Apps und Ressourcen mit kontextsensitiven Zugriff schützen

Last reviewed 2025-07-22 UTC

In diesem Dokument wird beschrieben, wie Sie mit dem kontextsensitiven Zugriff verschiedene Arten von Anwendungen und Ressourcen schützen können. Der kontextsensitive Zugriff ist ein Sicherheitsansatz, bei dem Sie den Zugriff von Nutzern basierend auf ihrer Authentifizierungsstärke, dem Gerätestatus, dem Netzwerkstandort, dem geografischen Standort oder anderen Attributen steuern. Dieser Ansatz geht über die Verwendung grundlegender Nutzeridentitäten für den Sicherheitszugriff hinaus und kann Ihnen dabei helfen, ein Zero-Trust-Sicherheitsmodell zu implementieren, um Ihren allgemeinen Sicherheitsstatus zu verbessern. Weitere Informationen zu Best Practices finden Sie unter Best Practices zum Sichern von Anwendungen und Ressourcen mithilfe des kontextsensitiven Zugriffs.

Zum Schutz Ihrer Anwendungen und Google Cloud -Ressourcen können Sie detaillierte Zugriffssteuerungen basierend auf einer Vielzahl und Kombination von Kontextfaktoren definieren. Mit Access Context Manager können Sie Zugriffsrichtlinien definieren, die Zugriffsebenen und Dienstparameter enthalten.

Dieses Dokument richtet sich an alle Sicherheitsexperten, die für Identity and Access Management (IAM) und die Sicherheit von Google Cloud -Ressourcen und -Anwendungen verantwortlich sind. In diesem Dokument wird davon ausgegangen, dass Sie bereits mit Access Context Manager,Google Cloudund der IAM-Verwaltung vertraut sind.

Zugriffsebenen

Mit Zugriffsebenen können Sie eine Reihe von Anforderungen definieren, die Nutzer und ihre Geräte erfüllen müssen, um eine bestimmte Vertrauensebene zu erreichen.

Sie können beispielsweise mit Access Context Manager die folgenden Zugriffsebenen für Ihre Organisation konfigurieren:

  • Einfach: Eine Reihe grundlegender Anforderungen, die Sie als Mindestniveau betrachten.
  • Mittel: Strengere Anforderungen, die Mitarbeiter und Unternehmensgeräte erfüllen müssen. Diese Zugriffsebene schließt möglicherweise externe Mitarbeiter und nicht unternehmenseigene Geräte aus.
  • Hoch: Strenge Anforderungen, die nur von bestimmten Mitarbeitern und Geräten erfüllt werden.

Eine Zugriffsebene allein hat keine unmittelbaren Auswirkungen auf Nutzer oder Geräte. Die Zugriffsebene gibt Anforderungen an, definiert aber nicht die Nutzer, Anwendungen oder Ressourcen, für die diese Anforderungen gelten sollen. Eine Zugriffsebene ist wie ein wiederverwendbares Konfigurationselement, auf das Sie sich beziehen können, wenn Sie den Zugriff auf bestimmte Anwendungen oder Ressourcen konfigurieren.

MitGoogle Cloud können Sie Zugriffsebenen für verschiedene Arten von Anwendungen oder Ressourcen verwenden, darunter die folgenden, die in diesem Dokument beschrieben werden:

  • Google Workspace und andere Apps und Dienste außerhalb von Google Cloud
  • Die Google Cloud Console und die Google Cloud APIs
  • VPC-Dienstperimeter (Virtual Private Cloud)
  • Identity-Aware Proxy (IAP) für SSH- und RDP-Zugriff
  • IAP für Web-Apps

Apps und Ressourcen

In den folgenden Abschnitten wird beschrieben, wie Sie Zugriffsebenen auf die verschiedenen Arten von Anwendungen und Ressourcen anwenden können und wie sich die Prozesse bei den verschiedenen Arten unterscheiden.

Google Workspace und andere Apps und Dienste außerhalb von Google Cloud

Zu den Apps und Diensten außerhalb von Google Cloud , die den kontextsensitiven Zugriff unterstützen, gehören:

  • Admin-Konsole
  • Google Workspace-Apps wie Gmail, Google Meet und Google Kalender
  • Andere Google-Apps wie Gemini oder Data Studio
  • Benutzerdefinierte SAML-Apps

Wenn Sie den Zugriff auf Google Workspace und Apps und Dienste außerhalb vonGoogle Cloudeinschränken möchten, konfigurieren Sie den kontextsensitiven Zugriff für jeden Dienst oder jede App einzeln in der Admin-Konsole. In der Admin-Konsole gehen Sie so vor:

  • Legen Sie den Bereich fest, auf den Sie eine Zugriffsebene anwenden möchten. Ein Bereich ist eine Kombination aus Folgendem:

    • Einen bestimmten Dienst oder eine bestimmte SAML-Anwendung, die geschützt werden soll.
    • Eine Organisationseinheit (OE) oder eine Gruppe, die die relevanten Nutzer enthält.

  • Wählen Sie die Zugriffsebene aus, die auf den ausgewählten Bereich angewendet werden soll.

