기본 액세스 수준 만들기

콘솔

기본 액세스 수준을 만들려면 다음 단계를 따르세요.

1. Google Cloud 콘솔에서 Access Context Manager 페이지를 엽니다.

   Access Context Manager 페이지 열기

2. 메시지가 표시되면 조직을 선택합니다.

3. Access Context Manager 페이지의 맨 위에 있는 새 항목을 누릅니다.

4. 새 액세스 수준 창에서 다음을 수행합니다.

   1. 액세스 수준 제목 필드에 액세스 수준의 제목을 입력합니다. 제목은 최대 50자여야 하고, 문자로 시작해야 하며 숫자, 문자, 밑줄, 공백만 포함할 수 있습니다.

   2. 조건 섹션에서 추가할 속성 유형의 추가 버튼을 클릭한 다음 해당 속성에 적용할 값을 제공합니다.

      추가할 수 있는 속성의 전체 목록은 액세스 수준 속성을 참조하세요.

      예를 들어 액세스 수준에서 요청이 들어오는 네트워크 내 위치를 고려하기를 원한다면 IP 서브네트워크 속성을 선택합니다.

      동일한 조건에 속성 여러 개를 추가하려면 이 단계를 반복합니다. 한 조건에 속성이 여러 개 있으면 액세스 요청이 모든 속성을 충족시켜야 합니다.

      한 액세스 수준 조건에는 각 유형의 속성 하나를 포함할 수 있습니다. 일부 속성에는 기기 정책 속성과 같은 추가 옵션이 포함됩니다.

      액세스 수준은 사용자 ID를 기반으로 조건을 지원합니다. 그러나 조건에 ID를 추가하려면 gcloud CLI 또는 API를 사용하여 액세스 수준을 만들거나 업데이트해야 합니다.

   3. 조건 충족 시 반환 옵션을 사용하여 조건이 요청이 지정된 모든 속성을 충족해야 하는 AND 연산 (TRUE)으로 평가되는지 또는 요청이 지정된 속성 중 하나 이상을 충족하지 않을 때 충족되는 부정 (NAND) 연산 (FALSE)으로 평가되는지 여부를 지정합니다.

      예를 들어 네트워크의 특정 IP 주소 범위에서 오는 요청을 거부하려면 IP 서브네트워크 속성을 사용하여 IP 주소 범위를 지정한 후 조건을 FALSE로 설정합니다.

   4. (선택사항) 다른 조건 추가를 클릭하여 액세스 수준에 조건을 추가한 후 이전 두 단계를 반복합니다.

      예를 들어 더 넓은 IP 주소 범위 내의 IP 주소 하위 집합에 대한 액세스를 거부하려면 새 조건을 만들고 IP 서브네트워크 속성에 하위 IP 주소 범위를 지정한 후 FALSE를 반환하도록 조건을 설정합니다.

      동일한 액세스 수준에 조건을 여러 개 추가하려면 이 단계를 반복합니다.

   5. 조건을 2개 이상 만든 경우 다음과 조건 결합을 사용하여 액세스 수준에서 요청이 하나 이상의 조건을 충족해야 하는지(OR) 또는 모든 조건을 충족해야 하는지(AND)를 지정합니다.

   6. 저장을 클릭합니다.

gcloud

시작하기 전에

• 아직 없으면 조직의 액세스 정책을 만듭니다.

gcloud 명령줄 도구를 사용하여 액세스 수준을 만들려면 gcloud access-context-manager levels create 명령어를 사용합니다.

gcloud access-context-manager levels create LEVEL_NAME OPTIONS \
    --policy=POLICY

각 항목의 의미는 다음과 같습니다.

• LEVEL_NAME은 액세스 수준의 고유한 이름입니다. 이 이름은 문자로 시작해야 하며 문자, 숫자, 밑줄만 포함할 수 있습니다. 이름은 최대 50자입니다.

• OPTIONS는 다음 표의 필수 옵션입니다.

  옵션
  basic-level-spec	액세스 수준에 조건을 하나 이상 지정하는 YAML 파일입니다.
  title	짧은 형식으로 된 액세스 수준 제목입니다. 액세스 수준 제목은 Google Cloud 콘솔에 표시됩니다.
  combine-function	(선택사항) 조건 조합 방법을 결정합니다. 유효한 값: AND, OR
  description	(선택사항) 긴 형식으로 된 액세스 수준의 설명입니다.

• POLICY는 조직의 액세스 정책 ID입니다. 기본 정책이 설정되어 있으면 이 매개변수는 선택사항입니다.

