הגדרת מדיניות גישה באמצעות רמות גישה

בדף הזה מוסבר איך להגדיר כללי מדיניות לבקרת גישה מבוססת-הקשר באמצעות רמות גישה.

רמת גישה היא קבוצה של מאפיינים שמוקצים לבקשות על סמך המקור שלהן. אתם יכולים להשתמש במידע כמו סוג המכשיר, כתובת ה-IP וזהות המשתמש כדי להגדיר את רמת הגישה שתינתן. לדוגמה, אתם יכולים להקצות רמה High_Trust לחיבורים מתוך הרשת הארגונית ורמה Medium_Trust למכשירים חיצוניים שפועלות בהם מערכות הפעלה מאושרות.

מדיניות גישה היא מאגר לכל המשאבים של Access Context Manager, כמו רמות גישה וגבולות גזרה לשירות.

למידע נוסף על רמות גישה וכללי מדיניות גישה, קראו את הסקירה הכללית על Access Context Manager.

מגבלות

כשמגדירים רמת גישה, חלות המגבלות הבאות:

  • אי אפשר להשתמש בכתובת IP כמאפיין לחיבורי Docker, ואי אפשר להשתמש בכתובות IP פרטיות כשמתחברים לאשכולות פרטיים באמצעות kubectl או מכונה מנוהלת של Looker.
  • ל-Data Studio תמיד יש גישה בלתי מוגבלת לממשקי ה-API שלGoogle Cloud , בלי קשר לכללי המדיניות של Access Context Manager.
  • מאפייני המכשיר לא זמינים לאפליקציות לקוח של OAuth שאינן של Google.
  • אי אפשר להשתמש ברמת גישה מוגבלת.

הגדרת המדיניות באמצעות רמות גישה

המסוף

יצירת רמת גישה בסיסית:

  1. פותחים את הדף Access Context Manager במסוף Google Cloud .

    כניסה לדף Access Context Manager

  2. אם מוצגת בקשה, בוחרים פרויקט.

  3. בדף Access Context Manager, לוחצים על New.

  4. בחלונית New Access Level:

    1. בשדה Access level title, מזינים שם לרמת הגישה. הכותרת חייבת להיות באורך של עד 50 תווים, להתחיל באות ויכולה להכיל רק מספרים, אותיות, קווים תחתונים ורווחים.

    2. בקטע Conditions, לוחצים על הלחצן add של סוג המאפיין שרוצים להוסיף, ואז מזינים את הערכים שרוצים להחיל על המאפיין הזה.

      רשימה מלאה של המאפיינים שאפשר להוסיף מופיעה במאמר מאפיינים של רמות גישה.

      לדוגמה, אם רוצים שרמת הגישה תתחשב במקום שממנו מגיעה הבקשה בתוך הרשת, צריך לבחור במאפיין רשתות משנה של IP.

      חוזרים על השלב הזה כדי להוסיף כמה מאפיינים לאותו תנאי. כשתנאי כולל כמה מאפיינים, בקשת הגישה צריכה לעמוד בכל המאפיינים.

      תנאי של רמת גישה יכול לכלול מאפיין אחד מכל סוג. חלק מהמאפיינים כוללים אפשרויות נוספות, כמו המאפיין מדיניות המכשיר.

      רמות הגישה תומכות בתנאים שמבוססים על זהות המשתמש. עם זאת, כדי להוסיף זהויות לתנאי, צריך ליצור או לעדכן את רמת הגישה באמצעות ה-CLI של gcloud או ה-API.

    3. משתמשים באפשרות When condition is met, return כדי לציין אם התנאי מוערך כפעולת AND שדורשת שהבקשה תעמוד בכל המאפיינים שצוינו (TRUE), או כפעולת שלילה (NAND) שמתקיימת כשהבקשה לא עומדת לפחות במאפיין אחד שצוין (FALSE).

      לדוגמה, אם רוצים לדחות בקשות מטווח מסוים של כתובות IP ברשת, מציינים את טווח כתובות ה-IP באמצעות המאפיין רשתות משנה של IP ואז מגדירים את התנאי כ-FALSE.

    4. אם רוצים להוסיף עוד תנאי לרמת הגישה, לוחצים על Add another condition וחוזרים על שני השלבים הקודמים.

