本文档介绍如何使用政策问题排查工具来确定最终用户访问权限问题的优先级并进行分析。
借助 Chrome 企业进阶版，您可以在企业级层创建高级规则，提供基于情境的应用访问权限。当您对资源应用多个访问规则（从位置限制到设备规则）时，可能难以了解政策的评估方式，以及用户具有或无法访问目标资源的原因。因此，对用户访问权限进行分级和分析非常重要。
借助政策问题排查工具，您可以确定访问成功或失败的原因，并在需要时更改政策并指示最终用户修改其上下文以允许访问或移除绑定以拒绝意外访问。对于需要针对不同用户群组应用多个规则的组织，政策问题排查工具是一款非常有用的工具。
准备工作
为最大限度地提高政策问题排查工具的效率，请验证您是否具有 Security Reviewer 角色 (roles/iam.securityReviewer)。这能够确保您可以读取所有适用的 Cloud IAM 政策。
如需排查设备访问权限的问题，您必须有权查看设备的详细信息。如果与目标资源关联的政策包含设备政策（例如要求加密设备的访问权限级别），则除非您检索目标主账号设备详细信息的权限已验证，否则您可能无法获得准确的结果。Google Workspace Super Admin、Services Admin 和 Mobile Admin 通常有权查看设备详细信息。如要允许非超级 Super、Service 或 Mobile Admin 的用户排查访问权限的问题，请完成以下步骤：
- 创建自定义 Google Workspace 管理员角色，其中包含服务 > 移动设备管理 > 管理设备和设置权限（位于管理控制台权限下方）。
- 使用管理控制台将此角色分配给用户。
如要排查对 Google Cloud 群组授予的资源访问权限问题，您必须有权查看其成员。如果政策包含群组，那么您在打开群组之前应有权查看群组的详细信息。Google Workspace Super Admins 和 Group Admins 通常有权查看群组成员资格。如要允许非 Super 用户或 Group 管理员的用户排查访问权限的问题，请完成以下步骤：
- 创建自定义 Google Workspace 管理员角色，该角色包含群组 > 读取权限（位于 Admin API 权限下方）。
- 将此角色分配给用户。这样，用户就可以查看网域中所有群组的成员资格，并更有效地排查访问权限问题。
自定义角色权限是可选的。如果您没有查看自定义角色的权限，则可能无法确定主账号是否可以从具有自定义角色的绑定访问该角色。
问题排查工具工作流概览
排查被拒访问问题
如需排查被拒访问权限的问题，您可以点击受 IAP 保护的应用右侧的三个点，为 IAP 设置中的 IAP 资源启用该功能：设置，然后选择生成问题排查网址。为最大限度地提高政策问题排查工具的效率，请验证您是否具有 IAP Settings Admin 角色 (roles/iap.settingsAdmin)。这能够确保您可以检索和更新所有 IAP 资源的 IAP 设置。
问题排查网址仅会在启用后显示在默认的 403 页面上。
政策问题排查工具提供了一个界面，您可以在该界面中查看针对目标 IAP 资源的所有有效政策的详细评估结果。当用户的访问权限失效时，403 页面会显示问题排查工具网址。访问时，政策问题排查工具会显示失败绑定的详细信息以及失败访问权限级别的分析（如果绑定中存在）。您还可以使用问题排查工具来查看用户对资源的访问权限的详细视图。