控制哪些应用可以访问 Google Workspace 数据

• https://mail.google.com/
• https://www.googleapis.com/auth/gmail.compose
• https://www.googleapis.com/auth/gmail.insert
• https://www.googleapis.com/auth/gmail.metadata
• https://www.googleapis.com/auth/gmail.modify
• https://www.googleapis.com/auth/gmail.readonly
• https://www.googleapis.com/auth/gmail.send
• https://www.googleapis.com/auth/gmail.settings.basic
• https://www.googleapis.com/auth/gmail.settings.sharing

如需详细了解 Gmail 范围，请参阅选择 Gmail API 范围。

• https://www.googleapis.com/auth/documents
• https://www.googleapis.com/auth/documents.readonly
• https://www.googleapis.com/auth/drive
• https://www.googleapis.com/auth/drive.activity
• https://www.googleapis.com/auth/drive.activity.readonly
• https://www.googleapis.com/auth/drive.admin
• https://www.googleapis.com/auth/drive.admin.labels
• https://www.googleapis.com/auth/drive.admin.labels.readonly
• https://www.googleapis.com/auth/drive.admin.readonly
• https://www.googleapis.com/auth/drive.admin.shareddrive
• https://www.googleapis.com/auth/drive.admin.shareddrive.readonly
• https://www.googleapis.com/auth/drive.apps
• https://www.googleapis.com/auth/drive.apps.readonly
• https://www.googleapis.com/auth/drive.categories.readonly
• https://www.googleapis.com/auth/drive.labels.readonly
• https://www.googleapis.com/auth/drive.meet.readonly
• https://www.googleapis.com/auth/drive.metadata
• https://www.googleapis.com/auth/drive.metadata.readonly
• https://www.googleapis.com/auth/drive.photos.readonly
• https://www.googleapis.com/auth/drive.readonly
• https://www.googleapis.com/auth/drive.scripts
• https://www.googleapis.com/auth/drive.teams
• https://www.googleapis.com/auth/forms.body
• https://www.googleapis.com/auth/forms.body.readonly
• https://www.googleapis.com/auth/forms.currentonly
• https://www.googleapis.com/auth/forms.responses.readonly
• https://www.googleapis.com/auth/presentations
• https://www.googleapis.com/auth/presentations.readonly
• https://www.googleapis.com/auth/script.addons.curation
• https://www.googleapis.com/auth/script.projects
• https://www.googleapis.com/auth/sites
• https://www.googleapis.com/auth/sites.readonly
• https://www.googleapis.com/auth/spreadsheets
• https://www.googleapis.com/auth/spreadsheets.readonly

如需详细了解范围，请参阅：

• 选择 Google Drive API 范围。
• 选择 Google Docs API 范围。
• 选择 Google Forms API 范围（版本 1）。
• 选择 Google Sheets API 范围。
• 选择 Google Slides API 范围。

• https://www.googleapis.com/auth/chat.delete
• https://www.googleapis.com/auth/chat.import
• https://www.googleapis.com/auth/chat.messages
• https://www.googleapis.com/auth/chat.messages.readonly

如需详细了解 Chat 范围，请参阅 Chat API 范围。

1. 在 Google 管理控制台中，依次前往“菜单”图标 安全性访问权限和数据控件API 控件。

   前往“API 控件”