      לדוגמה, אם רוצים למנוע גישה לקבוצת משנה של כתובות IP בטווח רחב יותר של כתובות IP, יוצרים תנאי חדש, מציינים את טווח כתובות ה-IP של קבוצת המשנה במאפיין רשתות משנה של IP ומגדירים שהתנאי יחזיר את הערך FALSE.

      חוזרים על השלב הזה כדי להוסיף כמה תנאים לאותה רמת גישה.

    5. אם יצרתם יותר מתנאי אחד, השתמשו באפשרות Combine condition with כדי לציין אם אתם רוצים שרמת הגישה תדרוש בקשה שתעמוד לפחות באחד מהתנאים (OR), או בכל התנאים (AND).

    6. לוחצים על Save.

gcloud

אם לארגון שלכם אין מדיניות גישה, צרו אחת לפני שתמשיכו.

משתמשים בפקודה gcloud access-context-manager levels create כדי ליצור רמת גישה:

gcloud access-context-manager levels create LEVEL_NAME OPTIONS \
    --policy=POLICY

מחליפים את מה שכתוב בשדות הבאים:

  • ‫LEVEL_NAME: השם הייחודי של רמת הגישה. הוא חייב להתחיל באות ולכלול רק אותיות, מספרים וקווים תחתונים. השם יכול להכיל עד 50 תווים.

  • ‫OPTIONS: האפשרויות הנדרשות מהטבלה הבאה.

    אפשרויות
    basic-level-spec

    קובץ YAML שמציין תנאי אחד או יותר לרמת הגישה.

    title

    שם קצר לרמת הגישה. השם של רמת הגישה מוצג במסוף Google Cloud .

    combine-function

    (אופציונלי) קובע איך התנאים משולבים.

    ערכים תקינים: AND, ‏ OR

    description

    (אופציונלי) תיאור ארוך של רמת הגישה.

  • ‫POLICY: המזהה של מדיניות הגישה של הארגון. אם הגדרתם מדיניות ברירת מחדל, הפרמטר הזה הוא אופציונלי.

אפשר גם לכלול כל אחד מהדגלים של gcloud.

קובץ YAML מסוג basic-level-spec

כשמשתמשים ב-CLI של gcloud כדי ליצור רמת גישה, צריך לספק קובץ YAML לאפשרות basic-level-spec. קובץ ה-YAML מגדיר תנאי אחד או יותר לרמת הגישה. התנאים חייבים להכיל לפחות מאפיין אחד. כשתנאי מכיל יותר ממאפיין אחד, המאפיינים משולבים כפעולת AND (כולם חייבים להיות נכונים) או כפעולת NAND (לפחות אחד חייב להיות שקרי), בהתאם להגדרה של המאפיין negate בתנאי (נכון או לא נכון).

רשימה מלאה של המאפיינים שאפשר לכלול בקובץ ה-YAML מופיעה במאמר מאפיינים של רמות גישה.

למידע נוסף על רמות גישה ו-YAML, קראו את דוגמת YAML לרמת גישה.

פקודה לדוגמה

gcloud access-context-manager levels create Device_Trust \
    --basic-level-spec=corpdevspec.yaml \
    --combine-function=AND \
    --description='Access level that conforms to corporate spec.' \
    --title='Device_Trust Extended' \
    --policy=1521580097614100

API

אם לארגון שלכם אין מדיניות גישה, צרו אחת לפני שתמשיכו.

כדי ליצור רמת גישה, צריך להפעיל את accessLevels.create.

POST https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY/accessLevels

‫POLICY הוא המזהה של מדיניות הגישה של הארגון.

גוף הבקשה

גוף הבקשה חייב לכלול משאב AccessLevel שמציין את התנאים שאתם רוצים להגדיר לרמת הגישה החדשה. לכל Condition יש מאפיין אחד או יותר שמוערכים כפעולת AND (כולם צריכים להיות נכונים) או כפעולת NAND (לפחות אחד מהם צריך להיות שקרי), בהתאם להגדרה של השדה negate כ-true. התוצאה של הערכת הביטוי קובעת אם התנאי מתקיים או לא.

גוף התשובה

אם הפעולה בוצעה ללא שגיאות, גוף התגובה לקריאה מכיל משאב Operation שמספק פרטים על הפעולה POST.

