המשתמשים יכולים לבטל את החסימה של אפליקציות באמצעות הודעות תיקון בבקרת גישה מבוססת-הקשר

באמצעות הודעות תיקון והודעות בהתאמה אישית בבקרת גישה מבוססת-הקשר, אתם יכולים לעזור למשתמשים לבטל את החסימה של עצמם כשכללי מדיניות מונעים מהם לגשת לאפליקציה. ההודעות האלה הן אופציונליות (אבל מומלצות), והן יכולות לעזור למשתמשים לחזור לפרודוקטיביות ולצמצם את מספר הפניות לתמיכה של האדמינים.

לדוגמה, אם הפעלתם הודעות על פעולות לתיקון בעיות, ומשתמש בנייד מצליח להשתמש ב-Gmail במשרד במהלך היום, אבל נחסם כשהוא מנסה לגשת ל-Gmail בבית בערב, הוא יקבל הנחיות לפתרון הבעיה שגרמה לחסימה.

יש תמיכה בתיקון ובמסרים בהתאמה אישית לרמות גישה שנוצרו במצב בסיסי ובמצב מתקדם. בנוסף, יש תמיכה בשניהם גם בשירותי ליבה וגם באפליקציות SAML.

שימוש בהודעות מותאמות אישית ובפתרונות לבעיות כדי לעזור למשתמשים לבטל את החסימה בעצמם

כשמשתמשים חסומים, הם עלולים להיתקל במצבים הבאים:

• הודעת ברירת מחדל – מוצגת אם לא הוספתם הודעות לתיקון או הודעות בהתאמה אישית. דוגמה להודעת ברירת מחדל: המדיניות של הארגון שלך חוסמת את הגישה לאפליקציה הזו.

• הודעות תיקון – מחליפות את הודעת ברירת המחדל בשלבים שנוצרו על ידי המערכת ומותאמים להפרת המדיניות הספציפית, כמו דרישה לסיסמה למסך או לעדכון של מערכת ההפעלה. אם כמה הפרות או מדיניות מורכבת גורמות לחסימה, המשתמש יכול ללחוץ על הצגת אפשרויות נוספות כדי לראות דרכים חלופיות לפתרון החסימה. במקרה כזה, המשתמש צריך להשלים את כל השלבים של האפשרות הזמינה. אי אפשר לשלב בין השלבים של האפשרויות השונות כדי לבטל את חסימת הגישה.

  דוגמה: אם באפשרות הראשונה המשתמש צריך לעדכן את מערכת ההפעלה ואז לסנכרן, ובאפשרות השנייה הוא צריך לעבור למכשיר ארגוני, המשתמש צריך לבצע את שני השלבים באפשרות הראשונה או לבצע את הפעולות באפשרות השנייה.

• הודעה בהתאמה אישית – מוסיפה עזרה ספציפית למשתמש, כמו עצות נוספות לגבי ביטול החסימה או קישור מועיל שאפשר ללחוץ עליו. מוסיפים הודעות מותאמות אישית לפי הצורך. הודעה מותאמת אישית יכולה להופיע יחד עם הודעת ברירת המחדל או עם הודעות תיקון.

כשמגדירים מדיניות אזהרה למאפיין, תמיד יוצגו הודעות תיקון למאפיין הזה (ורק לו). אתם ואדמינים אחרים לא יכולים להשבית את ההודעות האלה. כשמשתמשים מקבלים התראה על אפליקציה שהם מנסים לגשת אליה, הם יכולים לעיין בפרטים נוספים על אפשרויות התיקון שלהם.

הסבר על הודעות תיקון

כל פעולת תיקון מתאימה למאפיין שגורם לחסימת הגישה או להצגת אזהרה למשתמש. אם יש לכם מדיניות חסימה שמשויכת למאפיין, בהודעות התיקון נאמר למשתמש שהוא לא יכול לבצע את הפעולה, ומוצעות לו דרכים לעמוד בדרישות המדיניות. אם יש לכם מדיניות אזהרה שמשויכת למאפיין, המשתמש יכול להשלים את הפעולה אבל יקבל הצעות איך לפעול בהתאם למדיניות.

יכול להיות שיוצגו הודעות שונות לגבי אותו מאפיין, בהתאם לציפיות ברמת הגישה. לדוגמה, אם רמת הגישה היא device.screen_lock_enabled == true, ההודעה היא צריך להגדיר סיסמה לנעילת המסך במכשיר. אם רמת הגישה היא device.screen_lock_enabled == false, ההודעה היא צריך להסיר את הסיסמה לנעילת המסך במכשיר. הסרת הסיסמה למסך עלולה להפחית את רמת האבטחה, ולכן המשתמש צריך לאשר את הפעולה הזו מול האדמין.