선택적으로 gcloud-wide 플래그를 포함할 수 있습니다.

basic-level-spec YAML 파일

gcloud 명령줄 도구를 사용하여 액세스 수준을 작성할 때 basic-level-spec 옵션에 YAML 파일을 제공해야 합니다. YAML 파일은 액세스 수준의 조건을 하나 이상 정의합니다. 조건에는 속성이 최소한 한 개 이상 포함되어야 합니다. 조건에 속성이 2개 이상 있으면 조건에서 negate 속성이 true로 설정되어 있는지 여부에 따라 AND 연산 (모두 true여야 함) 또는 NAND 연산 (하나 이상이 false여야 함)으로 결합됩니다.

YAML 파일에 포함할 수 있는 속성의 전체 목록은 액세스 수준 속성을 참조하세요.

액세스 수준 및 YAML에 대한 자세한 내용은 액세스 수준의 YAML 예를 참조하세요.

명령어 예

gcloud access-context-manager levels create Device_Trust \
    --basic-level-spec=corpdevspec.yaml \
    --combine-function=AND \
    --description='Access level that conforms to corporate spec.' \
    --title='Device_Trust Extended' \
    --policy=1521580097614100

API

시작하기 전에

• 아직 없으면 조직의 액세스 정책을 만듭니다.

액세스 수준을 만들려면 accessLevels.create를 호출합니다.

POST https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY/accessLevels

각 항목의 의미는 다음과 같습니다.

• POLICY는 조직의 액세스 정책 ID입니다.

요청 본문

요청 본문에는 새 액세스 수준에 원하는 조건을 지정하는 AccessLevel 리소스가 포함되어야 합니다. 각 Condition에는 negate 필드가 true로 설정되었는지 여부에 따라 AND 연산 (모두 true여야 함) 또는 NAND 연산 (하나 이상이 false여야 함)으로 평가되는 1개 이상의 속성이 있습니다. 결과 평가는 조건이 충족되는지 여부를 결정합니다.

응답 본문

호출이 성공하면 호출의 응답 본문에 POST 작업에 대한 세부정보를 제공하는 Operation 리소스가 포함됩니다.

콘솔

1. Google Cloud 콘솔에서 Access Context Manager 페이지를 엽니다.

   Access Context Manager 페이지 열기

2. 메시지가 표시되면 조직을 선택합니다.

3. Access Context Manager 페이지의 맨 위에 있는 새 항목을 누릅니다.

4. 새 액세스 수준 창의 조건 섹션에서 속성 추가를 클릭한 후 IP 서브네트워크를 클릭합니다.

5. IP 서브네트워크 상자에서 공개 IP 또는 비공개 IP를 선택합니다.

   • 공개 IP를 선택하면 CIDR 블록 형식의 IPv4 또는 IPv6 범위를 하나 이상 입력합니다.

     이 예시에서는 감사 기관으로만 액세스 권한을 제한하기 위해 IP 서브네트워크 상자에 203.0.113.0/25를 입력합니다.

   • 비공개 IP를 선택하는 경우 VPC 네트워크 선택을 클릭합니다. 가져오기 옵션 목록에서 사용 가능한 세 가지 옵션 중 하나를 사용하여 VPC 네트워크를 지정할 수 있습니다.

     • 옵션 1:

       1. 조직의 VPC 네트워크 찾아보기를 선택하고 VPC 네트워크를 선택합니다.

       2. 선택한 VPC 네트워크 추가를 클릭합니다.

       3. IP 서브넷 선택을 클릭하고 서브넷을 선택합니다.

       4. IP 서브넷 추가를 클릭합니다.

     • 옵션 2:

       1. VPC 네트워크 주소 직접 입력을 선택하고 VPC 네트워크를 하나 이상 입력합니다.

       2. VPC 네트워크 추가를 클릭합니다.

       3. IP 서브넷 선택을 클릭하고 서브넷을 선택합니다.

       4. IP 서브넷 추가를 클릭합니다.

     • 옵션 3:

       1. CSV 파일 업로드(기존 네트워크 덮어쓰기)를 선택합니다.

          CSV 파일을 사용하여 액세스 수준에 VPC 네트워크 및 서브넷을 추가하면 Access Context Manager가 이전에 선택한 VPC 네트워크 및 서브넷을 덮어씁니다.

       2. 찾아보기를 클릭하고 CSV 파일을 업로드합니다. CSV 파일에서 다음 형식으로 VPC 네트워크와 서브넷을 지정해야 합니다.

