메뉴
实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。
기본적으로 소스를 먼저 확인하는 Prompt가 선택됩니다. 직접 명령으로 전환하거나 로컬 사본을 다운로드할 수도 있습니다.
설치 여부를 결정하기 전에 SKILL.md와 SkillsMP에 표시된 보조 파일을 읽어 보세요.
SOC 직업 분류 기준
Codex 또는 Claude로 설치 이 Prompt를 복사해 Codex, Claude 또는 다른 어시스턴트에 붙여 넣으면 Skill 페이지를 검토하고 설치를 진행할 수 있습니다.
직접 명령은 검토 Prompt를 거치지 않습니다. 실행하기 전에 소스를 확인하세요.
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill implementing-beyondcorp-zero-trust-access-model명령은 한 줄로 유지됩니다. 복사하기 전에 가로로 스크롤해 전체 내용을 확인하세요.
로컬 사본을 원하시나요? SkillsMP에서 현재 제공할 수 있는 파일을 다운로드하세요.
SKILL.md 표시 중
通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。
在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。
攻击活动溯源归因分析涉及系统性地评估证据，以确定哪个威胁行为者或组织对某次网络行动负责。本技能涵盖使用 Diamond Model 和 ACH（竞争假设分析）收集并加权溯源归因指标、分析基础设施重叠、TTP 一致性、恶意软件代码相似性、操作时序模式和语言痕迹，以构建置信度加权的溯源归因评估。
| name | implementing-beyondcorp-zero-trust-access-model |
| description | 实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。 |
| domain | cybersecurity |
| subdomain | zero-trust-architecture |
| tags | ["beyondcorp","zero-trust","zero-trust-architecture","google-cloud","iap","identity-aware-proxy","ztna","access-context-manager","vpn-replacement","remote-access-security","device-trust"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
不适用于需要原始网络级访问的应用（如 IAP 不支持的基于 UDP 的协议）、面向消费者的公开应用，或组织缺乏具有 MFA 能力的身份提供商的场景。
定义代表信任级别的访问级别，基于设备和用户属性。
# 启用所需 API
gcloud services enable iap.googleapis.com
gcloud services enable accesscontextmanager.googleapis.com
gcloud services enable beyondcorp.googleapis.com
# 创建访问策略（组织级别）
gcloud access-context-manager policies create \
--organization=ORG_ID \
--title="BeyondCorp Enterprise Policy"
# 为企业托管设备创建基本访问级别
cat > corporate-device-level.yaml << 'EOF'
- devicePolicy:
allowedEncryptionStatuses:
- ENCRYPTED
osConstraints:
- osType: DESKTOP_CHROME_OS
minimumVersion: "13816.0.0"
- osType: DESKTOP_WINDOWS
minimumVersion: "10.0.19045"
- osType: DESKTOP_MAC
minimumVersion: "13.0.0"
requireScreenlock: true
requireAdminApproval: true
regions:
- US
- GB
- DE
EOF
gcloud access-context-manager levels create corporate-managed \
--policy=POLICY_ID \
--title="Corporate Managed Device" \
--basic-level-spec=corporate-device-level.yaml
# 使用 CEL 表达式创建自定义访问级别
gcloud access-context-manager levels create high-trust \
--policy=POLICY_ID \
--title="High Trust Level" \
--custom-level-spec=high-trust-cel.yaml
验证检查点：运行 gcloud access-context-manager levels list --policy=POLICY_ID 确认访问级别已正确创建。如创建失败，检查组织 ID 和策略权限（需要 accesscontextmanager.policies.create 权限）。
回滚：使用 gcloud access-context-manager levels delete LEVEL_NAME --policy=POLICY_ID 删除错误配置的访问级别。
在后端服务上启用 IAP，在授予访问前强制执行身份验证。
# 创建 OAuth 同意屏幕
gcloud iap oauth-brands create \
--application_title="Corporate Applications" \
--support_email=security@company.com
# 为 IAP 创建 OAuth 客户端
gcloud iap oauth-clients create BRAND_NAME \
--display_name="BeyondCorp IAP Client"
# 在后端服务上启用 IAP（GCE/GKE 在 HTTPS 负载均衡器后方）
gcloud compute backend-services update internal-app-backend \
--iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET \
--global
# 在 App Engine 上启用 IAP
gcloud iap web enable \
--resource-type=app-engine \
--oauth2-client-id=CLIENT_ID \
--oauth2-client-secret=CLIENT_SECRET
# 在 Cloud Run 服务上启用 IAP
gcloud run services add-iam-policy-binding internal-api \
--member="serviceAccount:service-PROJECT_NUM@gcp-sa-iap.iam.gserviceaccount.com" \
--role="roles/run.invoker" \
--region=us-central1
验证检查点：运行 gcloud iap web get-iam-policy --resource-type=backend-services --service=internal-app-backend 确认 IAP 已启用。通过浏览器访问应用 URL，应出现 Google 登录页面。
回滚：使用 gcloud compute backend-services update internal-app-backend --no-iap --global 禁用 IAP 恢复原始访问方式。
将 IAP 访问与具有访问级别要求的特定组绑定。
# 授予工程团队访问权限，要求企业设备
gcloud iap web add-iam-policy-binding \
--resource-type=backend-services \
--service=internal-app-backend \
--member="group:engineering@company.com" \
--role="roles/iap.httpsResourceAccessor" \
--condition="expression=accessPolicies/POLICY_ID/accessLevels/corporate-managed,title=Require Corporate Device"
# 授予承包商访问权限，要求高信任级别
gcloud iap web add-iam-policy-binding \
--resource-type=backend-services \
--service=internal-app-backend \
--member="group:contractors@company.com" \
--role="roles/iap.httpsResourceAccessor" \
--condition="expression=accessPolicies/POLICY_ID/accessLevels/high-trust,title=Require High Trust"
# 配置重新认证设置（会话时长）
gcloud iap settings set --project=PROJECT_ID \
--resource-type=compute \
--service=internal-app-backend \
--reauth-method=LOGIN \
--max-session-duration=3600s
验证检查点：使用测试用户访问受保护应用，验证符合访问级别的用户可访问，不符合的用户被拒绝。检查 gcloud logging read 'resource.type="iap_tunnel"' --limit=5 确认访问决策日志正常。
回滚：使用 gcloud iap web remove-iam-policy-binding 移除错误的 IAM 条件绑定。注意：先在非生产环境测试条件表达式。
推出 Chrome Enterprise Endpoint Verification（端点验证）以收集设备态势数据。
# 通过 Chrome 策略部署端点验证（托管浏览器）
# 在 Google 管理控制台 > 设备 > Chrome > 应用和扩展程序中
# 强制安装：Endpoint Verification 扩展 ID：callobklhcbilhphinckomhgkigmfocg
# 通过 Admin SDK 验证设备清单
gcloud endpoint-verification list-endpoints \
--filter="deviceType=CHROME_BROWSER" \
--format="table(deviceId, osVersion, isCompliant, encryptionStatus)"
# 为第三方 EDR 信号创建设备信任连接器
gcloud beyondcorp app connections create crowdstrike-connector \
--project=PROJECT_ID \
--location=global \
--application-endpoint=host=crowdstrike-api.internal:443,port=443 \
--type=TCP_PROXY_TUNNEL \
--connectors=projects/PROJECT_ID/locations/us-central1/connectors/connector-1
# 列出已注册设备及其合规状态
gcloud alpha devices list --format="table(name,deviceType,complianceState)"
验证检查点：运行 gcloud alpha devices list --format="table(name,deviceType,complianceState)" --limit=10 确认设备已注册并报告合规状态。预留 1-2 周设备注册引导期再强制执行设备态势要求。
为 Chrome Enterprise 用户启用 URL 过滤、恶意软件扫描和 DLP。
# 在 Google 管理控制台 > 安全 > Chrome Enterprise Premium 中配置威胁防护规则
# 为本地应用创建 BeyondCorp Enterprise 连接器
gcloud beyondcorp app connectors create onprem-connector \
--project=PROJECT_ID \
--location=us-central1 \
--display-name="On-Premises App Connector"