הודעות אפשריות לתיקון לפי מאפיין וסוג

ההודעות בפועל עשויות להיות שונות מההודעות שמוצגות בהמשך.

מאפיין	סוג המדיניות	Message
אישור של מנהל מערכת	חסימה ואזהרה	צריך לעבור למכשיר שאושר על ידי הארגון שלך. אם אין לכם גישה למכשיר כזה, עליכם ליצור קשר עם האדמין.
	חסימה ואזהרה	צריך לעבור למכשיר שלא משויך לארגון שלכם. חשוב לזכור שרמת האבטחה תהיה נמוכה יותר, לכן כדאי להתייעץ קודם עם מנהל המערכת.
מכשיר בבעלות החברה	חסימה ואזהרה	צריך לעבור למכשיר שבבעלות הארגון. אם אין לכם גישה למכשיר כזה, עליכם ליצור קשר עם האדמין.
	חסימה ואזהרה	צריך לעבור למכשיר שלא בבעלות הארגון שלכם.
התאמה של פרופיל CTS	חסימה ואזהרה	איפוס המכשיר להגדרות המקוריות.
	חסימה	למכשיר שלך אין גישה לאפליקציה הזו באמצעות התקנת Android של יצרן הציוד המקורי. לפרטים נוספים, כדאי ליצור קשר עם האדמין.
	אזהרה	הגישה לאפליקציה הזו באמצעות התקנת Android של יצרן הציוד המקורי לא מאובטחת. צריך לפנות לאדמין לקבלת מידע נוסף.
הצפנה	חסימה ואזהרה	צריך לעבור למכשיר עם אחד מסטטוסי ההצפנה הבאים: [status1, status2].
	חסימה ואזהרה	צריך לעבור למכשיר ללא סטטוס ההצפנה הבא: [סטטוס].
כולל אפליקציות שעלולות להזיק (PHA)	חסימה ואזהרה	מסירים את האפליקציות שמופיעות ברשימת האפליקציות שעלולות להזיק של Google Play Protect.
	חסימה	למכשיר שלך אין גישה לאפליקציה הזו באמצעות האפליקציות שמותקנות עכשיו. לפרטים נוספים, כדאי ליצור קשר עם האדמין.
	אזהרה	הגישה לאפליקציה הזו באמצעות האפליקציות שמותקנות עכשיו לא בטוחה. צריך לפנות לאדמין לקבלת מידע נוסף.
כתובת IP	חסימה	לא ניתן לגשת לאפליקציה הזו מרשת המשנה של ה-IP. צריך לפנות לאדמין לקבלת מידע נוסף.
	אזהרה	הגישה לאפליקציה הזו מרשת המשנה הנוכחית שלך לא מאובטחת. צריך לפנות לאדמין לקבלת מידע נוסף.
סוג מערכת הפעלה	חסימה ואזהרה	צריך לעבור למכשיר שמותקנת בו אחת ממערכות ההפעלה הבאות: [os1, os2].
	חסימה ואזהרה	צריך לעבור למכשיר שלא מותקנת בו מערכת ההפעלה: os1.
גרסת OS	חסימה ואזהרה	צריך לעדכן את המכשיר לגרסה [OS version X] ומעלה.
	חסימה ואזהרה	צריך לעדכן את המכשיר לגרסה של מערכת ההפעלה שקדמה לגרסה [OS version X].
מאפייני שותפים	חסימה ואזהרה	מתקינים את [PARTNER NAME] במכשיר.1
	חסימה ואזהרה	על סמך המידע שהתקבל מ[PARTNER NAME], המכשיר שלך לא עומד בחלק מהדרישות.2
קוד אזור	חסימה	לא ניתן לגשת לאפליקציה הזו מהמיקום הנוכחי שלך. צריך לפנות לאדמין לקבלת מידע נוסף.
	אזהרה	הגישה לאפליקציה הזו מהמיקום הנוכחי שלך לא מאובטחת. צריך לפנות לאדמין לקבלת מידע נוסף.
נעילת מסך	חסימה ואזהרה	צריך להגדיר סיסמה לנעילת המסך במכשיר.
	חסימה ואזהרה	עליך להסיר את הסיסמה לנעילת המסך במכשיר. חשוב לזכור שרמת האבטחה תהיה נמוכה יותר, לכן כדאי להתייעץ קודם עם מנהל המערכת.
אימות אפליקציות	חסימה ואזהרה	הפעלת Google Play Protect במכשיר.
	חסימה ואזהרה	השבתת Google Play Protect במכשיר.
הפעלה מאומתת	חסימה ואזהרה	פועלים לפי ההוראות של יצרן המכשיר כדי לנעול את תוכנת האתחול.
	חסימה ואזהרה	פועלים לפי ההוראות של יצרן המכשיר כדי לבטל את הנעילה של תוכנת האתחול.
Chrome OS מאומת	חסימה ואזהרה	עליך להתקין גרסה מאומתת של Chrome OS במכשיר.
	חסימה ואזהרה	אין לך אפשרות לגשת לאפליקציה הזו עם ChromeOS מאומת.
מכשיר פרוץ	חסימה ואזהרה	כדי לאפס את המכשיר להגדרות המקוריות, צריך לפעול לפי ההוראות של יצרן המכשיר.
	חסימה	למכשיר שלך אין גישה לאפליקציה הזו במצב הנוכחי של המכשיר. כדי לקבל מידע נוסף, פנו לאדמין.
	אזהרה	הגישה לאפליקציה הזו במצב הנוכחי של המכשיר לא מאובטחת. צריך לפנות לאדמין לקבלת מידע נוסף.