   需要拥有“服务设置”管理员权限。

2. 点击管理应用访问权限。
3. 在已配置的应用列表或访问过的应用列表中，将鼠标指向某个应用，然后点击更改访问权限。您也可以勾选多个应用旁边的复选框，然后点击列表顶部的更改访问权限。
4. 选择要配置访问权限的组织部门：
   • 如要将设置应用于所有用户，请将顶级组织部门保持为已选中状态。
   • 如要将其应用于特定组织部门，请点击选择组织部门包括组织，然后选择特定组织部门。
5. 点击下一步。
6. 根据需要选择操作步骤：
   • 受信任 - 可以访问所有 Google 服务（受限和不受限）。Google 自有应用（例如 Chrome 浏览器）会自动获得信任，无法配置为受信任的应用。
     （可选）要让所选应用保留对 Google Workspace 服务的 API 访问权限（即使这些服务具有适用于 API 访问权限的情境感知访问权限政策），请选择免于按情境感知访问权限级别屏蔽 API 访问。此选项仅适用于使用 OAuth 客户端 ID 添加的 Web、Android 或 iOS 应用。选择此选项并不会自动使应用不受 API 访问权限的约束。此外，您还需要在分配情境感知访问权限级别时豁免相应应用。此豁免仅适用于您在第 5 步中指定的组织部门。
   • 受限：只能访问不受限的 Google 服务。
   • 特定 Google 数据 - 只能请求访问您在配置应用时指定的范围内的数据。
     注意：您必须添加应用所需的 Google 登录范围，以允许用户使用其 Google 账号进行登录。
   • 已屏蔽 - 无法访问任何 Google 服务。
     如果您将某个应用列入了设备的许可名单，但同时使用 API 控件屏蔽了该应用，则系统会屏蔽该应用。通过 API 控件屏蔽应用的操作会覆盖将应用列入许可名单的操作。

   提示：如需取消配置应用，请使用批量添加和配置第三方应用中所述的 CSV 上传选项。

7. 点击下一步。
8. 检查范围和访问权限设置，然后点击更改访问权限。

观看视频

更改应用访问权限

1. 在 Google 管理控制台中，依次前往“菜单”图标 安全性访问权限和数据控件API 控件。

   前往“API 控件”

   需要拥有“服务设置”管理员权限。

2. 点击管理应用访问权限。
3. 在已配置的应用列表或访问过的应用列表中，点击您想更改访问权限的应用。
4. 点击对 Google 数据的访问权限部分。
5. 点击要为相应应用设置数据访问权限的群组或组织部门。默认情况下，系统会选中顶级组织部门，相应更改会应用于整个组织。
6. 选择数据访问权限级别。
   1. （可选）如需为不同的群组或组织部门应用不同的设置，请根据需要选择相应选项。例如：
      • 如要禁止某个应用访问您所有用户的数据，请选择您的顶级组织部门，然后选择已屏蔽。
      • 如需仅禁止部分用户访问数据，请将访问权限设置为受信任（对于顶级组织部门）和已屏蔽（对于包括这些用户的下级组织部门）。
7. 点击保存。

1. 在 Google 管理控制台中，依次前往“菜单”图标 安全性访问权限和数据控件API 控件。

   前往“API 控件”

   需要拥有“服务设置”管理员权限。

2. 点击管理应用访问权限。
3. 在已配置的应用部分，点击配置新应用。
4. 输入应用的名称或客户端 ID，然后点击搜索。
5. 点击搜索结果列表中的相应应用。
6. 在范围部分，选择要为哪些对象配置访问权限：
   1. 默认情况下，系统会选中顶级组织部门。选中此选项即可为贵组织中的所有用户设置访问权限。
   2. 如需为特定组织部门配置访问权限，请点击选择组织部门，然后点击包含组织以查看您的组织部门。勾选需要访问权限的每个组织部门对应的复选框，然后点击选择。
7. 点击继续。
8. 在对 Google 数据的访问权限中，选择一个选项：
   • 受信任 - 可以访问所有 Google 服务（受限和不受限）。
     （可选）要让所选应用保留对 Workspace 服务的 API 访问权限（即使这些服务具有适用于 API 访问权限的情境感知访问权限政策），请选择免于按情境感知访问权限级别屏蔽 API 访问。此选项仅适用于使用 OAuth 客户端 ID 添加的 Web、Android 或 iOS 应用。选择此选项并不会自动使应用免于 API 访问阻止。此外，您还需要在分配情境感知访问权限级别时豁免相应应用。此豁免仅适用于您为范围指定的组织部门。
   • 受限：只能访问不受限的 Google 服务。
   • 特定 Google 数据 - 只能请求访问您在配置应用时指定的范围内的数据。
     注意：您必须添加应用所需的 Google 登录范围，以允许用户使用其 Google 账号进行登录。
   • 已屏蔽 - 无法访问任何 Google 服务。
     如果您将某个应用列入了设备的许可名单，但同时使用 API 控件屏蔽了该应用，则系统会屏蔽该应用。通过 API 控件屏蔽应用的操作会覆盖将应用列入许可名单的操作。
9. 点击继续。
10. 检查新应用的设置，然后点击完成。