gcloud beyondcorp app connections create hr-portal \
--project=PROJECT_ID \
--location=us-central1 \
--application-endpoint=host=hr.internal.company.com,port=443 \
--type=TCP_PROXY_TUNNEL \
--connectors=projects/PROJECT_ID/locations/us-central1/connectors/onprem-connector
# 启用安全调查工具进行访问异常检测
gcloud logging read '
resource.type="iap_tunnel"
jsonPayload.decision="DENY"
timestamp >= "2026-02-22T00:00:00Z"
' --project=PROJECT_ID --format=json --limit=100
验证检查点：运行 gcloud beyondcorp app connections list --project=PROJECT_ID --location=us-central1 验证连接器状态为 ACTIVE。通过内部网络测试本地应用是否可通过 IAP 隧道访问。
回滚：使用 gcloud beyondcorp app connections delete CONNECTION_NAME --project=PROJECT_ID --location=us-central1 删除错误配置的连接。本地应用将恢复为直接内网访问。
为零信任策略执行设置全面的日志记录和告警。
# 为 IAP 访问决策创建日志接收器
gcloud logging sinks create iap-access-audit \
--destination=bigquery.googleapis.com/projects/PROJECT_ID/datasets/beyondcorp_audit \
--log-filter='resource.type="iap_tunnel" OR resource.type="gce_backend_service"'
# 通过 BigQuery 查询访问模式分析
bq query --use_legacy_sql=false '
SELECT
protopayload_auditlog.authenticationInfo.principalEmail AS user,
resource.labels.backend_service_name AS application,
JSON_EXTRACT_SCALAR(protopayload_auditlog.requestMetadata.callerSuppliedUserAgent, "$") AS device,
protopayload_auditlog.status.code AS decision_code,
COUNT(*) AS request_count
FROM `PROJECT_ID.beyondcorp_audit.cloudaudit_googleapis_com_data_access`
WHERE timestamp > TIMESTAMP_SUB(CURRENT_TIMESTAMP(), INTERVAL 24 HOUR)
GROUP BY user, application, device, decision_code
ORDER BY request_count DESC
LIMIT 50
'
# 为重复访问拒绝创建告警策略
gcloud alpha monitoring policies create \
--display-name="BeyondCorp Repeated Access Denials" \
--condition-display-name="High denial rate" \
--condition-filter='resource.type="iap_tunnel" AND jsonPayload.decision="DENY"' \
--condition-threshold-value=10 \
--condition-threshold-duration=300s \
--notification-channels=projects/PROJECT_ID/notificationChannels/CHANNEL_ID
场景背景：一家拥有 3000 名员工的科技公司使用 Cisco AnyConnect VPN 访问内部应用。VPN 引入了延迟、造成单点故障，并在认证后授予过多网络访问权限。
方法：
常见陷阱：某些遗留应用可能不支持 HTTPS 代理，需要 TCP 隧道模式。设备注册需要时间；在强制执行设备态势要求前需规划 2 周的引导期。必须创建并测试具有绕过访问级别能力的紧急访问账户，以应对身份提供商中断情况。
BeyondCorp 零信任实施报告
==================================================
组织：TechCorp Inc.
实施日期：2026-02-23
迁移阶段：第 2 阶段（共 3 阶段）
访问架构：
身份提供商：Google Workspace
访问代理：Google Cloud IAP
设备管理：Chrome Enterprise + 端点验证
威胁防护：Chrome Enterprise Premium
本地连接器：BeyondCorp Enterprise Connector（3 个实例）
访问级别覆盖：
访问级别：corporate-managed
已注册设备： 2,847 / 3,000（94.9%）
合规设备： 2,712 / 2,847（95.3%）
访问级别：high-trust
已注册设备： 312 / 350（89.1%）
合规设备： 298 / 312（95.5%）
应用迁移：
GCP HTTPS 应用（IAP 保护）： 32 / 35（91.4%）
本地应用（通过连接器）： 12 / 15（80.0%）
SaaS 应用（通过 SAML/OIDC）： 8 / 8（100%）
总迁移数： 52 / 58（89.7%）
安全指标（过去 30 天）：
总访问请求数： 1,247,832
IAP 策略拒绝： 3,412（0.27%）
访问级别拒绝： 1,208（0.10%）
触发重新认证： 45,219
异常访问模式： 12（已调查）
VPN 相关事件（迁移前）： 8 次/月
BeyondCorp 事件（迁移后）：1 次/月
VPN 下线状态：
剩余并行运行时间： 14 天
仍使用 VPN 的用户：148（5%）
计划下线日期： 2026-03-15