הגדרות מדיניות נפוצות

הדוגמאות הבאות כוללות כמה מהדרכים המעשיות שבהן הארגון שלכם יכול להטמיע רמות גישה. בדוגמאות האלה אנחנו מניחים שבארגון שלכם כבר יש מדיניות גישה.

הגבלת הגישה ברשת ארגונית

בדוגמה הזו מוסבר איך ליצור תנאי לרמת גישה שמאפשר גישה רק מטווח מסוים של כתובות IP (לדוגמה, כתובות בתוך רשת ארגונית).

הגבלת הטווח של כתובות ה-IP שמקבלות גישה מקשה על תוקפים מתוך הארגון או מחוצה לו לגנוב נתונים.

בדוגמה הזו, נניח שאתם רוצים ליצור רמת גישה שתאפשר לקבוצה של מבקרים פנימיים לגשת לשירות Cloud Logging בפרויקט בשם sensitive-data. לכל המכשירים של מבקרי החשבונות מוקצות כתובות IP ברשת משנה בטווח שבין 203.0.113.0 ל-203.0.113.127. אתם יודעים שלא יוקצו לרשת המשנה הזו מכשירים אחרים, מלבד אלה שמשמשים את מבקרי החשבונות.

אם אתם רוצים להשתמש בטווח כתובות IP פרטיות (לדוגמה, 192.168.0.0/16 או 172.16.0.0/12), קראו את המאמר מתן גישה למשאבים מוגנים מכתובת IP פנימית כדי לקבל מידע נוסף ודוגמה להטמעה באמצעות VPC Service Controls.

המסוף

  1. במסוף Google Cloud , פותחים את Access Context Manager.

    כניסה לדף Access Context Manager

  2. אם מוצגת בקשה, בוחרים פרויקט.

  3. בחלק העליון של הדף Access Context Manager, לוחצים על New.

  4. בחלונית New Access Level, בקטע Conditions, לוחצים על Add attribute ואז על IP Subnetworks.

  5. בתיבה IP Subnetworks, בוחרים באפשרות Public IP או Private IP.

    • אם בוחרים באפשרות Public IP, מזינים טווח אחד או יותר של כתובות IPv4 או IPv6 בפורמט של בלוקים של CIDR.

      בדוגמה הזו, כדי להגביל את הגישה רק למבקרים, מזינים 203.0.113.0/25 בתיבה רשתות משנה של IP.

    • אם בוחרים באפשרות Private IP, לוחצים על בחירת רשתות VPC. אפשר לציין רשתות VPC באמצעות אחת משלוש האפשרויות שזמינות ברשימה Import options.

      • אפשרות 1:

        1. בוחרים באפשרות Browse for VPC networks in your organization ובוחרים את רשתות ה-VPC.

        2. לוחצים על Add selected VPC networks.

        3. לוחצים על בחירת רשתות משנה של IP ובוחרים את רשתות המשנה.

        4. לוחצים על הוספת רשתות משנה של כתובות IP.

      • אפשרות שנייה:

        1. בוחרים באפשרות Manually enter VPC network address ומזינים רשת VPC אחת או יותר.

        2. לוחצים על Add VPC network.

        3. לוחצים על בחירת רשתות משנה של IP ובוחרים את רשתות המשנה.

        4. לוחצים על הוספת רשתות משנה של כתובות IP.

      • אפשרות 3:

        1. בוחרים באפשרות העלאת קובץ CSV (החלפת רשתות קיימות).

          אם משתמשים בקובץ CSV כדי להוסיף רשתות VPC ותת-רשתות לרמת גישה, Access Context Manager מחליף את רשתות ה-VPC ותת-הרשתות שנבחרו קודם.

        2. לוחצים על עיון ומעלים את קובץ ה-CSV. בקובץ ה-CSV, צריך לציין את רשתות ה-VPC ואת רשתות המשנה בפורמט הבא:

          VPC_NETWORK_NAME_1       | IP_RANGE_1       | IP_RANGE_2       | ...
VPC_NETWORK_NAME_2       | .                | .                | ...
.                        | .                | .                | ...
.                        | .                | .                | ...

        3. לוחצים על ייבוא רשתות.

          באמצעות קובץ ה-CSV, הכלי Access Context Manager מאכלס את שמות רשתות ה-VPC ואת פרטי רשתות המשנה בתיבות VPC network address ו-IP subnetworks, בהתאמה.

