1.2.3 员工的使用体验

介绍完BeyondCorp的架构，再来介绍员工在BeyondCorp中的实际体验。

1.网络准入

员工进行802.1x认证之后才能连上内网。认证成功的用户会被分到零信任网络中。认证失败的用户会被分到一个单独网络中。在那里，员工只能访问自助服务以便进行补救。

2.单点登录

无论用户身在谷歌大厦还是咖啡馆，在访问业务系统之前，都会跳转到单点登录页面进行多因子认证。员工需要插入U盾或通过指纹识别进行身份验证，没有通过身份验证的用户只能看到访问代理，看不到后面的业务系统。

3.设备校验

谷歌会向员工的设备后台推送一个设备检测插件。在单点登录和后续的访问过程中，客户端插件会不断检测设备状态。如果员工乱装软件，那么将无法进行单点登录，或者已建立的连接将自动中断。如果设备中了病毒，或者没有更新安全补丁和病毒库，那么系统会提示先修复设备才能继续登录或访问。

4.访问权限

员工只能访问得到授权的业务系统，如果某人的岗位是开发工程师，那么他是无法访问财务系统的。当然，某些系统开放了申请通道。例如，开发工程师在访问有Bug的系统时，如果没有权限，那么系统会在相应页面提示用户申请权限。

5.风险检测

BeyondCorp中有一个信任等级的概念。如果员工从一个新的位置登录，那么虽然这个行为有些风险，会降低一些信任分数，但是员工仍然可以正常登录，系统会给员工发送一个风险通知。

如果员工连续做了多个可疑操作，那么当信任分数降低到不满足当前级别的要求时，员工的权限会发生变化。当员工的信任等级为中等级时，可以访问一些低敏的业务系统，使用自助服务恢复自身的等级。如果员工的信任等级为极低等级，那么员工会被彻底隔离，无法接入网络。

图1-5