          VPC_NETWORK_NAME_1       | IP_RANGE_1       | IP_RANGE_2       | ...
          VPC_NETWORK_NAME_2       | .                | .                | ...
          .                        | .                | .                | ...
          .                        | .                | .                | ...
          

       3. 네트워크 가져오기를 클릭합니다.

          Access Context Manager는 CSV 파일을 사용하여 VPC 네트워크 주소 및 IP 서브네트워크 상자에 각각 VPC 네트워크 이름과 서브넷 정보를 채웁니다.

     VPC 네트워크 이름 및 비공개 IP 주소 형식에 관한 자세한 내용은 액세스 수준에서 내부 IP 주소 사용을 참조하세요.

6. 저장을 클릭합니다.

gcloud

1. CIDR 블록 형식으로 된 IPv4 또는 IPv6 범위를 한 개 이상 포함하는 액세스 수준의 YAML 파일을 만듭니다.

   이 예에서는 감사인으로만 액세스 권한을 제한하기 위해 YAML 파일에 다음을 입력합니다.

   - ipSubnetworks:
     - 203.0.113.0/25
   

   비공개 IP 주소를 사용하려면 YAML 파일에 다음 정보를 입력해야 합니다.

   - vpcNetworkSources:
     - vpcSubnetwork:
         network: VPC_NETWORK_NAME
         vpcIpSubnetworks:
         - IP_RANGE
   

   VPC_NETWORK_NAME 및 IP_RANGE를 액세스 수준에서 내부 IP 주소 사용 섹션에 설명된 값으로 바꿉니다.

2. 파일을 저장합니다. 이 예에서 이 파일의 이름은 CONDITIONS.yaml입니다.

3. 액세스 수준을 만듭니다.

   gcloud access-context-manager levels create NAME \
      --title TITLE \
      --basic-level-spec CONDITIONS.yaml \
      --policy=POLICY

   각 항목의 의미는 다음과 같습니다.

   • NAME은 액세스 수준의 고유한 이름입니다. 이 이름은 문자로 시작해야 하며 문자, 숫자, 밑줄만 포함할 수 있습니다.

   • TITLE은 인간이 읽을 수 있는 제목입니다. 이 제목은 정책에 고유해야 합니다.

   • POLICY는 조직의 액세스 정책 ID입니다. 기본 정책이 설정된 경우 이 매개변수는 선택사항입니다.

   다음과 비슷한 출력이 표시됩니다.

   Create request issued for: NAME
   Waiting for operation [accessPolicies/POLICY/accessLevels/NAME/create/1521594488380943] to complete...done.
   Created level NAME.
   

API

1. CIDR 블록 형식으로 된 IPv4 또는 IPv6 범위가 한 개 이상 포함된 AccessLevel 리소스를 만들도록 요청 본문을 작성합니다.

   이 예시에서는 감사인으로만 액세스 권한을 제한하기 위해 요청 본문에 다음을 입력합니다.

   {
    "name": "NAME",
    "title": "TITLE",
    "basic": {
      "conditions": [
        {
          "ipSubnetworks": [
            "203.0.113.0/25"
          ]
        }
      ]
    }
   }

   각 항목의 의미는 다음과 같습니다.

   • NAME은 액세스 수준의 고유한 이름입니다. 이 이름은 문자로 시작해야 하며 문자, 숫자, 밑줄만 포함할 수 있습니다.

   • TITLE은 인간이 읽을 수 있는 제목입니다. 이 제목은 정책에 고유해야 합니다.

   비공개 IP 주소를 사용하려면 요청 본문에 다음 정보를 입력해야 합니다.

   {
    "name": "NAME",
    "title": "TITLE",
    "basic": {
      "conditions": [
        {
          "vpcNetworkSources": [
           {
             "vpcSubnetwork": {
               "network": VPC_NETWORK_NAME,
               "vpcIpSubnetworks": [
                 IP_RANGE
               ]
             }
           }
          ]
        }
      ]
    }
   }

   VPC_NETWORK_NAME 및 IP_RANGE를 액세스 수준에서 내부 IP 주소 사용 섹션에 설명된 값으로 바꿉니다.

2. accessLevels.create를 호출하여 액세스 수준을 만듭니다.

   POST https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY/accessLevels
   

   각 항목의 의미는 다음과 같습니다.

   • POLICY는 조직의 액세스 정책 ID입니다.

콘솔

1. Google Cloud 콘솔에서 Access Context Manager 페이지를 엽니다.

   Access Context Manager 페이지 열기

2. 메시지가 표시되면 조직을 선택합니다.