Wenn Sie eine Zugriffsebene zuweisen, können Sie auch die Einstellungen dieser Zugriffsebene ändern. Sie können festlegen, dass die Zugriffsebene nur gilt, wenn Nutzer direkt auf die Web-App zugreifen. Sie können aber auch festlegen, dass die Ebene auch gilt, wenn mobile Apps und andere Apps auf die API zugreifen. Weitere Informationen finden Sie im Hilfeartikel „Apps kontextsensitive Zugriffsebenen zuweisen“ im Abschnitt App-Verhalten basierend auf den Einstellungen der Zugriffsebene.

Es kann mehr als eine Zuweisung geben, die für einen bestimmten Nutzer und eine bestimmte App gilt. Ein Nutzer kann beispielsweise Mitglied der OE Employees und des Teams all-apac sein. Der jeweiligen OE und Gruppe können unterschiedliche Zugriffsebenen zugewiesen sein. In diesem Fall wenden Cloud Identity und Google Workspace nur eine der Zuweisungen an, und zwar die mit der höchsten Priorität:

  • Gruppenbasierte Zuweisungen haben eine höhere Priorität als OE-basierte Zuweisungen.
  • Innerhalb von Gruppen können Sie die relative Priorität anpassen.
  • Innerhalb von OEs hat die Stamm-OE die niedrigste relative Priorität.

Mit Cloud Identity und Google Workspace können Sie Ereignisse im Zusammenhang mit dem kontextsensitiven Zugriff im Protokoll für den kontextsensitiven Zugriff prüfen und analysieren.

Die Google Cloud Console und die Google Cloud APIs

Sie können den kontextsensitiven Zugriff auf die Google Cloud Console und dieGoogle Cloud APIs mithilfe von Zugriffsbindungen konfigurieren.

Google Cloud APIs verwenden OAuth 2.0 für die Authentifizierung. Um eine Google CloudAPI zu verwenden, benötigen Nutzer ein gültiges, von Google ausgestelltes OAuth-Zugriffstoken. Das Token muss für einen der Google Cloud OAuth-Bereiche ausgestellt sein. Zugriffsbindungen schränken die Möglichkeit von Nutzern ein, solche Zugriffstokens zu erhalten. Daher beschränken Zugriffsberechtigungen den Zugriff auf die Google Cloud Console und auf alle OAuth-Anwendungen, die OAuth-Bereiche von Google Cloud verwenden, z. B.:

Eine Zugriffsbindung verknüpft eine Gruppe mit einer Zugriffsebene. Jede Gruppe kann nur eine Zugriffsbindung haben. Für jede Zugriffsbindung können die folgenden Konfigurationen definiert werden:

  • Eine scopedAccessSettings-Liste, die einzelnen OAuth-Apps Zugriffsebenen zuweist.
  • Eine Standardzugriffsebene.

Wenn in einer Zugriffsbindung sowohl eine bereichsbezogene Zugriffseinstellung als auch eine Standardzugriffsebene angegeben ist, werden die beiden Zugriffsebenen mithilfe der OR-Semantik kombiniert. Dann muss ein Nutzer nur eine der Zugriffsebenen erfüllen, um auf die OAuth-Anwendung zuzugreifen.

Eine Zugriffsberechtigungen gilt sowohl für direkte als auch für indirekte Mitglieder der Gruppe. Wenn ein Nutzer Mitglied mehrerer Gruppen ist, können mehrere Zugriffsberechtigungen für ihn gelten, was zu mehreren Zugriffsebenen führen kann. In diesem Fall werden die Zugriffsebenen auch mithilfe der OR-Semantik kombiniert. Das bedeutet, dass der Nutzer nur eine der Zugriffsebenen erfüllen muss.

VPC-Dienstperimeter

Wenn Sie einen VPC-Dienstperimeter erstellen, geben Sie eine Liste der eingeschränkten Dienste an. Auf eingeschränkte Dienste kann innerhalb des Dienstperimeters zugegriffen werden, aber standardmäßig nicht von außerhalb des Dienstperimeters.

Wenn Sie den Zugriff von außerhalb des Dienstperimeters zulassen möchten, verwenden Sie Regeln für eingehenden Traffic. Mit Regeln für eingehenden Traffic können Sie die Bedingungen festlegen, unter denen Sie externen Zugriff zulassen möchten. Sie können Zugriffsebenen verwenden, damit eine Regel für eingehenden Traffic den kontextsensitiven Zugriff erzwingt.

Ein VPC-Dienstperimeter kann mehrere Regeln für eingehenden Traffic haben. Daher können für einen bestimmten Nutzer und eine bestimmte Anwendung mehrere Regeln für eingehenden Traffic gelten, die möglicherweise unterschiedliche Zugriffsebenen erfordern. In diesem Fall werden die Zugriffsebenen mit der OR-Semantik ausgewertet und der Nutzer muss nur eine der Zugriffsebenen erfüllen.

