本文說明情境感知存取權的常見用途，並提供在基本模式中開發的設定範例。
如需在進階模式 (使用 CEL 編輯器) 中開發存取層級的範例，請參閱「進階模式的情境感知存取權範例」。
僅允許承包商透過公司網路存取資源
許多公司都希望能限制承包商對公司資源的存取權。舉例來說，如果某公司僱用承包商接聽一般支援服務來電，或任職於說明中心和客服中心，可能就會希望設定相關限制。如要為承包商套用情境感知存取權政策，對方必須擁有支援的授權 (類似於為全職員工套用的情況)。
這個範例說明承包商必須位於特定範圍的公司 IP 位址，才能存取公司資源。
| 存取層級名稱 | contractor_access |
| 承包商獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 | IP 子網路 74.125.192.0/18 |
| 存取層級指派對象 | 承包商所屬機構單位 承包商使用的所有應用程式 |
封鎖來自已知駭客 IP 位址的存取權限
為了防止公司資源遭駭客入侵，許多公司都會針對已知的高風險來源封鎖存取權限。
在這個範例中，我們封鎖了 74.125.195.105 這個 IP 位址。如果使用者透過任何其他 IP 位址執行工作階段，則可存取公司資源。您可以指定多個 IP 位址和範圍。
| 存取層級名稱 | block_highrisk |
| 使用者獲得存取權的條件 | 不符合部分屬性 |
| 條件 1 屬性 | IP 子網路 74.125.195.105 |
| 存取層級指派對象 | 頂層機構單位 所有應用程式 |
允許或禁止特定位置的存取權限
如果您的員工經常到較遠的公司或合作夥伴辦公室出差，您可以指定讓他們在特定地理位置存取公司資源。
舉例來說，如果某個銷售人員群組會定期拜訪澳洲和印度的客戶，您可以將該群組限制為可從主要辦公地點，以及澳洲和印度存取公司資源。如果他們在出差行程中另外安排了個人旅遊，當他們前往其他國家/地區度假時，就無法從該地點存取公司資源。
這個範例說明銷售群組只能從美國 (主要辦公地點)、澳洲和印度存取公司資源。
| 存取層級名稱 | sales_access |
| 銷售人員獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 | 地理位置來源 美國、澳洲、印度 |
| 存取權層級指派對象 | 銷售人員群組 銷售人員使用的所有應用程式 |
如要拒絕來自特定國家/地區的存取要求，您可以建立政策，指定將存取權授予「不符合」條件的使用者，然後在條件中列出要禁止存取公司資料的國家/地區。
在指派時使用巢狀存取層級 (而非選取多個存取層級)
在某些情況下，當您嘗試將存取層級指派給特定機構單位/群組和應用程式 (或是一組應用程式) 時，可能會看到要求減少應用程式或存取層級數量的錯誤訊息。
為了避免這個情況，您可以在指派時利用巢狀結構將多個存取層級整合為單一存取層級，藉此減少存取層級數量。所謂的巢狀存取層級，就是利用「或」運算子結合多個條件，並在每個條件中納入單一存取層級。
在這個範例中，USWest、USEast 和 USCentral 就分別屬於 3 個存取層級。如果想讓使用者在符合 USWest、USEast 或 USCentral 中任一存取層級的條件時獲得應用程式存取權，可以使用「或」運算子建立名為 USRegions 的單一巢狀存取層級。接著在指派存取層級時，只要針對相應的機構單位或群組，將 USRegions 存取層級指派給應用程式即可。
|
存取層級名稱 |
USRegions |
|
使用者獲得存取權的條件 |
符合所有屬性 |
|
條件 1 屬性 (每個條件只能有 1 個存取層級) |
存取層級 USWest |
|
將條件 1 和條件 2 統整在一起 |
或 |
|
使用者獲得存取權的條件 |
符合所有屬性 |
|
條件 2 屬性 |
存取層級 USEast |
|
將條件 2 和條件 3 統整在一起 |
或 |
|
使用者獲得存取權的條件 |
符合所有屬性 |
|
條件 3 屬性 |
存取層級 USCentral |
規定要使用公司擁有的電腦，但未必要使用公司擁有的行動裝置
公司可能會要求使用公司擁有的電腦，但不一定會要求使用公司擁有的行動裝置。
首先，請建立電腦的存取權層級：
|
存取權層級名稱 |
aldesktop_access |
|
使用者獲得存取權的條件 |
