Proteggere app e risorse utilizzando l'accesso sensibile al contesto

Last reviewed 2025-07-22 UTC

Questo documento descrive come utilizzare l'accesso sensibile al contesto per proteggere diversi tipi di app e risorse. L'accesso sensibile al contesto è un approccio alla sicurezza in cui controlli l'accesso degli utenti in base alla loro forza di autenticazione, alla postura del dispositivo, alla posizione di rete, alla posizione geografica o ad altri attributi. Questo approccio va oltre l'utilizzo delle identità utente di base per l'accesso di sicurezza e può aiutarti a implementare un modello di sicurezza Zero Trust per migliorare la tua security posture complessiva. Per informazioni dettagliate sulle best practice, consulta Best practice per la protezione di app e risorse utilizzando l'accesso sensibile al contesto.

Per proteggere le tue app e le tue risorse Google Cloud , puoi definire controlli degli accessi granulari in base a una varietà e una combinazione di fattori contestuali. Puoi utilizzare Gestore contesto accesso per definire le policy di accesso, che contengono livelli di accesso e parametri di servizio.

Questo documento è rivolto a tutti i professionisti della sicurezza responsabili di Identity and Access Management (IAM) e della sicurezza delle risorse e delle app Google Cloud . Questo documento presuppone che tu abbia già familiarità con Gestore contesto accesso,Google Cloude la gestione di IAM.

Livelli di accesso

I livelli di accesso ti consentono di definire un insieme di requisiti che gli utenti e i loro dispositivi devono soddisfare per raggiungere un determinato livello di attendibilità.

Ad esempio, puoi utilizzare Gestore contesto accesso per configurare i seguenti livelli di accesso per la tua organizzazione:

  • Base: un insieme di requisiti di base che consideri il livello minimo.
  • Medio: un insieme più rigoroso di requisiti che ti aspetti che i dipendenti e i dispositivi aziendali soddisfino. Questo livello di accesso potrebbe escludere gli utenti della forza lavoro estesa e i dispositivi non aziendali.
  • Alta: requisiti rigorosi che solo determinati dipendenti e dispositivi soddisfano.

Un livello di accesso di per sé non ha alcun effetto immediato sugli utenti o sui dispositivi. Il livello di accesso specifica i requisiti, ma non definisce gli utenti, le app o le risorse a cui devono essere applicati. Un livello di accesso è come una parte di configurazione riutilizzabile a cui puoi fare riferimento quando configuri l'accesso ad app o risorse specifiche.

Google Cloud ti consente di utilizzare i livelli di accesso per diversi tipi di app o risorse, tra cui i seguenti, descritti in questo documento:

  • Google Workspace e altre app e servizi esterni a Google Cloud
  • La console Google Cloud e le API Google Cloud
  • Perimetri di servizio Virtual Private Cloud (VPC)
  • Identity-Aware Proxy (IAP) per l'accesso SSH e RDP
  • IAP per app web

App e risorse

Le sezioni seguenti descrivono come applicare i livelli di accesso ai diversi tipi di app e risorse e in che modo i processi differiscono tra i vari tipi.

Google Workspace e altre app e servizi esterni a Google Cloud

Le app e i servizi esterni a Google Cloud che supportano l'accesso sensibile al contesto includono:

  • Console di amministrazione Google
  • App Google Workspace come Gmail, Google Meet e Google Calendar
  • Altre app Google, come Gemini o Data Studio
  • App SAML personalizzate

Per limitare l'accesso a Google Workspace e alle app e ai servizi al di fuori diGoogle Cloud, configura l'accesso sensibile al contesto per ogni servizio o app singolarmente nella Console di amministrazione. Nella Console di amministrazione, procedi nel seguente modo:

  • Definisci l'ambito per cui vuoi applicare un livello di accesso. Un ambito è una combinazione dei seguenti elementi:

    • Un servizio o un'app SAML specifici da proteggere.
    • Un'unità organizzativa (UO) o un gruppo che contiene gli utenti pertinenti.

  • Seleziona il livello di accesso da applicare all'ambito selezionato.

