Creare livelli di accesso sensibile al contesto

1. Seleziona Livelli di accesso.
   Viene visualizzato l'elenco dei livelli di accesso definiti. I livelli di accesso sono una risorsa condivisa tra Google Workspace e Google Cloud, quindi è possibile che l'elenco includa livelli di accesso non creati da te. Per indicare il team che ha creato un livello di accesso, puoi includere la piattaforma nel nome di quel livello.
2. In alto a destra, seleziona Crea livello di accesso.
   Per impostazione predefinita è selezionata la modalità di base. Aggiungi una o più condizioni per definire il livello di accesso. Definisci quindi ogni condizione specificando uno o più attributi.

   Nota: ti consigliamo di non utilizzare l'interfaccia della piattaforma Cloud per aggiungere o modificare i livelli di accesso sensibile al contesto se sei un cliente solo di Workspace. Se aggiungi o modifichi i livelli di accesso utilizzando un metodo diverso dall'interfaccia di accesso sensibile al contesto, è possibile che venga generato l'errore Su Google Workspace vengono utilizzati attualmente attributi non supportati e che gli utenti vengano bloccati.

3. Aggiungi un nome al livello di accesso e, in via facoltativa, una descrizione.
4. Per la condizione che aggiungi al livello di accesso, specifica se è valida quando gli utenti:
   • Soddisfano gli attributi: gli utenti devono soddisfare tutti gli attributi della condizione.
   • Non soddisfano gli attributi: gli utenti non soddisfano nessun attributo della condizione. Questa opzione specifica il contrario della condizione ed è la più comunemente utilizzata per gli attributi di subnet IP. Ad esempio, se specifichi una subnet IP e "Non soddisfano gli attributi", solo gli utenti con indirizzi IP esterni all'intervallo specificato soddisferanno la condizione.
5. Fai clic su Aggiungi attributo per aggiungere uno o più attributi alla condizione del livello di accesso. Gli attributi che puoi aggiungere sono:
   • Subnet IP: indirizzo IPv4 o IPv6 o prefisso di routing nella notazione a blocchi CIDR.
     • Gli indirizzi IP privati non sono supportati (incluse le reti di casa dell'utente). 
     • Gli indirizzi IP statici sono supportati.
     • Per utilizzare un indirizzo IP dinamico, devi definire una subnet IP statica per il livello di accesso. Se conosci l'intervallo dell'indirizzo IP dinamico e l'indirizzo IP statico definito nel livello di accesso copre quell'intervallo, l'accesso viene concesso. L'accesso viene negato quando l'indirizzo IP dinamico non si trova nella subnet IP statica definita. 
   • Località: paesi/regioni in cui l'utente accede ai servizi Google Workspace. I dispositivi con indirizzi IP interni non sono supportati perché quegli indirizzi IP non sono univoci a livello globale.
   • Criteri relativi ai dispositivi (scegli solo i criteri relativi ai dispositivi che devi implementare):
     • Approvazione dell'amministratore obbligatoria (in questo caso, il dispositivo deve essere approvato)
     • Dispositivo di proprietà dell'azienda obbligatorio
     • Blocco schermo obbligatorio
     • Crittografia del dispositivo (Non supportata, Senza crittografia, Con crittografia)
   • Sistema operativo del dispositivo (gli utenti possono accedere a Google Workspace solo con il sistema operativo che selezioni. Imposta una versione minima del sistema operativo o consenti qualsiasi versione. Utilizza il formato major.minor.patch per la versione del sistema operativo) -
     • macOS
     • Windows
     • Linux
     • Chrome OS
     • iOS
     • Android
   • Livello di accesso (deve soddisfare i requisiti di un livello di accesso esistente).
6. Per aggiungere un'altra condizione al livello di accesso, fai clic su Aggiungi condizione e inserisci gli attributi.
7. Indica le condizioni che gli utenti devono soddisfare:
   • AND: gli utenti devono soddisfare la prima condizione e la condizione aggiunta.
   • OR: gli utenti devono soddisfare solo una delle condizioni.
8. Dopo aver aggiunto le condizioni, salva la definizione del livello di accesso facendo clic su Salva.
9. Scegli l'operazione da eseguire con il livello di accesso:
   • Assegna questo livello di accesso alle app.
   • Crea una regola per la protezione dei dati con questo livello di accesso. Se scegli questa opzione, viene avviata la procedura guidata per la creazione delle regole. Scopri di più sulla combinazione delle regole di protezione dei dati con i livelli di accesso sensibile al contesto.