系统会提示用户同意添加 Web 应用。在 Google Workspace Marketplace 中，您可以通过网域安装绕过同意页面，前提是相应应用已获批准。

这是在用户无法访问被屏蔽的应用时显示的一条自定义消息。如需创建自定义消息，请选择开启，然后输入消息。

如果自定义消息处于关闭状态或无法显示，则用户会看到默认消息。

此设置用于控制在用户尝试使用其 Google 账号登录未配置的应用时，系统会如何处理。无论此设置是什么，用户仍可访问配置了“受信任”“受限”或“特定 Google 数据”访问权限的应用。

选择一个选项：

• 允许用户访问任何第三方应用（默认选项）- 用户可以使用 Google 账号登录任何第三方应用。访问过数据的应用可以为该用户请求不受限的 Google 数据。
• 允许用户使用那些只请求访问“使用 Google 账号登录”功能所需的基本信息的第三方应用 - 用户可以使用 Google 账号登录仅请求基本个人资料信息（用户的 Google 账号名称、电子邮件地址和个人资料照片）的第三方应用。
• 不允许用户访问任何第三方应用 - 除非您为第三方应用和网站配置访问权限设置，否则用户将无法使用 Google 账号登录任何此类第三方应用和网站。如需了解详情，请参阅管理第三方应用对 Google 服务的访问权限并添加应用。

Google Workspace 教育版：您可以为年满 18 周岁和未满 18 周岁的用户选择不同的设置。如果您使用此设置屏蔽第三方应用，则可以通过用户请求访问未配置的应用设置允许未满 18 周岁的用户请求访问被屏蔽的应用。

此设置允许贵组织构建的内部应用访问受限的 Google Workspace API。

如需允许所有内部应用访问 API，请勾选信任内部应用复选框。

通过这些设置，用户可以请求访问未配置的第三方应用，然后管理员可以审核并批准或拒绝这些请求。可用的选项取决于您的 Workspace 版本。

Google Workspace 教育版

针对年满 18 周岁用户的设置 - 这些设置允许教育工作者和年满 18 周岁的用户为自己或代表他人（代理请求）请求应用访问权限。例如，教师可以代表学生发出代理请求。您可以查看这些请求，并授予或拒绝访问权限。

系统会在有人发出请求时通知您。您可以为以下用户配置访问权限：为自己请求访问权限的用户，对于代理请求，您可以为请求所代表的用户配置访问权限。

如需允许用户为自己请求访问权限，请勾选允许用户为自己请求应用访问权限复选框。

如需允许用户发出代理请求，请勾选允许用户代表其他用户发出请求（代理请求）复选框。

注意：请与教育工作者分享此链接，让他们能够代表他人发出代理请求。

针对未满 18 周岁用户的设置 - 此设置允许未满 18 周岁的用户为自己请求应用访问权限。

如需允许用户为自己请求应用访问权限，请勾选允许用户为自己请求应用访问权限复选框。

如需访问这些设置，请参阅查找设置。

所有其他 Google Workspace 版本

如果您或其他管理员限制对未配置应用的访问权限，用户可以请求访问这些应用。如需允许用户请求访问未配置的应用，请勾选允许用户请求访问未配置的第三方应用复选框。

当用户请求访问权限时，管理控制台的应用访问权限控制页面上的待审核的应用列表中会添加一个新条目。查看列表后，您可以选择允许或拒绝相应请求。请注意，您的选择会应用于组织部门中的所有用户。如需了解详情，请参阅查看和管理第三方应用的访问权限请求。

注意：只有尚未被管理员分配访问权限设置的应用才会触发此请求流。如果已配置的应用尝试访问其无权访问的 Google 服务，则用户会被阻止，并且无法通过此流程请求访问权限。