Quando assegni un livello di accesso, puoi anche modificarne le impostazioni. Puoi specificare che il livello di accesso si applica solo quando gli utenti accedono direttamente all'app web. In alternativa, puoi specificare che il livello si applica anche quando le app mobile e altre app accedono all'API. Per maggiori dettagli, vedi Comportamento delle app in base alle impostazioni del livello di accesso in "Assegna i livelli di accesso sensibile al contesto alle app".

Potrebbero esserci più assegnazioni applicabili a un determinato utente e a una determinata app. Ad esempio, un utente potrebbe essere un membro dell'UO Dipendenti e un membro del team all-apac. All'UO e al gruppo corrispondenti potrebbero essere assegnati livelli di accesso diversi. In questo caso, Cloud Identity e Google Workspace applicano solo una delle assegnazioni, ovvero quella con la priorità più alta:

  • Le assegnazioni basate sui gruppi hanno una priorità maggiore rispetto alle assegnazioni basate sulle UO.
  • All'interno dei gruppi, puoi personalizzare la loro priorità relativa.
  • Tra le UO, l'UO principale ha la priorità relativa più bassa.

Cloud Identity e Google Workspace ti consentono di esaminare e analizzare gli eventi di accesso sensibile al contesto nel log di accesso sensibile al contesto.

La console Google Cloud e le API Google Cloud

Puoi configurare l'accesso sensibile al contesto alla console Google Cloud e alle APIGoogle Cloud utilizzando le associazioni di accesso.

Le APIGoogle Cloud utilizzano OAuth 2.0 per l'autenticazione. Per utilizzare un'API Google Cloud, gli utenti devono disporre di un token di accesso OAuth valido emesso da Google, che deve essere emesso per uno degliambiti OAuthGoogle Cloud . Le associazioni di accesso limitano la capacità degli utenti di acquisire questi token di accesso. Di conseguenza, le associazioni di accesso limitano l'accesso alla console Google Cloud e a tutte le app OAuth che utilizzano gli ambiti OAuth Google Cloud , come i seguenti:

  • gcloud CLI
  • Strumenti di terze parti come Terraform
  • App OAuth create da te e che utilizzano un ambito OAuth Google Cloud

Un'associazione di accesso collega un gruppo a un livello di accesso. Ogni gruppo può avere una sola associazione di accesso. Ogni associazione di accesso può definire le seguenti configurazioni:

  • Un elenco scopedAccessSettings che assegna i livelli di accesso alle singole app OAuth.
  • Un livello di accesso predefinito.

Se un'associazione di accesso specifica sia un'impostazione di accesso con ambito sia un livello di accesso predefinito, i due livelli di accesso vengono combinati utilizzando la semantica OR. In questo modo, un utente deve soddisfare solo uno dei livelli di accesso per accedere all'app OAuth.

Un'associazione di accesso si applica sia ai membri diretti che a quelli indiretti del gruppo. Se un utente è membro di più gruppi, potrebbero essere applicate più associazioni di accesso, il che potrebbe comportare più livelli di accesso. In questo caso, i livelli di accesso vengono combinati anche utilizzando la semantica OR, il che significa che l'utente deve soddisfare solo uno dei livelli di accesso.

Perimetri di servizio VPC

Quando crei un perimetro di servizio VPC, specifichi un elenco di servizi limitati. È possibile accedere ai servizi limitati dall'interno del perimetro di servizio, ma per impostazione predefinita non è possibile accedervi dall'esterno del perimetro di servizio.

Per consentire l'accesso dall'esterno del perimetro di servizio, utilizza le regole di ingresso. Le regole in entrata ti consentono di specificare le condizioni in base alle quali vuoi consentire l'accesso esterno. Puoi utilizzare i livelli di accesso per consentire a una regola in entrata di applicare l'accesso sensibile al contesto.

Un perimetro di servizio VPC può avere più regole in entrata. Di conseguenza, a un utente e a un'app particolari potrebbe essere applicata più di una regola in entrata e queste regole potrebbero richiedere livelli di accesso diversi. In questo caso, i livelli di accesso vengono valutati utilizzando la semantica OR e l'utente deve soddisfare solo uno dei livelli di accesso.

