跳至主內容
English (United States) 日本語 简体中文

[Access Control] 撰寫存取條件式的方法

概要

本文將說明負責 Access Control 初期設定與運營管理的管理者，在進行存取控制設定時的條件式編寫方法。

注意事項

  1. 本文章內容係根據 2026 年 4 月時的產品規格製作，日後可能會在未經預告的情況下變更。
  2. 實際確認畫面或變更設定時，需具備 Access Control 的全域管理員權限。
  3. 關於如何存取管理介面，請參考以下文章。
    　Access Control 管理介面存取方式
  4. 存取條件式請全部以半形小寫撰寫。

步驟 

於下列兩個項目進行設定時，請使用本文章所記載的條件式進行撰寫。

1. [Access Control] 存取原則模板的建立 / 編輯
2. 通行證發行條件

1. 可撰寫的存取條件式

可透過下列描述及其組合來撰寫存取條件式，實現對使用者存取所需的條件限制。

IPv4 範圍+

ip4:{{CIDR 表示法指定}} ：當從指定的全域 IP 位址存取時，判斷為「允許」。
@{{IP 位址群組 ID}}@ ：當從指定的 IP 位址群組內的 IP 位址存取時，判斷為「允許」。

※ CIDR 參考資訊：Classless Inter-Domain Routing
※ 目前尚未支援 IPv6。

關於 IP 位址群組的建立方法，請參考以下文章。
建立 IP 位址群組

【使用範例 1】

ip4:1.1.1.1　

若嘗試登入的使用者來源全域 IP 位址為 1.1.1.1，則判斷為「允許」。

【使用範例 2】

ip4:1.1.1.1/25　

若嘗試登入的使用者來源全域 IP 位址在 1.1.1.1/25 範圍內，則判斷為「允許」。

※ 若為「/32」時可省略。

【使用範例 3】

@office_tokyo@

若嘗試登入的使用者來源全域 IP 位址在 office_tokyo 的 IP 位址群組所註冊的 IP 位址範圍內，則判斷為「允許」。

裝置憑證 / 租戶憑證存取+

※ 存取原則群組 設定項目 [允許舊版認證的條件] 無法使用。
有兩種描述方式的條件，無論使用哪一種描述，行為皆相同，請依需求選擇。

條件 描述方式 1
(建議)		 描述方式 2 備注
允許使用裝置憑證或租戶憑證存取 cert:any 不存在 －
允許使用裝置憑證存取 device_cert:any 不存在 無法使用租戶憑證登入。
允許使用租戶憑證存取 cert:tenant 不存在 無法使用裝置憑證登入。
允許使用個人憑證類型的裝置憑證存取 cert:personal device_cert:personal －
允許使用聯合憑證類型的裝置憑證存取 cert:shared device_cert:shared －
允許使用信用憑證類型的裝置憑證存取 cert:passwordless device_cert:passwordless －
未使用裝置憑證及租戶憑證時允許存取 cert:none 不存在 －
未使用裝置憑證時允許存取 device_cert:none 不存在 －