Sie können Zugriffsberechtigungen mit Regeln für eingehenden Traffic im VPC-Dienstperimeter kombinieren. Wenn in den Zugriffsberechtigungen und Regeln für eingehenden Traffic unterschiedliche Zugriffsebenen für einen bestimmten Nutzer und eine bestimmte App angegeben sind, werden die Ebenen mithilfe der AND-Semantik kombiniert. In diesem Fall muss der Nutzer beide Zugriffsebenen erfüllen.

Wenn Sie die Zugriffsversuche auf Ressourcen in einem VPC Service Controls-Perimeter prüfen und analysieren möchten, können Sie die VPC Service Controls-Audit-Logs oder das VPC Service Controls-Analysetool für Verstöße verwenden.

SSH- und RDP-Zugriff auf VMs

Sie können den kontextsensitiven Zugriff für den SSH- und RDP-Zugriff auf VMs mithilfe der IAP-TCP-Weiterleitung konfigurieren.

Die IAP-TCP-Weiterleitung unterstützt Zugriffsberechtigungen und Regeln für eingehenden Traffic für VPC Service Perimeters. Ihre Zugriffsberechtigungen für die Google Cloud Console und Cloud APIs gelten automatisch für die IAP-TCP-Weiterleitung.

Wenn Ihr Dienstperimeter den iaptunnel.googleapis.com-Dienst als eingeschränkten Dienst enthält, gelten Ihre Regeln für eingehenden Traffic automatisch für die IAP-TCP-Weiterleitung. Weitere Informationen zu Best Practices finden Sie unter IAP-TCP-Weiterleitung als eingeschränkten Dienst einbeziehen.

Sie können den kontextsensitiven Zugriff auch mithilfe von IAM-Bedingungen konfigurieren. Sie können IAM-Bedingungen als Alternative zu Zugriffsbindungen und Regeln für eingehenden Traffic im VPC-Dienstperimeter verwenden oder alle zusammen verwenden.

  • Weisen Sie einem Nutzer oder einer Gruppe die Rolle „Nutzer IAP-gesicherter Tunnel“ (roles/iap.tunnelResourceAccessor) zu. Fügen Sie dann in der Rollenbindung einen IAM-Bedingungsausdruck hinzu, der erfordert, dass der Nutzer eine bestimmte Zugriffsebene erfüllt. Der Ausdruck könnte beispielsweise so aussehen:

    "accessPolicies/123/accessLevels/fully-trusted" in request.auth.access_levels

  • Optional können Sie die IAM-Bedingung so anpassen, dass mehrere Zugriffsebenen erforderlich sind oder andere Prüfungen einbezogen werden.

Ein bestimmter Nutzer und eine bestimmte Anwendung können einer Zugriffsbindung, einer Regel für eingehenden Traffic und einer IAM-Bedingung unterliegen, wenn der Nutzer und die Anwendung auf die IAP-TCP-Weiterleitung zugreifen. In diesem Szenario werden Zugriffsebenen mithilfe der AND-Semantik kombiniert und der Nutzer muss alle Zugriffsebenen erfüllen.

Wenn Sie die Versuche, auf die IAP-TCP-Weiterleitung zuzugreifen, prüfen und analysieren möchten, müssen Sie Audit-Logs zum Datenzugriff für IAP aktivieren.

Web-Apps

Sie können den kontextsensitiven Zugriff für Web-Apps mithilfe von IAP konfigurieren.

IAP für Webanwendungen unterscheidet sich von IAP für die TCP-Weiterleitung:

  • Zugriffsbindungen gelten nicht für Webanwendungen, die mit IAP konfiguriert sind, da die von IAP verwendete OAuth-Anwendung keine Google Cloud OAuth-Bereiche verwendet.
  • Regeln für eingehenden Traffic im VPC-Dienstperimeter gelten nicht für Webanwendungen, die mit IAP konfiguriert sind, da IAP keineGoogle Cloud -API ist und nicht als eingeschränkter Dienst konfiguriert werden kann.

Wenn Sie den kontextsensitiven Zugriff für Webanwendungen mit IAP konfigurieren möchten, müssen Sie IAM-Bedingungen verwenden:

  • Weisen Sie einem Nutzer oder einer Gruppe die Rolle „Nutzer von IAP-gesicherten Web-Apps“ (roles/iap.httpsResourceAccessor) zu. Fügen Sie dann in der Rollenbindung einen IAM-Bedingungsausdruck hinzu, der erfordert, dass der Nutzer eine bestimmte Zugriffsebene erfüllt. Der Ausdruck könnte beispielsweise so aussehen:

    "accessPolicies/123/accessLevels/fully-trusted" in request.auth.access_levels

  • Optional können Sie die IAM-Bedingung so anpassen, dass mehrere Zugriffsebenen erforderlich sind oder andere Prüfungen einbezogen werden.

Wenn Sie die Versuche, auf mit IAP konfigurierte Webanwendungen zuzugreifen, prüfen und analysieren möchten, müssen Sie Audit-Logs zum Datenzugriff für IAP aktivieren.

Nächste Schritte

Beitragende

Autor: Johannes Passing | Cloud Solutions Architect

Weiterer Beitragender: Ido Flatow | Cloud Solutions Architect