      למידע על הפורמט של שם רשת ה-VPC וכתובת ה-IP הפרטית, קראו את המאמר שימוש בכתובת IP פנימית ברמות גישה.

  6. לוחצים על Save.

gcloud

  1. יוצרים קובץ YAML לרמת גישה שכוללת טווח אחד או יותר של כתובות IPv4 או IPv6 בפורמט של בלוקים של CIDR.

    בדוגמה הזו, כדי להגביל את הגישה רק למבקרים, צריך להזין את הפרטים הבאים בקובץ ה-YAML:

    - ipSubnetworks:
  - 203.0.113.0/25

    אם רוצים להשתמש בכתובת IP פרטית, צריך להזין את הפרטים הבאים בקובץ ה-YAML:

    - vpcNetworkSources:
  - vpcSubnetwork:
      network: VPC_NETWORK_NAME
      vpcIpSubnetworks:
      - IP_RANGE

    מחליפים את VPC_NETWORK_NAME ו-IP_RANGE בערכים שמתוארים בקטע שימוש בכתובת IP פנימית ברמות גישה.

  2. שומרים את הקובץ. בדוגמה הזו, שם הקובץ הוא CONDITIONS.yaml.

  3. יוצרים את רמת הגישה.

    gcloud access-context-manager levels create NAME \
   --title TITLE \
   --basic-level-spec CONDITIONS.yaml \
   --policy=POLICY

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫NAME: השם הייחודי של רמת הגישה. הוא חייב להתחיל באות ולכלול רק אותיות, מספרים וקווים תחתונים.

    • ‫TITLE: שם קריא לאנשים. הוא חייב להיות ייחודי למדיניות.

    • ‫POLICY: המזהה של מדיניות הגישה של הארגון. אם הגדרתם מדיניות ברירת מחדל, הפרמטר הזה אופציונלי.

    הפלט אמור להיראות כך:

    Create request issued for: NAME
Waiting for operation [accessPolicies/POLICY/accessLevels/NAME/create/1521594488380943] to complete...done.
Created level NAME.

API

  1. יוצרים גוף בקשה ליצירת משאב AccessLevel שכולל טווח אחד או יותר של כתובות IPv4 או IPv6 בפורמט של בלוקים של CIDR.

    בדוגמה הזו, כדי להגביל את הגישה רק למבקרים, צריך להזין את הפרטים הבאים בגוף הבקשה:

    {
 "name": "NAME",
 "title": "TITLE",
 "basic": {
   "conditions": [
     {
       "ipSubnetworks": [
         "203.0.113.0/25"
       ]
     }
   ]
 }
}

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫NAME: השם הייחודי של רמת הגישה. הוא חייב להתחיל באות ולכלול רק אותיות, מספרים וקווים תחתונים.

    • ‫TITLE: שם קריא לאנשים. הוא חייב להיות ייחודי למדיניות.

    אם רוצים להשתמש בכתובת IP פרטית, צריך להזין את הפרטים הבאים בגוף הבקשה:

    {
 "name": "NAME",
 "title": "TITLE",
 "basic": {
   "conditions": [
     {
       "vpcNetworkSources": [
        {
          "vpcSubnetwork": {
            "network": VPC_NETWORK_NAME,
            "vpcIpSubnetworks": [
              IP_RANGE
            ]
          }
        }
       ]
     }
   ]
 }
}

    מחליפים את VPC_NETWORK_NAME ו-IP_RANGE בערכים שמתוארים בקטע שימוש בכתובת IP פנימית ברמות גישה.

  2. יוצרים את רמת הגישה באמצעות קריאה ל-accessLevels.create.

    POST https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY/accessLevels

    ‫POLICY הוא המזהה של מדיניות הגישה של הארגון.

אחרי שיוצרים את רמת הגישה, צריך להחיל אותה באמצעות קישור גישה כדי לאכוף אותה.

הגבלת הגישה לפי מאפייני המכשיר

בדוגמה הזו נסביר איך ליצור רמת גישה שנותנת גישה רק למכשירים שעומדים בדרישות מסוימות, כמו גרסה מסוימת של מערכת ההפעלה (OS).