符合所有屬性 |
|
條件 1 屬性 |
裝置政策
裝置加密 = 不支援 裝置 OS macOS = 0.0.0 Windows = 0.0.0 Linux OS = 0.0.0 Chrome OS = 0.0.0 |
接著，請建立行動裝置的存取權層級：
|
存取權層級名稱 |
almobile_access |
|
使用者獲得存取權的條件 |
符合所有屬性 |
|
條件 1 屬性 |
裝置 OS iOS = 0.0.0 Android = 0.0.0 |
規定基本的裝置安全性需求
現今的企業和公司大多都會要求員工在存取公司資源時，必須使用已加密且符合最低作業系統版本要求的裝置。部分公司也會要求員工使用公司擁有的裝置。
您可以為所有機構單位設定這些政策，也可以只為需要處理機密資料的機構單位 (例如公司高層、財務或人力資源部門) 設定這些政策。
以下列舉幾個設定政策的方式，您可以設定裝置加密、最低作業系統版本，以及公司擁有的裝置等政策，這些方式各有優缺點。
1 個存取層級，其中包含所有安全性需求
舉例來說，如果使用者的裝置經過加密且屬於公司所有，但並未搭載符合規定的作業系統版本，就無法透過這些裝置存取資源。
優點：設定方便。當您將這個存取層級指派給應用程式後，使用者就必須符合所有需求條件。
缺點：如果您要為不同的機構單位分別指派安全性需求，必需針對各個安全性需求分別建立存取層級。
| 存取層級名稱 | device_security |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 (您可以將所有屬性新增至同一個條件中， 也可以建立 3 個條件，然後使用「AND」集合所有條件。) |
裝置 OS |
3 個各自獨立的存取權層級
舉例來說，搭載較舊作業系統版本的個人裝置，若已加密，仍可取得存取權。
優點：這種定義存取層級的方式較為精細，您可以分別為不同的機構單位指派存取層級。
缺點使用者僅須符合其中一個存取層級的條件。
| 存取層級名稱 | device_encryption |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 |
裝置政策 |
| 存取層級名稱 | corp_device |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 |
裝置政策 |
| 存取層級名稱 | min_os |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 |
裝置政策 |
1 個存取層級，其中包含巢狀存取層級
當您為應用程式指派第 4 個存取層級時，使用者必須分別符合這 3 個巢狀存取層級中的條件，才能取得存取權。這是使用「且」邏輯運算子的存取層級。
舉例來說，即便使用加密的裝置，但如果該裝置是個人裝置，且搭載的作業系統版本較舊，即無法得存取權。
優點：您可以透過第 1、2 和 3 這 3 個獨立的存取層級，靈活區分安全性需求。此外，您還可以使用第 4 個存取層級，強制實行兼具所有安全性需求的政策。
缺點：稽核記錄只會擷取第 4 個存取層級所拒絕的存取權；如果是第 1、2 和 3 個存取層級拒絕的存取權，稽核記錄便不會擷取，因為這 3 個存取層級並未直接指派給應用程式。
按照上方「3 個各自獨立的存取層級」一節的說明，建立以下 3 個存取層級：「device_encryption」、「corp_device」和「min_os」。接著再建立第 4 個名為「device_security」的存取層級，其中具備 3 個條件，各條件中另有一個存取層級做為屬性 (每個條件只能新增 1 個存取層級屬性)。
| 存取層級名稱 | device_security |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 (每個條件只能具備 1 個存取權層級) |
存取層級 device_encryption |
| 將條件 1 和條件 2 統整在一起 | 且 |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 | 存取層級 corp_device |
| 將條件 2 和條件 3 統整在一起 | 且 |
| 使用者獲得存取權的條件 | 符合所有屬性 |
| 條件 1 屬性 | 存取層級 min_os |
