IAP Policy Admin + Access Context Manager Admin

O acesso contextual do GCP tem duas metades: o IAP decide quem alcança a aplicação, e o Access Context Manager define os access levels — dispositivo gerenciado, faixa de IP, região — que a decisão consulta. Somadas numa identidade, a condição deixa de ser um limite externo: quem não satisfaz o nível de acesso reescreve o nível de acesso.

Acesso a aplicação interna a partir de dispositivo ou rede não confiável, com o controle de acesso contextual formalmente ativo e sem nenhum alerta.

• Manter a definição dos access levels numa equipe de segurança corporativa, separada de quem administra o IAP das aplicações.
• Versionar os access levels e exigir revisão de segundo par para qualquer alteração.
• Alertar sobre alteração de access level e de perímetro do VPC Service Controls.
• Revisar periodicamente quais aplicações estão atrás do IAP e com qual nível exigido.

• https://cloud.google.com/iap/docs/concepts-overview
• https://cloud.google.com/access-context-manager/docs/overview