שליטה בהרשאות הגישה ל-API באמצעות הענקת גישה ברמת הדומיין

• מוודאים שיש לכם הרשאות סופר-אדמין בחשבון Google Workspace.
• מומלץ לקרוא את השיטות המומלצות להענקת גישה ברמת הדומיין והשיטות המומלצות לשימוש בחשבונות שירות.
• בודקים את רשימת היקפי ההרשאות של ה-API שנדרשים לאפליקציה או לחשבון השירות. בודקים שהיקף הגישה של האפליקציה או של חשבון השירות מצומצם ככל האפשר.
• (אם מקצים אפליקציית OAuth) מקבלים את מזהה הלקוח ב-OAuth ממפתח האפליקציה.
• (אם מקצים חשבון שירות) מקבלים את מזהה הלקוח של חשבון השירות. אם אתם הבעלים של חשבון השירות, אתם יכולים למצוא את המזהה באופן הבא:
  1. נכנסים ל-Google Cloud כסופר-אדמין.
  2. לוחצים על IAM & Admin ‏ Service accounts ‏ [name of your service account].
  3. מרחיבים את ההגדרות המתקדמות ומעתיקים את מזהה הלקוח.
• כשמעניקים גישה ברמת הדומיין, לאפליקציה יש גישה לנתונים של כל המשתמשים. מומלץ להגדיר בדיקה קבועה של חשבונות השירות ולמחוק את החשבונות שכבר לא בשימוש.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים אמצעי בקרה לממשקי API ניהול הענקת גישה ברמת הדומיין.

   אל "ניהול הענקת גישה ברמת הדומיין"

   כדי לבצע את המשימה הזאת אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

2. לוחצים על הוספה.
3. מזינים את מזהה הלקוח של חשבון השירות או של לקוח OAuth 2.0.
4. בקטע OAuth Scopes,מוסיפים כל היקף הרשאות שהאפליקציה יכולה לגשת אליו (ההיקף צריך להיות מצומצם ככל האפשר). אפשר להשתמש בכל אחד מהיקפי ההרשאות של OAuth 2.0 ל-Google APIs. לדוגמה, אם האפליקציה צריכה גישה ברמת הדומיין ל-Google Drive API ול-Google Calendar API, מזינים את הכתובות https://www.googleapis.com/auth/drive ו-https://www.googleapis.com/auth/calendar.
5. לוחצים על הרשאה. אם מופיעה שגיאה, יכול להיות שמזהה הלקוח לא רשום ב-Google או שיש היקפי הרשאות כפולים או לא נתמכים.

   הערה: אם בארגון שלכם מופעלת ההגדרה אישור על ידי מספר משתמשים, כדי לאשר הענקת גישה ברמת הדומיין לאפליקציית לקוח נדרש אישור של סופר-אדמין נוסף.

6. מצביעים על מזהה הלקוח החדש, לוחצים על הצגת פרטים ומוודאים שכל היקף הרשאות מופיע ברשימה.

   אם היקף הרשאות מסוים לא מופיע ברשימה, לוחצים על Edit, מזינים את היקף ההרשאות החסר ולוחצים על Authorize. אי אפשר לערוך את מזהה הלקוח.

מומלץ לבדוק מדי פעם את היקפי ההרשאות של האפליקציה ולהסיר את אלה שלא נדרשים או לא נמצאים בשימוש פעיל. בנוסף, כדאי למחוק לקוחות שכבר לא צריך. לדוגמה, להסיר את הגישה לכלי להעברת נתונים אחרי שההעברה מסתיימת.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים אמצעי בקרה לממשקי API ניהול הענקת גישה ברמת הדומיין.

   אל "ניהול הענקת גישה ברמת הדומיין"

   כדי לבצע את המשימה הזאת אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

2. לוחצים על שם של לקוח ובוחרים אפשרות:
   • הצגת פרטים – הצגת השם המלא של הלקוח ורשימת ההיקפים
   • עריכה – הוספה או הסרה של היקפים. אי אפשר לערוך את מזהה הלקוח. השינויים ייכנסו לתוקף תוך 24 שעות (בדרך כלל מהר יותר). מידע נוסף
   • מחיקה – אפליקציות שתלויות בהרשאת הלקוח יפסיקו לפעול באופן מיידי.
     אחרי המחיקה, השם של הלקוח שנמחק משתנה ל-"-" ברשימה לקוחות API.

הערה: אם בארגון שלכם מופעלת ההגדרה קבלת אישור ממספר משתמשים, כדי לערוך את ההיקפים או למחוק את ההגדרה של הענקת גישה ברמת הדומיין לאפליקציית לקוח, צריך לקבל אישור מסופר-אדמין אחר.