שליטה בהרשאות הגישה ל-API באמצעות הענקת גישה ברמת הדומיין

• מוודאים שיש לכם הרשאות סופר-אדמין בחשבון Google Workspace.
• מומלץ לעיין בשיטות המומלצות להענקת גישה ברמת הדומיין ובשיטות המומלצות לשימוש בחשבונות שירות.
• בודקים את רשימת היקפי ההרשאות של ה-API שנדרשים לאפליקציה או לחשבון השירות. בודקים שלחשבון השירות או לאפליקציה יש היקף גישה קטן ככל האפשר.
• (אם מעניקים הרשאה לאפליקציית OAuth) מקבלים את מזהה הלקוח ב-OAuth ממפתח האפליקציה.
• (אם מבצעים הקצאת הרשאות לחשבון שירות) מקבלים את מזהה הלקוח של חשבון השירות. אם אתם הבעלים של חשבון השירות, תוכלו למצוא את המזהה באופן הבא:
  1. נכנסים אל Google Cloud כסופר-אדמין.
  2. לוחצים על IAM & Admin (ניהול הרשאות וגישה)Service accounts (חשבונות שירות)[name of your service account] (שם חשבון השירות).
  3. מרחיבים את הגדרות מתקדמות ומעתיקים את מזהה הלקוח.
• הענקת גישה ברמת הדומיין מאפשרת לאפליקציה לגשת לנתונים ששייכים לכל המשתמשים. מומלץ להגדיר בדיקה קבועה של חשבונות שירות ולמחוק חשבונות שכבר לא נמצאים בשימוש.

1. במסוף Google Admin, נכנסים לתפריט אבטחהשליטה בגישה ובנתוניםאמצעי בקרה לממשקי APIניהול הענקת גישה ברמת הדומיין.

   מעבר אל 'ניהול של הענקת גישה ברמת הדומיין'

   כדי לבצע את המשימה הזו אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

2. לוחצים על הוספת חדש.
3. מזינים את מזהה הלקוח של חשבון השירות או של לקוח OAuth2.
4. בקטע OAuth Scopes (היקפי הרשאות ל-OAuth), מוסיפים כל היקף הרשאות שהאפליקציה יכולה לגשת אליו (ההיקף צריך להיות מצומצם ככל האפשר). אפשר להשתמש בכל אחד מהיקפי ההרשאות של OAuth 2.0 ל-Google APIs. לדוגמה, אם לאפליקציה נדרשת גישה ל-Google Drive API ול-Google Calendar API ברמת הדומיין, מזינים את הכתובות https://www.googleapis.com/auth/drive ו-https://www.googleapis.com/auth/calendar.
5. לוחצים על Authorize. אם מופיעה שגיאה, יכול להיות שמזהה הלקוח לא רשום ב-Google או שיש היקפים כפולים או לא נתמכים.

   הערה: אם קבלת אישור ממספר משתמשים מופעלת בארגון שלכם, כדי לאשר הענקת הרשאות ברמת הדומיין לאפליקציית לקוח, צריך לקבל אישור מסופר-אדמין אחר.

6. מצביעים על מזהה הלקוח החדש, לוחצים על הצגת פרטים ומוודאים שכל היקף מופיע ברשימה.

   אם היקף ההרשאות לא מופיע, לוחצים על עריכה, מזינים את היקף ההרשאות החסר ולוחצים על אישור. אי אפשר לערוך את מזהה הלקוח.

מומלץ לבדוק מדי פעם את היקפי ההרשאות של האפליקציה ולהסיר היקפי הרשאות שלא נדרשים או שלא נמצאים בשימוש פעיל. כדאי גם למחוק לקוחות שכבר לא צריך. לדוגמה, אפשר להסיר את הגישה לכלי להעברה אחרי שההעברה תושלם.

1. במסוף Google Admin, נכנסים לתפריט אבטחהשליטה בגישה ובנתוניםאמצעי בקרה לממשקי APIניהול הענקת גישה ברמת הדומיין.

   מעבר אל 'ניהול של הענקת גישה ברמת הדומיין'

   כדי לבצע את המשימה הזו אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

2. לוחצים על שם הלקוח ובוחרים באחת מהאפשרויות:

• הצגת הפרטים – הצגת השם המלא של הלקוח ורשימת ההיקפים
• עריכה – הוספה או הסרה של היקפי הרשאות. אי אפשר לערוך את מזהה הלקוח. יכול להיות שיחלפו 24 שעות עד שהשינויים ייכנסו לתוקף, אבל בדרך כלל זה קורה מהר יותר. מידע נוסף
• מחיקה – אפליקציות שתלויות בהרשאת הלקוח יפסיקו לפעול באופן מיידי.

  הערה: אם קבלת אישור ממספר משתמשים מופעלת בארגון שלכם, כדי לערוך את היקפי ההרשאות או למחוק את ההרשאה להעברת סמכויות ברמת הדומיין לאפליקציית לקוח, צריך לקבל אישור מסופר-אדמין אחר.