3. Access Context Manager 페이지의 맨 위에 있는 새 항목을 누릅니다.

4. 새 액세스 수준 창의 조건 섹션에서 속성 추가를 클릭한 후 기기 정책을 클릭합니다.

5. 기기 정책 속성을 추가합니다.

   1. OS 정책 추가를 클릭한 후 Chrome OS 정책을 클릭합니다.

   2. 최소 버전 상자에 허용할 Chrome OS의 최소 버전을 입력합니다.

   3. Windows OS 정책에 대해 1~2단계를 반복합니다.

6. 저장을 클릭합니다.

gcloud

1. OS 제약 조건이 있는 기기 정책이 포함된 액세스 수준의 YAML 파일을 만듭니다.

   이 예에서는 Chrome OS 및 Windows의 허용 가능한 최소 버전을 사용하는 기기만 허용하기 위해 .YAML 파일에 다음을 입력합니다.

   - devicePolicy:
       osConstraints:
         - osType: DESKTOP_CHROME_OS
           minimumVersion: 11316.165.0
         - osType: DESKTOP_WINDOWS
           minimumVersion: 10.0.1809
   

2. 파일을 저장합니다. 이 예에서 이 파일의 이름은 CONDITIONS.yaml입니다.

3. 액세스 수준을 만듭니다.

   gcloud access-context-manager levels create NAME \
      --title TITLE \
      --basic-level-spec CONDITIONS.yaml \
      --policy=POLICY

   각 항목의 의미는 다음과 같습니다.

   • NAME은 액세스 수준의 고유한 이름입니다. 이 이름은 문자로 시작해야 하며 문자, 숫자, 밑줄만 포함할 수 있습니다.

   • TITLE은 인간이 읽을 수 있는 제목입니다. 이 제목은 정책에 고유해야 합니다.

   • POLICY는 조직의 액세스 정책 ID입니다. 기본 정책이 설정된 경우 이 매개변수는 선택사항입니다.

   다음과 비슷한 출력이 표시됩니다.

   Create request issued for: NAME
   Waiting for operation [accessPolicies/POLICY/accessLevels/NAME/create/1521594488380943] to complete...done.
   Created level NAME.
   

API

1. OS 제약 조건이 있는 기기 정책이 포함된 AccessLevel 리소스를 만드는 요청 본문을 작성합니다.

   이 예에서는 Chrome OS 및 Windows의 허용 가능한 최소 버전을 사용하는 기기만 허용하기 위해 요청 본문에 다음을 입력합니다.

   {
    "name": "NAME",
    "title": "TITLE",
    "basic": {
      "conditions": [
        {
          "devicePolicy": {
            "osConstraints": [
              {
                "osType": "DESKTOP_CHROME_OS",
                "minimumVersion": "11316.165.0"
              },
              {
                "osType": "DESKTOP_WINDOWS",
                "minimumVersion": "10.0.1809"
              }
            ]
         }
        }
      ]
     }
   }

   각 항목의 의미는 다음과 같습니다.

   • NAME은 액세스 수준의 고유한 이름입니다. 이 이름은 문자로 시작해야 하며 문자, 숫자, 밑줄만 포함할 수 있습니다.

   • TITLE은 인간이 읽을 수 있는 제목입니다. 이 제목은 정책에 고유해야 합니다.

2. accessLevels.create를 호출하여 액세스 수준을 만듭니다.

   POST https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY/accessLevels
   

   각 항목의 의미는 다음과 같습니다.

   • POLICY는 조직의 액세스 정책 ID입니다.

콘솔

현재 Google Cloud 콘솔은 액세스 수준에 주 구성원을 추가할 수 없습니다. 액세스 수준에 주 구성원을 추가하려면 gcloud 명령줄 도구 또는 API를 사용해야 합니다.

gcloud

1. 액세스 권한을 제공할 주 구성원을 나열하는 조건이 포함된 YAML 파일을 만듭니다.

   시스템 관리자(sysadmin@example.com)와 서비스 계정(service@project.iam.gserviceaccount.com)을 추가합니다.

   - members:
       - user:sysadmin@example.com
       - serviceAccount:service@project.iam.gserviceaccount.com
   

2. 이 액세스 수준에 포함할 기존 액세스 수준을 나열하는 조건을 추가합니다.

   이 예시에서는 액세스 수준 이름이 Device_Trust 및 IP_Trust이고 247332951433이 액세스 정책 이름이라고 가정합니다.