המידע על המכשירים מועבר ל-Access Context Manager באמצעות אימות של נקודות קצה (endpoint). כדי לקבוע אם להעניק גישה, אפשר לבדוק את הקריטריונים הבאים:

  • נעילת המסך מופעלת
  • הצפנת האחסון מופעלת
  • במכשיר פועלת מערכת הפעלה מסוג ובגרסה שצוינו

בדוגמה הזו, נניח שהארגון שלכם משתמש רק במכונות שמותקנות בהן מערכות ההפעלה ChromeOS או Windows. כדי להוסיף שכבת אבטחה, אתם רוצים ליצור רמת גישה שתמנע גישה לכל מי שמשתמש במערכות הפעלה אחרות. בנוסף, כדי לנהל את הסיכונים, אתם רוצים לוודא שרק גרסאות מסוימות של מערכות ההפעלה יכולות לקבל גישה.

המסוף

  1. נכנסים לדף Access Context Manager במסוף Google Cloud .

    כניסה לדף Access Context Manager

  2. אם מוצגת בקשה, בוחרים פרויקט.

  3. בחלק העליון של הדף Access Context Manager, לוחצים על New.

  4. בחלונית New Access Level, בקטע Conditions, לוחצים על Add attribute ואז על Device Policy.

  5. מוסיפים את מאפייני מדיניות המכשיר:

    1. לוחצים על הוספת מדיניות של מערכת ההפעלה ואז על מדיניות של ChromeOS.

    2. בתיבה גרסה מינימלית, מזינים את הגרסה המינימלית של ChromeOS שרוצים לאפשר.

    3. חוזרים על שלבים 1 ו-2 עבור מדיניות מערכת ההפעלה Windows.

  6. לוחצים על Save.

gcloud

  1. יוצרים קובץ YAML לרמת גישה שכוללת מדיניות מכשירים עם אילוצים של מערכת ההפעלה.

    בדוגמה הזו, כדי לאפשר רק למכשירים עם גרסה מינימלית מקובלת של ChromeOS ו-Windows, צריך להזין את הפרטים הבאים בקובץ ה-YAML:

    - devicePolicy:
    osConstraints:
      - osType: DESKTOP_CHROME_OS
        minimumVersion: 11316.165.0
      - osType: DESKTOP_WINDOWS
        minimumVersion: 10.0.1809

  2. שומרים את הקובץ. בדוגמה הזו, שם הקובץ הוא CONDITIONS.yaml.

  3. יוצרים את רמת הגישה.

    gcloud access-context-manager levels create NAME \
   --title TITLE \
   --basic-level-spec CONDITIONS.yaml \
   --policy=POLICY

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫NAME: השם הייחודי של רמת הגישה. הוא חייב להתחיל באות ולכלול רק אותיות, מספרים וקווים תחתונים.

    • ‫TITLE: שם קריא לאנשים. הוא חייב להיות ייחודי למדיניות.

    • ‫POLICY: המזהה של מדיניות הגישה של הארגון. אם הגדרתם מדיניות ברירת מחדל, הפרמטר הזה אופציונלי.

    הפלט אמור להיראות כך:

    Create request issued for: NAME
Waiting for operation [accessPolicies/POLICY/accessLevels/NAME/create/1521594488380943] to complete...done.
Created level NAME.

API

  1. יוצרים גוף בקשה ליצירת משאב AccessLevel שכולל מדיניות מכשיר עם אילוצי מערכת הפעלה.

    בדוגמה הזו, כדי לאפשר רק למכשירים עם גרסה מינימלית מקובלת של ChromeOS ו-Windows, צריך להזין את הפרטים הבאים בגוף הבקשה:

    {
 "name": "NAME",
 "title": "TITLE",
 "basic": {
   "conditions": [
     {
       "devicePolicy": {
         "osConstraints": [
           {
             "osType": "DESKTOP_CHROME_OS",
             "minimumVersion": "11316.165.0"
           },
           {
             "osType": "DESKTOP_WINDOWS",
             "minimumVersion": "10.0.1809"
           }
         ]
       {
     }
   ]
 }
}

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫NAME: השם הייחודי של רמת הגישה. הוא חייב להתחיל באות ולכלול רק אותיות, מספרים וקווים תחתונים.

    • ‫TITLE: שם קריא לאנשים. הוא חייב להיות ייחודי למדיניות.

