Как управлять доступом сторонних и внутренних приложений к данным Google Workspace

Прежде чем выполнять настройку, проверьте список приложений, которым предоставлено разрешение на доступ к данным в аккаунте Google. Информация о сторонних приложениях обычно появляется в течение 24–48 часов после предоставления разрешения.

1. В консоли администратора Google нажмите на значок меню Безопасность Управление доступом и данными Управление API.

   Перейти в раздел "Управление API"

   У вас должно быть право администратора "Настройки сервисов".

   Вы можете посмотреть, сколько приложений были настроены и получали доступ к данным.

   • Приложение считается настроенным, если для него заданы правила доступа (то есть оно внесено в список надежных, ограниченных или заблокированных приложений). Если вы не применяли эти правила, настроенных приложений у вас не будет.
   • Приложения, получавшие доступ к данным, – это сторонние приложения, с помощью которых пользователи осуществляли доступ к данным Google.
2. Нажмите Управление правами доступа сторонних приложений.
   По умолчанию показываются настроенные приложения. Вы можете посмотреть:
   • Название приложения.
   • Тип.
   • Идентификатор.
   • Статус проверки. Проверенные приложения – это приложения, которые проверены специалистами Google на соответствие определенным правилам. Обратите внимание, что некоторые известные приложения могут быть не проверены. Более подробная информация приведена в статье Что такое проверенное стороннее приложение?
   • Доступ. Определяет статус приложения: надежное, ограниченное или заблокированное.
3. В разделе Приложения, получавшие доступ к данным можно нажать Посмотреть список, чтобы увидеть такие приложения.

   В разделе Приложения, получавшие доступ к данным также можно посмотреть следующие параметры:

   • Пользователи. Число пользователей приложения.
   • Сервисы, к которым запрошен доступ. API сервисов Google (области действия OAuth2), которые использует каждое приложение, например Gmail, Google Календарь или Google Диск. Сторонние сервисы, к которым был запрошен доступ, перечислены в разделе Другое.
4. В списке Настроенные приложения или Приложения, получавшие доступ к данным выберите приложение. Вы можете:
   • Проверить, имеет ли приложение доступ к сервисам Google, и изменить эту настройку с помощью метки "Надежные", "Ограниченный набор сервисов" или "Заблокированные". Если вы меняете эту настройку, для подтверждения нажмите Сохранить.
   • Изучить сведения о приложении, такие как полный идентификатор клиента OAuth2 для приложения, количество пользователей, политика конфиденциальности и информация о поддержке.
   • Посмотреть API сервисов Google (области действия OAuth), которые использует приложение – на странице сведений о приложении перечислены области действия OAuth, к которым обращается приложение. Чтобы посмотреть все области действия OAuth, разверните строку таблицы или нажмите Развернуть все.
5. Чтобы скачать информацию о приложении в виде файла CSV, вверху списка Настроенные приложения или Приложения, получавшие доступ к данным нажмите Скачать список.
   • Будут скачаны все данные из таблицы, в том числе из скрытых столбцов.
   • Для настроенных приложений файл CSV содержит дополнительные столбцы, которые не показываются в таблице: "Количество пользователей", "Сервисы, к которым запрошен доступ" и "Области применения API" для каждого из сервисов. Если к настроенному приложению никто не осуществлял доступ, число пользователей будет равно нулю, а два других столбца будут пустыми.

В рамках программы проверки приложений Google все сторонние приложения, которые получают доступ к конфиденциальным данным клиентов, должны пройти проверки безопасности и конфиденциальности. Вы можете заблокировать для пользователей возможность активировать небезопасные и непроверенные приложения. Информация о том, как включить приложение в число надежных, приведена ниже. Подробнее о проверке приложений см. в разделе Разрешить использование непроверенных сторонних приложений.

Вы можете ограничить (или оставить неограниченным) доступ к большинству сервисов Google Workspace (в числе которых и сервисы Google Cloud, например машинное обучение). Для Gmail и Google Диска можно отдельно ограничить доступ к областям действия с высоким уровнем риска (например, к отправке почты или удалению файлов на Диске). Хотя пользователям предлагается дать согласие на использование приложений, если приложение запрашивает доступ к ограниченной службе, а вы не указали его как доверенное, пользователи не смогут добавить его.

1. В консоли администратора Google нажмите на значок меню Безопасность Управление доступом и данными Управление API.

   Перейти в раздел "Управление API"

   У вас должно быть право администратора "Настройки сервисов".