   - members:
       - user:sysadmin@example.com
       - serviceAccount:service@project.iam.gserviceaccount.com
   
   - requiredAccessLevels:
       - accessPolicies/247332951433/accessLevels/Device_Trust
       - accessPolicies/247332951433/accessLevels/IP_Trust
   

3. 파일을 저장합니다. 이 예에서 이 파일의 이름은 CONDITIONS.yaml입니다.

4. create 명령어를 사용하여 액세스 수준을 만듭니다.

   gcloud access-context-manager levels create NAME \
      --title TITLE \
      --basic-level-spec CONDITIONS.yaml \
      --combine-function=OR \
      --policy=POLICY

   각 항목의 의미는 다음과 같습니다.

   • NAME은 액세스 수준의 고유한 이름입니다. 이 이름은 문자로 시작해야 하며 문자, 숫자, 밑줄만 포함할 수 있습니다.

   • TITLE은 인간이 읽을 수 있는 제목입니다. 이 제목은 정책에 고유해야 합니다.

   • POLICY는 조직의 액세스 정책 ID입니다. 기본 정책이 설정된 경우 이 매개변수는 선택사항입니다.

   • combine-function가 OR로 설정되어 있습니다. 기본값 AND에서는 모든 조건이 충족되어야 액세스 수준이 부여됩니다. OR 값은 다른 조건이 충족되지 않더라도 주 구성원에게 액세스 권한을 부여합니다.

   다음과 비슷한 출력이 표시됩니다.

   Create request issued for: NAME
   Waiting for operation [accessPolicies/POLICY/accessLevels/NAME/create/1521594488380943] to complete...done.
   Created level NAME.
   

API

1. 액세스 권한을 제공할 주 구성원을 나열하는 조건이 포함된 AccessLevel 리소스를 만드는 요청 본문을 작성합니다.

   이 예시에서는 시스템 관리자(sysadmin@example.com)와 서비스 계정(service@project.iam.gserviceaccount.com)을 추가하려 합니다.

   {
    "name": "NAME",
    "title": "TITLE",
    "basic": {
      "conditions": [
        {
          "members": [
            "user:sysadmin@example.com",
            "serviceAccount:service@project.iam.gserviceaccount.com"
          ]
        }
      ]
    }
   }

   각 항목의 의미는 다음과 같습니다.

   • NAME은 액세스 수준의 고유한 이름입니다. 이 이름은 문자로 시작해야 하며 문자, 숫자, 밑줄만 포함할 수 있습니다.

   • TITLE은 인간이 읽을 수 있는 제목입니다. 이 제목은 정책에 고유해야 합니다.

2. 이 액세스 수준에 포함할 기존 액세스 수준을 나열하는 조건을 추가합니다.

   이 예시에서는 액세스 수준 이름이 Device_Trust 및 IP_Trust이고 247332951433이 액세스 정책 이름이라고 가정합니다.

   {
    "name": "NAME",
    "title": "TITLE",
    "basic": {
      "conditions": [
        {
          "members": [
            "user:sysadmin@example.com",
            "serviceAccount:service@project.iam.gserviceaccount.com"
          ]
        },
        {
          "requiredAccessLevels": [
            "accessPolicies/247332951433/accessLevels/Device_Trust",
            "accessPolicies/247332951433/accessLevels/IP_Trust"
          ]
        }
      ]
    }
   }

3. combiningFunction을 OR로 설정합니다.

   combiningFunction, AND를 기본값으로 설정하면 모든 조건이 충족되어야만 액세스 수준이 부여됩니다. OR 값으로 설정하면 IP 주소나 다른 필수 액세스 수준에서 상속된 것과 같은 다른 조건이 충족되지 않더라도 주 구성원에게 액세스 권한이 부여됩니다.

   {
    "name": "NAME",
    "title": "TITLE",
    "basic": {
      "conditions": [
        {
          "members": [
            "user:sysadmin@example.com",
            "serviceAccount:service@project.iam.gserviceaccount.com"
          ]
        },
        {
          "requiredAccessLevels": [
            "accessPolicies/247332951433/accessLevels/Device_Trust",
            "accessPolicies/247332951433/accessLevels/IP_Trust"
          ]
        }
      ],
      "combiningFunction": "OR"
    }
   }

4. accessLevels.create를 호출하여 액세스 수준을 만듭니다.

   POST https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY/accessLevels
   

   각 항목의 의미는 다음과 같습니다.

   • POLICY는 조직의 액세스 정책 ID입니다.