הגדרת גישה שמבוססת על אישורים
כדי להגדיר בקרת גישה מבוססת-הקשר עם mTLS, שנקראת גם בקרת גישה מבוססת-אישור (CBA), צריך ליצור רמת גישה חדשה של CBA, לאכוף את רמת הגישה של CBA ולהפעיל את CBA באפליקציות הלקוח.
לפני שמתחילים
חשוב לוודא שאתם פורסים את התוסף של Google Chrome לאימות נקודות קצה ואת אפליקציית העזר לאימות נקודות קצה בכל המכשירים שצריכים גישה למשאביGoogle Cloud . המכשירים האלה הופכים למכשירים מהימנים שאפשר לתת להם גישה.
אימות CBA לעומסי עבודה או לאפליקציות אינטרנט לא דורש Endpoint Verification.
אם אתם צריכים לפרוס את Endpoint Verification, קראו את המאמר פריסת Endpoint Verification לשימוש עם גישה מבוססת-אישורים.
הגדרת CBA
כדי להגדיר CBA, צריך לבצע את השלבים הבאים:
יוצרים רמת גישה חדשה של CBA שדורשת אישורים כשקובעים את הגישה למשאבים.
כדי לאכוף את רמת הגישה של CBA על משאב, אפשר להשתמש באחת מהשיטות הבאות:
כדי להגביל את הגישה לשירותי Google Cloudשנתמכים ב-VPC Service Controls, יוצרים היקף של VPC Service Controls עם רמת הגישה של CBA, ואז מוסיפים שירותים להיקף. הוראות מפורטות מופיעות במאמר הפעלת גישה מבוססת-אישורים באמצעות VPC Service Controls.
להגביל את הגישה לכל שירותי Google Cloud , כולל מסוףGoogle Cloud , על ידי קישור של רמת הגישה של CBA לקבוצת המשתמשים שאתם רוצים להגביל את הגישה שלה. הוראות מפורטות מופיעות במאמר הפעלת גישה מבוססת-אישור באמצעות קבוצות משתמשים.
הגבלת הגישה למכונה הווירטואלית. הוראות מפורטות זמינות במאמר הפעלת גישה מבוססת-אישור למכונות וירטואליות.
להגביל את הגישה לאפליקציות האינטרנט שלכם. הוראות מפורטות זמינות במאמר הפעלת גישה מבוססת-אישורים לאפליקציות אינטרנט.
להגביל את הגישה לכל שירותי Google Cloud מעומסי עבודה. להוראות מפורטות, קראו את המאמר הגדרת בקרת גישה מבוססת-אישורים לאיחוד שירותי אימות הזהות של עומסי עבודה.
אחרי שאוכפים את ה-CBA, בקרת הגישה מבוססת-הקשר דוחה את הגישה למשאבים בלי אישורי לקוח. כדי לתת גישה למכשירים מהימנים, צריך לוודא שהלקוחות שולחים אישורים ל-Google APIs דרך חיבור mTLS. לשם כך, מפעילים את CBA בלקוח שתואם ל-CBA. איך מפעילים באפליקציות לקוח את הגישה שמבוססת על אישורים
המאמרים הבאים
- מידע ולמידה על אבטחת משאבים באמצעות גישה מבוססת-אישור