שליטה בהרשאות הגישה ל-API באמצעות הענקת גישה ברמת הדומיין

• מוודאים שיש לכם הרשאות סופר-אדמין בחשבון Google Workspace.
• מומלץ לעיין בשיטות המומלצות להענקת גישה ברמת הדומיין ובשיטות המומלצות לשימוש בחשבונות שירות.
• בודקים את רשימת היקפי ההרשאות של ה-API שנדרשים לאפליקציה או לחשבון השירות. בודקים שלחשבון השירות או לאפליקציה יש היקף גישה קטן ככל האפשר.
• (אם מבצעים הקצאת הרשאות לאפליקציית OAuth) מקבלים את מזהה לקוח OAuth ממפתח האפליקציה.
• (אם מבצעים הקצאת הרשאות לחשבון שירות) מקבלים את מזהה הלקוח של חשבון השירות. אם אתם הבעלים של חשבון השירות, תוכלו למצוא את המזהה שלו באופן הבא:
  1. נכנסים ל-Google Cloud כסופר-אדמין.
  2. לוחצים על IAM & Admin (ניהול הרשאות וגישה) Service accounts (חשבונות שירות) [name of your service account] (שם חשבון השירות).
  3. מרחיבים את הגדרות מתקדמות ומעתיקים את מזהה הלקוח.
• הענקת גישה ברמת הדומיין מאפשרת לאפליקציה לגשת לנתונים ששייכים לכל המשתמשים. מומלץ להגדיר בדיקה קבועה של חשבונות שירות ולמחוק חשבונות שכבר לא בשימוש.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים אמצעי בקרה לממשקי API ניהול הרשאות גישה לכל הדומיין.

   אל 'ניהול מתן הרשאות גישה ברמת הדומיין'

   כדי לעשות את הפעולה הזו, אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

2. לוחצים על הוספה.
3. מזינים את מזהה הלקוח של חשבון השירות או של לקוח OAuth 2.0.
4. בקטע OAuth Scopes (היקפי הרשאות ל-OAuth), מוסיפים כל היקף הרשאות שהאפליקציה יכולה לגשת אליו (ההיקף צריך להיות מצומצם ככל האפשר). אפשר להשתמש בכל אחד מהיקפי ההרשאות של OAuth 2.0 ל-Google APIs. לדוגמה, אם לאפליקציה נדרשת גישה ל-Google Drive API וליומן Google API ברמת הדומיין, מזינים את הכתובות https://www.googleapis.com/auth/drive ו-https://www.googleapis.com/auth/calendar.
5. לוחצים על הרשאה. אם מופיעה שגיאה, יכול להיות שמזהה הלקוח לא רשום ב-Google או שיש היקפי הרשאות כפולים או לא נתמכים.

   הערה: אם קבלת אישור ממספר משתמשים מופעלת בארגון שלכם, כדי לאשר הענקת הרשאה ברמת הדומיין לאפליקציית לקוח נדרש אישור מסופר-אדמין נוסף.

6. מצביעים על מזהה הלקוח החדש, לוחצים על הצגת פרטים ומוודאים שכל היקף מופיע ברשימה.

   אם היקף ההרשאות לא מופיע ברשימה, לוחצים על עריכה, מזינים את היקף ההרשאות החסר ולוחצים על אישור. אי אפשר לערוך את מזהה הלקוח.

מומלץ לבדוק מדי פעם את היקפי ההרשאות של האפליקציה ולהסיר היקפי הרשאות שלא נדרשים או שלא נמצאים בשימוש פעיל. כדאי גם למחוק לקוחות שכבר לא צריך. לדוגמה, אפשר להסיר את הגישה לכלי להעברה אחרי שההעברה מסתיימת.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים אמצעי בקרה לממשקי API ניהול הרשאות גישה לכל הדומיין.

   אל 'ניהול מתן הרשאות גישה ברמת הדומיין'

   כדי לעשות את הפעולה הזו, אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

2. לוחצים על שם של לקוח ובוחרים באחת מהאפשרויות:
   • הצגת הפרטים – הצגת השם המלא של הלקוח ורשימת ההרשאות
   • עריכה – הוספה או הסרה של היקפי הרשאות. אי אפשר לערוך את מזהה הלקוח. השינויים ייכנסו לתוקף תוך 24 שעות (בדרך כלל מהר יותר). מידע נוסף
   • מחיקה – אפליקציות שתלויות בהרשאת הלקוח יפסיקו לפעול באופן מיידי.
     אחרי המחיקה, השם של הלקוח שנמחק משתנה ל-'-' ברשימה API clients.

הערה: אם קבלת אישור ממספר משתמשים מופעלת בארגון, כדי לערוך את ההיקפים או למחוק את ההקצאה של הרשאות ברמת הדומיין לאפליקציית לקוח, צריך לקבל אישור מסופר-אדמין אחר.