2. Нажмите Управление сервисами Google.
3. В списке установите флажки для требуемых сервисов.
   Чтобы выбрать сразу все сервисы, установите флажок рядом с полем Сервис.
4. Чтобы отфильтровать список, нажмите Добавить фильтр и выберите условие:
   • Сервисы Google – выберите нужные сервисы, например Диск или Gmail, и нажмите Применить.
   • Доступ к сервисам Google – выберите Неограниченный доступ или Доступ ограничен и нажмите Применить.
   • Разрешенные приложения – укажите диапазон для числа разрешенных приложений и нажмите Применить.
   • Пользователи – укажите диапазон для числа пользователей и нажмите Применить.
5. В верхней части страницы нажмите Изменить настройки доступа и выберите Неограниченный доступ или Доступ ограничен.
   Если вы измените настройку на "Доступ ограничен", все ранее установленные приложения, которые не включены в список надежных, перестанут работать, а их токены будут отозваны. Когда пользователи попытаются установить приложение с областью действия с ограниченным доступом, они получат уведомление о его блокировке. Если ограничить доступ к Диску, также будет ограничен доступ к Google Forms API.
   Примечание. Список приложений, получавших доступ к данным, обновляется через 48 часов после предоставления или отзыва токена.
6. Если вы выбрали вариант Доступ ограничен, то можете разрешить доступ к областям действия OAuth, которые не классифицируются как области с высоким риском (например, к областям, которые позволяют приложениям получать доступ к хранящимся на Диске файлам, выбранным пользователями). Для этого установите флажок Разрешить пользователям предоставлять ненадежным приложениям доступ к областям действия OAuth, которые не классифицируются как области с высоким риском. Этот флажок показывается только для некоторых приложений, таких как Gmail и Диск.
7. Нажмите Изменить и при необходимости подтвердите.
8. Чтобы проверить, у каких приложений есть доступ к сервису:
   1. В разделе Приложения, получавшие доступ к данным нажмите Посмотреть список.
   2. Нажмите Добавить фильтр Сервисы, к которым запрошен доступ.
   3. Выберите нужные сервисы и нажмите Применить.

Как ограничить доступ к областям действия OAuth с высоким риском

Gmail и Диск также могут ограничивать доступ к предварительно заданному списку областей действия OAuth с высоким уровнем риска.

Области действия OAuth с высоким риском в Gmail:

• https://mail.google.com/
• https://www.googleapis.com/auth/gmail.compose
• https://www.googleapis.com/auth/gmail.insert
• https://www.googleapis.com/auth/gmail.metadata
• https://www.googleapis.com/auth/gmail.modify
• https://www.googleapis.com/auth/gmail.readonly
• https://www.googleapis.com/auth/gmail.send
• https://www.googleapis.com/auth/gmail.settings.basic
• https://www.googleapis.com/auth/gmail.settings.sharing
  Подробнее об областях действия Gmail…

Области действия OAuth с высоким риском на Диске:

• https://www.googleapis.com/auth/drive
• https://www.googleapis.com/auth/drive.apps.readonly
• https://www.googleapis.com/auth/drive.metadata
• https://www.googleapis.com/auth/drive.metadata.readonly
• https://www.googleapis.com/auth/drive.readonly
• https://www.googleapis.com/auth/drive.scripts
• https://www.googleapis.com/auth/documents
  Подробнее об областях действия Диска…

Вы можете блокировать доступ некоторых приложений, назначать им статус надежных или предоставлять им доступ только к сервисам Google c неограниченным доступом. Надежное приложение имеет доступ ко всем сервисам Google Workspace (областям действия OAuth), в том числе к тем, доступ к которым ограничен. Ненадежные приложения могут работать только с сервисами с неограниченным доступом.

1. В консоли администратора Google нажмите на значок меню Безопасность Управление доступом и данными Управление API.

   Перейти в раздел "Управление API"

   У вас должно быть право администратора "Настройки сервисов".

2. В разделе Контроль доступа приложений нажмите Управление доступом сторонних приложений.
3. В разделе Настроенные приложения нажмите Посмотреть список.
4. Чтобы отфильтровать список, нажмите Добавить фильтр и выберите условие:
   • Название приложения – введите название и нажмите Применить.
   • Тип – выберите Веб-приложение, iOS или Android и нажмите Применить.
   • Идентификатор – введите идентификатор приложения и нажмите Применить.
   • Статус проверки – выберите Проверено Google и нажмите Применить, чтобы посмотреть приложения, которые проверены Google и соответствуют определенным правилам. Более подробная информация приведена в статье Что такое проверенное стороннее приложение?
   • Доступ – установите флажок Надежные или Заблокированные и нажмите Применить.
5. Наведите указатель на приложение и нажмите Изменить настройки доступа. Или установите флажки рядом с несколькими приложениями и нажмите Изменить настройки доступа. Вы также можете назначить надежными все принадлежащие домену приложения или заблокировать приложения, чтобы у них не было доступа ни к каким сервисам Google Workspace.
6. Выберите один из вариантов:
   • Надежные. Если добавить приложение в число надежных, это переопределит его настройку доступа к сервисам. Приложения, принадлежащие Google, например Chrome, автоматически считаются надежными, и им нельзя присвоить эту категорию.
   • Ограниченный набор сервисов. Доступ разрешен только к сервисам Google с неограниченным доступом.
   • Заблокированные. Доступ ко всем сервисам Google заблокирован.
     Если вы внесете приложение в белый список, но одновременно заблокируете его с помощью элементов управления API, приложение будет заблокировано, так как блокировка на странице управления API имеет приоритет над белым списком.
7. Нажмите Изменить.

Как добавить приложение

1. В разделе Контроль доступа приложений нажмите Управление доступом сторонних приложений.
2. В разделе Настроенные приложения нажмите Добавить приложение.
3. Выберите Название приложения OAuth или идентификатор клиента, Android или iOS.
4. Введите название приложения или идентификатор клиента и нажмите Найти.
5. Наведите указатель на приложение и нажмите Выбрать.
6. Установите флажки для нужных идентификаторов клиента и нажмите Выбрать.
7. Выберите Надежные или Заблокированные и нажмите Настроить.

Пользователи должны дать согласие на добавление веб-приложений, но в Google Workspace Marketplace для утвержденных приложений вы можете пропустить этот этап, выполнив установку на уровне домена.

Как настроить сообщение об ошибке, которое видят пользователи при попытке установить несанкционированное приложение