Puoi combinare le associazioni di accesso con le regole in entrata del perimetro di servizio VPC. Se le associazioni di accesso e le regole in entrata specificano livelli di accesso diversi per un utente e un'app particolari, i livelli vengono combinati utilizzando la semantica AND. In questo caso, l'utente deve soddisfare entrambi i livelli di accesso.

Per esaminare e analizzare i tentativi di accesso alle risorse in un perimetro di servizio VPC, puoi utilizzare gli audit log dei Controlli di servizio VPC o lo analizzatore delle violazioni dei Controlli di servizio VPC.

Accesso SSH e RDP alle VM

Puoi configurare l'accesso sensibile al contesto per l'accesso SSH e RDP alle VM utilizzando l'inoltro TCP IAP.

L'inoltro TCP di IAP supporta le associazioni di accesso e le regole in entrata del perimetro di servizio VPC. Le associazioni di accesso per la console Google Cloud e le API Cloud si applicano automaticamente all'inoltro TCP IAP.

Se il perimetro di servizio include il servizio iaptunnel.googleapis.com come servizio limitato, le regole di ingresso vengono applicate automaticamente all'inoltro TCP IAP. Per informazioni dettagliate sulle best practice, consulta Includi l'inoltro TCP IAP come servizio limitato.

Puoi anche configurare l'accesso sensibile al contesto utilizzando le condizioni IAM. Puoi utilizzare le condizioni IAM in alternativa alle associazioni di accesso e alle regole in entrata del perimetro di servizio VPC oppure utilizzarle tutte insieme.

  • Concedi a un utente o a un gruppo il ruolo Utente del tunnel con protezione IAP (roles/iap.tunnelResourceAccessor). Poi, nell'associazione dei ruoli, aggiungi un'espressione di condizione IAM che richiede all'utente di soddisfare un determinato livello di accesso. Ad esempio, l'espressione potrebbe essere simile alla seguente:

    "accessPolicies/123/accessLevels/fully-trusted" in request.auth.access_levels

  • Facoltativamente, puoi personalizzare la condizione IAM per richiedere più livelli di accesso o per includere altri controlli.

Un utente e un'app particolari possono essere soggetti a un'associazione di accesso, a una regola in entrata e a una condizione IAM quando l'utente e l'app accedono all'inoltro TCP di IAP. In questo scenario, i livelli di accesso vengono combinati utilizzando la semantica AND e l'utente deve soddisfare tutti i livelli di accesso.

Per esaminare e analizzare i tentativi di accesso all'inoltro TCP di IAP, devi abilitare i log di controllo dell'accesso ai dati per IAP.

App web

Puoi configurare l'accesso sensibile al contesto per le app web utilizzando IAP.

IAP per le app web è diverso dalla sua controparte di inoltro TCP IAP:

  • Le associazioni di accesso non si applicano alle app web configurate con IAP perché l'app OAuth utilizzata da IAP non utilizza ambiti OAuth Google Cloud .
  • Le regole in entrata del perimetro di servizio VPC non si applicano alle app web configurate con IAP perché IAP non è un'APIGoogle Cloud e non può essere configurata come servizio limitato.

Per configurare l'accesso sensibile al contesto per le app web utilizzando IAP, devi utilizzare le condizioni IAM:

  • Concedi a un utente o a un gruppo il ruolo Utente app web con protezione IAP (roles/iap.httpsResourceAccessor). Poi, nell'associazione dei ruoli, aggiungi un'espressione di condizione IAM che richiede all'utente di soddisfare un determinato livello di accesso. Ad esempio, l'espressione potrebbe essere simile alla seguente:

    "accessPolicies/123/accessLevels/fully-trusted" in request.auth.access_levels

  • Facoltativamente, puoi personalizzare la condizione IAM per richiedere più livelli di accesso o per includere altri controlli.

Per esaminare e analizzare i tentativi di accesso alle app web configurate con IAP, devi abilitare gli audit log di controllo dell'accesso ai dati per IAP.

Passaggi successivi

Collaboratori

Autore: Johannes Passing | Cloud Solutions Architect

Altro collaboratore: Ido Flatow | Cloud Solutions Architect