Esempio di livello di accesso creato in modalità di base

Questo esempio illustra un livello di accesso denominato "corp_access". Se "corp_access" viene applicato a Gmail, gli utenti possono accedere a Gmail solo da un dispositivo criptato di proprietà dell'azienda e solo dagli Stati Uniti o dal Canada.

Nome livello di accesso	corp_access
Un utente può accedere se	Soddisfa tutti gli attributi della condizione
Attributo condizione 1	Criteri relativi ai dispositivi    Crittografia dispositivo = criptato    Dispositivo di proprietà dell'azienda = obbligatorio
Unisci la condizione 1 alla condizione 2 con	AND
Un utente può accedere se	Soddisfa tutti gli attributi della condizione
Attributo condizione 2	Origine geografica    Paesi = Stati Uniti, Canada

Per altri esempi, vedi la pagina degli esempi di accesso sensibile al contesto per la modalità di base.

Questa modalità ti consente di creare livelli di accesso che non possono essere creati nel generatore di condizioni dell'interfaccia di accesso sensibile al contesto. Ad esempio:

• L'amministratore potrebbe dover creare livelli di accesso che includono condizioni del fornitore per le integrazioni di terze parti.
• Alcuni attributi avanzati non sono accessibili dall'interfaccia delle condizioni della modalità di base, ad esempio la possibilità di utilizzare l'autenticazione basata su certificati.

In questa modalità, puoi creare il tuo livello di accesso personalizzato in una finestra di modifica utilizzando il Common Expression Language (CEL). 

Per definire i livelli di accesso utilizzando la modalità avanzata:

1. Seleziona Livelli di accesso.
   Viene visualizzato l'elenco dei livelli di accesso definiti. I livelli di accesso rappresentano una risorsa condivisa tra Google Workspace, Cloud Identity e Google Cloud, perciò è possibile che l'elenco includa livelli di accesso non creati da te. Per indicare il team che ha creato un livello di accesso, puoi includere la piattaforma nel nome di quel livello.
2. Seleziona Crea livello di accesso.
3. Seleziona Modalità avanzata.
4. Aggiungi un nome al livello di accesso e, in via facoltativa, una descrizione.
   Puoi definire il livello di accesso scrivendo un'espressione CEL.
5. Crea il tuo livello di accesso personalizzato nell'editor dell'espressione CEL. 
   Per farlo, è necessario avere una certa esperienza con il CEL. Per linee guida ed esempi di espressioni supportate per la creazione di livelli di accesso personalizzati, vedi le specifiche del livello di accesso personalizzato.
6. Fai clic su Salva.
   L'espressione viene compilata e vengono segnalati eventuali errori di sintassi.
   • Se non sono presenti errori di sintassi, il livello di accesso personalizzato viene salvato e puoi assegnarlo alle app.
   • In caso di errori di sintassi, viene visualizzato il messaggio Correggi gli errori per continuare contenente gli errori di compilazione (solo in inglese) specifici per l'espressione appena creata. Puoi correggere l'errore e salvare di nuovo. Quando il livello di accesso personalizzato non contiene errori e viene salvato, puoi assegnare questo livello di accesso alle app.

Esempio di livello di accesso creato in modalità avanzata

In questo esempio è mostrato un livello di accesso che richiede la conformità alle seguenti condizioni per consentire una richiesta:

• Il dispositivo di origine è criptato.
• Una o più delle seguenti condizioni è vera:
  • La richiesta ha avuto origine negli Stati Uniti.
  • Il dispositivo da cui ha avuto origine la richiesta è approvato dall'amministratore di dominio.

 device.encryption_status == DeviceEncryptionStatus.ENCRYPTED && (origin.region_code in ["US"] || device.is_admin_approved_device)

Per altri esempi, vedi la pagina degli esempi di accesso sensibile al contesto per la modalità avanzata.