Neste guia, você verá como estender as políticas de acesso do Identity-Aware Proxy (IAP) usando níveis de acesso e o framework do gerenciamento de identidade e acesso (IAM) Conditions. Os níveis de acesso permitem restrições de acesso a recursos com base no endereço IP e nos atributos de dispositivo do usuário final. As condições do IAM permitem restrições de acesso com base em hosts de URL, caminhos, data e hora.
Por exemplo, dependendo da configuração de política, seu app confidencial poderá:
- conceder acesso a todos os funcionários se eles estiverem usando um dispositivo corporativo confiável na rede local;
- conceder acesso aos funcionários no grupo Acesso remoto se eles estiverem usando um dispositivo corporativo confiável com uma senha segura e um nível de patch atualizado a partir de qualquer rede;
- conceder acesso apenas aos funcionários no grupo Acesso privilegiado se o caminho do URL começar com
/admin.
Antes de começar
Antes de começar, você precisará de:
- um app protegido pelo IAP a que você quer adicionar acesso individual ou em grupo;
- nomes de usuários ou de grupos a que você quer conceder acesso;
Configurar um nível de acesso
Para limitar o acesso baseado no endereço IP ou nos atributos de dispositivo de usuário final, crie um nível de acesso. Alguns atributos, como os de dispositivo, exigem uma licença do Chrome Enterprise Premium. A validação de licença só ocorre quando você configura níveis de acesso e não afeta o acesso em tempo de execução. Se você quiser saber como criar um nível de acesso, consulte o guia do Access Context Manager. O IAP usa o nome do nível de acesso para associá-lo a um app protegido pelo IAP.
O uso de políticas com escopo não é compatível com a IAP. Os níveis de acesso precisam ser definidos na política de acesso organizacional. Para mais informações, consulte Criar uma política de acesso.
Edite a política do IAM
Um aplicativo protegido por IAP tem uma política de IAM que vincula o papel de IAP ao aplicativo.
Ao adicionar uma vinculação condicional do IAM à política do IAM, o acesso aos seus recursos fica ainda mais restrito com base nos atributos de solicitação. Esses atributos de solicitação incluem:
- Níveis de acesso
- URL/caminho do host
- Data/hora
Os valores de solicitação que serão comparados a request.host e request.path,
especificados em uma vinculação condicional do IAM, precisam ser exatos. Por exemplo, se você restringir o acesso a caminhos que começam com /internal admin, será possível ignorar a restrição acessando /internal%20admin. Para mais informações sobre o nome do host e as condições do caminho, consulte Usar o nome do host e as condições do caminho.