazione Cloud de Confiance by S3NS dell'organizzazione A, utilizza il comando gcloud organizations list:

        gcloud organizations list

    Di seguito è riportato l'output di esempio:

        DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. In qualità di amministratore del proxy in uscita, dopo aver ottenuto l'ID organizzazione dall'amministratore Cloud de Confiance by S3NS, componi la rappresentazione JSON per il valore dell'intestazione nel seguente formato:

     {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }

  3. In qualità di amministratore del proxy in uscita, codifica il valore per l'intestazione della richiesta seguendo le specifiche della sezione 5 del documento RFC 4648.

    Ad esempio, se la rappresentazione JSON del valore dell'intestazione è archiviata nel file authorized_orgs.json, per codificare il file, esegui il seguente comando basenc: 

     $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

  4. In qualità di amministratore del proxy in uscita, configura il proxy in uscita in modo che la seguente intestazione della richiesta venga inserita in tutte le richieste provenienti dai dispositivi gestiti nell'organizzazione A:

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

Limita l'accesso alla tua organizzazione e consenti le richieste di lettura alle risorse Cloud Storage

In questo esempio, l'amministratore Cloud de Confiance by S3NS e l'amministratore del proxy in uscita dell'organizzazione A collaborano per limitare l'accesso dei dipendenti solo alle risorse della loro organizzazioneCloud de Confiance by S3NS , ad eccezione delle richieste di lettura alle risorse Cloud Storage. Gli amministratori potrebbero voler omettere le richieste di lettura alle risorse Cloud Storage dall'applicazione restrizioni dell'organizzazione per garantire che i propri dipendenti possano accedere a siti web esterni che utilizzano Cloud Storage per ospitare contenuti statici. L'amministratore utilizza l'opzione cloudStorageReadAllowed per consentire le richieste di lettura alle risorse Cloud Storage.

Per limitare l'accesso solo alla tua organizzazione e consentire le richieste di lettura alle risorse Cloud Storage, segui questi passaggi:

  1. In qualità di amministratore di Cloud de Confiance by S3NS , per ottenere l'ID organizzazione Cloud de Confiance by S3NS dell'organizzazione A, utilizza il comando gcloud organizations list:

        gcloud organizations list

    Di seguito è riportato l'output di esempio:

        DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. In qualità di amministratore del proxy in uscita, dopo aver ottenuto l'ID organizzazione dall'amministratore Cloud de Confiance by S3NS, componi la rappresentazione JSON per il valore dell'intestazione nel seguente formato:

     {
 "resources": ["organizations/123456789"],
  "options": "cloudStorageReadAllowed"
 }

  3. In qualità di amministratore del proxy in uscita, codifica il valore per l'intestazione della richiesta seguendo le specifiche della sezione 5 del documento RFC 4648.

    Ad esempio, se la rappresentazione JSON del valore dell'intestazione è archiviata nel file authorized_orgs.json, per codificare il file, esegui il seguente comando basenc:

     $ cat authorized_orgs.json | basenc --base64url -w0
ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l

  4. In qualità di amministratore del proxy in uscita, configura il proxy in uscita in modo che la seguente intestazione della richiesta venga inserita in tutte le richieste provenienti dai dispositivi gestiti nell'organizzazione A:

     X-Goog-Allowed-Resources: ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l

    I dipendenti dell'Organizzazione A ora hanno accesso alla loro organizzazione Cloud de Confiance by S3NS e accesso in lettura alle risorse Cloud Storage.

Consenti ai dipendenti di accedere all'organizzazione di un fornitore Cloud de Confiance by S3NS

In questo esempio, l'amministratore Cloud de Confiance by S3NS e l'amministratore del proxy in uscita dell'organizzazione B collaborano per consentire ai dipendenti di accedere a un'organizzazione Cloud de Confiance by S3NS del fornitore oltre alla loro organizzazione Cloud de Confiance by S3NS esistente.

Per limitare l'accesso dei dipendenti solo alla tua organizzazione e a quella del fornitore, segui questi passaggi:

  1. In qualità di amministratore di Cloud de Confiance by S3NS , contatta il fornitore per ottenere l'ID organizzazione Cloud de Confiance by S3NSdell'organizzazione del fornitore.

  2. In qualità di amministratore del proxy in uscita, per includere l'ID organizzazione del fornitore oltre all'ID organizzazione esistente, devi aggiornare la rappresentazione JSON per il valore dell'intestazione. Dopo aver ottenuto l'ID organizzazione del fornitore dall'amministratore Cloud de Confiance by S3NS, aggiorna il valore dell'intestazione nel seguente formato:

     {
 "resources": ["organizations/1234", "organizations/3456"],
  "options": "strict"
 }

  3. In qualità di amministratore del proxy in uscita, codifica il valore per l'intestazione della richiesta seguendo le specifiche della sezione 5 del documento RFC 4648.

    Ad esempio, se la rappresentazione JSON del valore dell'intestazione è archiviata nel file authorized_orgs.json, per codificare il file, esegui il seguente comando basenc:

     $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K

  4. In qualità di amministratore del proxy in uscita, configura il proxy in uscita in modo che la seguente intestazione della richiesta venga inserita in tutte le richieste provenienti dai dispositivi gestiti nell'organizzazione B:

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K

    I dipendenti dell'Organizzazione B ora hanno accesso sia al fornitore sia alle loro organizzazioni Cloud de Confiance by S3NS .

Limita l'accesso solo per i caricamenti

In questo esempio, l'amministratore Cloud de Confiance by S3NS e l'amministratore del proxy in uscita dell'organizzazione C collaborano per limitare l'accesso in caricamento dei dipendenti solo alle risorse dell'organizzazioneCloud de Confiance by S3NS .

Per limitare l'accesso per il caricamento solo alla tua organizzazione, segui questi passaggi:

  1. In qualità di amministratore di Cloud de Confiance by S3NS , per ottenere l'ID organizzazione Cloud de Confiance by S3NS dell'organizzazione C, utilizza il comando gcloud organizations list:

        gcloud organizations list

    Di seguito è riportato l'output di esempio:

        DISPLAY_NAME: Organization C
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. In qualità di amministratore del proxy in uscita, dopo aver ottenuto l'ID organizzazione dall'amministratore Cloud de Confiance by S3NS, componi la rappresentazione JSON per il valore dell'intestazione nel seguente formato:

     {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }

  3. In qualità di amministratore del proxy in uscita, codifica il valore per l'intestazione della richiesta seguendo le specifiche della sezione 5 del documento RFC 4648.

    Ad esempio, se la rappresentazione JSON del valore dell'intestazione è archiviata nel file authorized_orgs.json, per codificare il file, esegui il seguente comando basenc:

     $ cat authorized_orgs.json | basenc --base64url -w0
ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

  4. In qualità di amministratore del proxy in uscita, configura il proxy in uscita in modo che la seguente intestazione della richiesta venga inserita solo per le richieste con i metodi PUT, POST e PATCH provenienti dai dispositivi gestiti nell'organizzazione C:

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

Passaggi successivi