  2. יוצרים את רמת הגישה באמצעות קריאה ל-accessLevels.create.

    POST https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY/accessLevels

    ‫POLICY הוא המזהה של מדיניות הגישה של הארגון.

אחרי שיוצרים את רמת הגישה, צריך להחיל אותה באמצעות קישור גישה כדי לאכוף אותה.

הגבלת הגישה למכשירים ארגוניים מהימנים עם אישורים תקפים

אתם יכולים להשתמש בגישה שמבוססת על אישורים (CBA) כדי לדרוש אישורי X.509 מאומתים לצורך גישה למשאבים ב- Google Cloud. פרטי הכניסה הנוספים מספקים אות חזק יותר לזיהוי המכשיר, ועוזרים להגן על הארגון מפני גניבה או אובדן מקרי של פרטי הכניסה. זאת על ידי דרישה שפרטי הכניסה של המשתמש ואישור המכשיר המקורי יהיו נוכחים לפני שניתנת גישה.

לפני שממשיכים, צריך לוודא שהתוסף Endpoint Verification ל-Chrome ואפליקציית העזר של Endpoint Verification פרוסים בכל המכשירים שצריכים גישה למשאביGoogle Cloud . המכשירים האלה הופכים למכשירים מהימנים שאפשר לתת להם גישה. פרטים נוספים זמינים במאמר פריסת אימות של נקודות קצה לשימוש עם גישה מבוססת-אישורים.

כדי ליצור מדיניות שדורשת גישה מבוססת-אישורים, צריך רמת גישה עם מפרט רמת גישה בהתאמה אישית.

המסוף

  1. פותחים את הדף Access Context Manager במסוף Google Cloud .

    כניסה לדף Access Context Manager

  2. אם מוצגת בקשה, בוחרים פרויקט.

  3. לוחצים על יצירת רמת גישה.

  4. בחלונית New access level, בוחרים באפשרות Advanced mode. כדי להשתמש במצב הזה, צריך רישיון ל-Chrome Enterprise Premium.

  5. בקטע Conditions, מזינים את הביטוי הבא בתיבה CEL expression.

    certificateBindingState(origin, device) == CertificateBindingState.CERT_MATCHES_EXISTING_DEVICE

  6. לוחצים על Save.

gcloud

  1. יוצרים קובץ YAML לרמת גישה שכוללת אכיפת אישורים.

    expression: "certificateBindingState(origin, device) == CertificateBindingState.CERT_MATCHES_EXISTING_DEVICE"

  2. שומרים את הקובץ. בדוגמה הזו, שם הקובץ הוא CONDITIONS.yaml.

  3. יוצרים את רמת הגישה.

    gcloud access-context-manager levels create NAME \
   --title TITLE \
   --basic-level-spec CONDITIONS.yaml \
   --policy=POLICY

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם הייחודי של רמת הגישה. השם חייב להתחיל באות ולכלול רק אותיות, מספרים וקווים תחתונים.

  • ‫TITLE: שם קריא לאנשים. הוא חייב להיות ייחודי למדיניות.

  • ‫POLICY: המזהה של מדיניות הגישה של הארגון. אם הגדרתם מדיניות ברירת מחדל, הפרמטר הזה הוא אופציונלי.

הפלט אמור להיראות כך:

Create request issued for: NAME
Waiting for operation [accessPolicies/POLICY/accessLevels/NAME/create/1234] to complete...done.
Created level NAME.

API

  1. יוצרים קובץ של גוף הבקשה לרמת גישה שכוללת מדיניות מכשירים עם אילוצים של מערכת ההפעלה.

    {
 "name": "require_certificate",
 "title": "Certificate-Based Access",
 "description": "An example certificate-based access level.",
 "custom": {
   "expr": {
     "expression": "certificateBindingState(origin, device) == CertificateBindingState.CERT_MATCHES_EXISTING_DEVICE",
     "title": "Require a valid certificate",
     "description": "Permits requests from a device with a valid mTLS certificate."
    }
  }
}

  2. יוצרים את רמת הגישה באמצעות קריאה ל-accessLevels.create.

    POST https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY/accessLevels

    ‫POLICY הוא המזהה של מדיניות הגישה של הארגון.

אחרי שיוצרים את רמת הגישה, צריך להחיל אותה באמצעות קישור גישה כדי לאכוף אותה.