Secure Browser 存取+

※ 存取原則群組 設定項目 [允許舊版認證的條件] 無法使用。

hsb:{{true / false}}

【使用範例】

hsb:true

若為使用 Secure Browser 存取時，則判斷為「允許」。

通行證有無+

※ 存取原則群組 設定項目 [允許舊版認證的條件] 無法使用。

has_pass:{{true / false}}

【使用範例】

has_pass:true

若嘗試登入的使用者瀏覽器已配發通行證時，則判斷為「允許」。

通行證發行後經過天數+

※ 存取原則群組 設定項目 [允許舊版認證的條件] 無法使用。

has_pass_within:{{天數}}

【使用範例】

has_pass_within:30

若嘗試登入的使用者瀏覽器內有發行於 30 天內的通行證 Cookie，則判斷為「允許」。

使用者名稱+

login_name:{{Access Control 使用者名稱}} ：當特定使用者名稱登入時，判斷為「允許」。

【使用範例】 

login_name:admin

若嘗試登入的使用者名稱為 "admin" 時，則判斷為「允許」。

時間範圍+

time:HHmm-HHmm:TZ

※ 包含所指定時間範圍的兩端。
※ 若省略 ":TZ"（時區），則預設為 UTC。

【使用範例】

time:0900-1800:Asia/Taipei

若嘗試登入的使用者登入時間為台灣時間 9 點至 18 點時，則判斷為「允許」。

日期範圍+

date:YYYYMMDD-YYYYMMDD:TZ
date:MMDD-MMDD:TZ

※ 包含所指定時間範圍的兩端。
※ 若省略 ":TZ"（時區），則預設為 UTC。

【使用範例】

date:20200101-20200131:Asia/Taipei

若嘗試登入的使用者登入時間為台灣時間 2020 年 1 月 1 日至 2020 年 1 月 31 日時，則判斷為「允許」。

星期+

day:{{英文星期縮寫}}:TZ

※ 英文星期縮寫：sun, mon, tue, wed, thu, fri, sat
※ 若省略 ":TZ"（時區），則預設為 UTC。

【使用範例】

day:wed:Asia/Taipei

若嘗試登入的使用者登入時間為台灣時間的星期三時，則判斷為「允許」。

自定義的使用者屬性+

attribute:(ATTRIBUTE_IDENTIFIER):"(Value)"

可利用已建立的自定義的使用者屬性進行存取控制。
可依下列格式新增至存取條件式。

(ATTRIBUTE_IDENTIFIER) 請設定為建立自定義的使用者屬性時所指定的 ID。
關於自定義的使用者屬性的建立方法，請參考以下文章。

建立 / 編輯自定義的使用者屬性

(Value) 請設定為作為存取條件所指定的自定義的使用者屬性值。

【使用範例】

若自定義的使用者屬性 ID 設為「custom_user_attribute」，並希望允許該屬性值為 [allowed_user] 的使用者存取時

attribute:custom_user_attribute:"allowed_user"

2. 可用的運算子與其他說明

邏輯運算子（二元）+

and ：當存取狀況同時符合左右兩側條件式時，判斷為「允許」。

【使用範例】

ip4:1.1.1.1 and device_cert:any

「來源全域 IP 位址為 1.1.1.1」且「使用裝置憑證」存取時，判斷為「允許」。

or ：左右條件式中，只要有一項符合存取狀況時，判斷為「允許」。

【使用範例 1】

ip4:1.1.1.1 or ip4:2.2.2.2

「來源全域 IP 位址為 1.1.1.1」或「來源全域 IP 位址為 2.2.2.2」其中之一條件符合時，判斷為「允許」。

【使用範例 2】

ip4:1.1.1.1 or device_cert:any

「來源全域 IP 位址為 1.1.1.1」或「使用裝置憑證」其中之一條件符合時，判斷為「允許」。

【使用範例 3】

@office_tokyo@ or device_cert:any

「來源全域 IP 位址在 office_tokyo 的 IP 位址群組範圍內」或「使用裝置憑證」其中之一條件符合時，判斷為「允許」。

邏輯否定運算子（單元）+

not ：否定右側條件式的結果。（not true 為「拒絕」，not false 為「允許」。）

【使用範例】

not ip4:1.1.1.1

「來源全域 IP 位址不是 1.1.1.1」時，判斷為「允許」。

條件式分組+

() ：將括號內的部分分組，優先處理括號內的條件式。

【使用範例】

(ip4:1.1.1.1 or ip4:2.2.2.2) and device_cert:any

Access Control 會先計算 (ip4:1.1.1.1 or ip4:2.2.2.2) ，再以其結果與剩餘條件式 and device_cert:any 進行最終結果運算。例如，若使用者來源全域 IP 位址為 1.1.1.1，且使用 HENNGE 裝置憑證存取時，則為 ("true" or "false") and "true"，結果為「允許」。

相關文章 

・Access Control 管理員說明