本頁面由 Cloud Translation API 翻譯而成。

使用 Falcon ZTA 資料建立及指派自訂存取層級

本文件說明如何使用 Falcon ZTA 資料建立以裝置為準的自訂存取層級，並將這些存取層級指派給機構資源。

事前準備

設定 Chrome Enterprise 進階版與 Falcon ZTA 整合。
升級至 Chrome Enterprise 進階版，這是 Chrome Enterprise 進階版的付費訂閱服務。如要升級，請與我們的銷售團隊聯絡。
請確認您具備下列其中一個 Identity and Access Management 角色：
- Access Context Manager 管理員 (roles/accesscontextmanager.policyAdmin)
- Access Context Manager 編輯器 (roles/accesscontextmanager.policyEditor)
瞭解用於建立自訂存取層級的一般運算語言 (CEL) 運算式的物件和屬性。詳情請參閱「自訂存取層級規格」。

建立自訂存取層級

您可以建立包含一或多個條件的存取層級。如果您希望使用者的裝置符合多個條件 (使用「且」邏輯運算子的條件)，請建立包含所有必要條件的存取層級。

如要使用 Falcon ZTA 提供的資料建立新的自訂存取層級，請按照下列步驟操作：

前往 Google Cloud 控制台的「Access Context Manager」頁面。
前往 Access Context Manager
如果系統提示您選取機構，請依提示選取您的機構。
在「Access Context Manager」頁面中，按一下「New」。
在「New Access Level」窗格中輸入以下內容：
1. 在「Access level title」(存取層級標題) 欄位中輸入存取層級的標題。標題長度不得超過 50 個字元，開頭必須是英文字母，且只能包含數字、英文字母、底線和空格。
2. 在「Create Conditions in」部分，選取「Advanced Mode」。
3. 在「條件」部分中，輸入自訂存取層級的運算式。條件必須解析為單一布林值。
  如要找出 CEL 運算式可用的 CrowdStrike 欄位，請查看為裝置收集的 Falcon ZTA 資料。
  示例
  下列 CEL 運算式會建立規則，只允許來自 Falcon ZTA 管理裝置的存取權，且作業系統評估分數高於 50：
```
device.vendors["CrowdStrike"].is_managed_device == true && device.vendors["CrowdStrike"].data["assessment.os"] > 50.0
```
  下列 CEL 運算式會建立規則，只允許 Falcon ZTA 在過去兩天內評估過的裝置存取。iat (issued at) 欄位是 Falcon ZTA 零信任評估的一部分。
```
request.time - timestamp(device.vendors["CrowdStrike"].data["iat"]) < duration("48h")
      
```
  注意：建議您為 duration 設定超過 90 分鐘的值，因為 Chrome Enterprise Premium 在收到 Falcon ZTA 的任何新評估作業時，本身就有 90 分鐘的延遲。
  
  下列 CEL 運算式會建立規則，只允許 Falcon ZTA 評估未過期的裝置存取。exp 欄位 (到期日) 是 Falcon ZTA 零信任評估的一部分。
```
timestamp(device.vendors["CrowdStrike"].data["exp"]) - request.time > duration("0m")
       
```
  如需一般運算語言 (CEL) 支援和自訂存取層級的範例和詳細資訊，請參閱自訂存取層級規格。
4. 按一下 [儲存]。

指派自訂存取層級

您可以指派自訂存取層級，藉此控管應用程式的存取權。這些應用程式包括 Google Workspace 應用程式，以及在 Google Cloud 上由 Identity-Aware Proxy 保護的應用程式(也稱為 IAP 安全資源)。您可以為應用程式指派一或多個存取層級。如果您選取多個存取層級，使用者的裝置只需滿足「其中一個」存取層級的條件，即可取得應用程式存取權。

為 Google Workspace 應用程式指派自訂存取層級

透過 Google Workspace 管理控制台指派 Google Workspace 應用程式的存取層級：

在管理控制台首頁中，依序前往「安全性」>「情境感知存取權」。
前往「情境感知存取權」
按一下「指派存取層級」。

系統隨即會顯示應用程式清單。
在「機構單位」部分中，選取機構單位或群組。
選取要指派存取層級的應用程式，然後按一下「指派」。

畫面上會顯示所有存取層級的清單。由於存取層級是 Google Workspace、Cloud Identity 和 Google Cloud 的共用資源，因此您可能會在這份清單中看到他人建立的存取層級。
為應用程式選取一或多個存取層級。
如要對電腦版和行動版 (以及瀏覽器版) 應用程式使用者套用存取層級，請選取「套用到 Google 電腦版和行動版應用程式」。這個核取方塊僅適用於內建應用程式。
按一下「Save」(儲存)。存取層級名稱會顯示在應用程式旁邊的已指派存取層級清單中。

為受 IAP 保護的資源指派自訂存取層級

如要透過 Google Cloud 控制台為受 IAP 保護的資源指派存取層級，請按照「為受 IAP 保護的資源套用存取層級」中的指示操作。