‫¹ מוודאים שאפליקציית האבטחה של השותף (לדוגמה, Lookout) מותקנת במכשיר. אם האפליקציה מותקנת אבל המשתמש עדיין מקבל את ההודעה הזו, יכול להיות שהמכשיר לא רשום כראוי לניהול הניידים של השותף. כדי לבדוק אם זה המצב, אפשר להיכנס ללוח הבקרה של השותף. אם צריך, פונים לשותף כדי לפתור את הבעיה.

² פרטים נוספים מופיעים באפליקציית השותף במכשיר. אם צריך, פונים לשותף כדי לפתור את הבעיה.

הסבר על הודעות תיקון ועל שילובים עם שותפים מצד שלישי

אדמינים יכולים לשלב שותפים נתמכים של צד שלישי (שמשתתפים בBeyondCorp Alliance) עם ניהול נקודות קצה ב-Google במסוף Google Admin. הטקסט הזה מופיע בממשק של הודעת התיקון כדי להסביר שהודעות של שותפים יכולות להיות זמינות למשתמשים:

לדוגמה, מ-Lookout:

פרטים נוספים זמינים במאמר בנושא הגדרת שילובים עם שותפים מצד שלישי.

שגיאות נפוצות שצריך לפתור כדי שהמשתמשים יוכלו לראות את הפתרון או את ההודעות בהתאמה אישית

צריך לפתור את השגיאות האלה כדי שהמשתמשים יוכלו לראות את הודעות התיקון:

אי אפשר לזהות את המכשיר. השלבים המדויקים שצריך לבצע תלויים בסוג המכשיר שלך, ויכול להיות שעליך לבצע שלבים אחרים.

‫Google לא מזהה את המכשיר שממנו נכנסתם לחשבון. שלב התיקון תלוי בפלטפורמה.

• מכשירים למחשב – המשתמשים צריכים להשתמש בפרופיל Chrome עם התוסף Endpoint Verification מותקן. משתמשים לא יכולים להיכנס לאפליקציות של Google Workspace דרך פרופילים אנונימיים, פרופילי אורח או פרופילים אישיים. שימו לב שהודעת השגיאה הזו יכולה להופיע כשמשתמש מנסה להיכנס לחשבון במכשיר חדש בפעם הראשונה. במקרה כזה, המשתמש צריך לסנכרן עם התוסף Endpoint Verification ולרענן את הדפדפן.
• מכשירים ניידים – כדי שהמכשירים יזוהו על ידי CAA, הם צריכים להיות מנוהלים על ידי ניהול נקודות קצה ב-Google (ניהול בסיסי או מתקדם). פרטים נוספים מופיעים במאמר בנושא ניהול מכשירים באמצעות ניהול נקודות קצה ב-Google. בנוסף, יכול להיות שהמכשירים יצטרכו להסתנכרן לפני ש-Google תוכל לזהות את המיקום שבו בוצעה הכניסה. פרטים נוספים מופיעים במאמר בנושא סנכרון המכשיר.

צריך לסנכרן את המכשיר

• מחשבים – המשתמשים צריכים לסנכרן עם התוסף Endpoint Verification.

• מכשירים ניידים – מכשירים שנמצאים בניהול מתקדם יכולים להסתנכרן עם אפליקציית Device Policy. מכשירים שנמצאים בניהול בסיסי יכולים להמתין עד שהמכשיר יסתנכרן אוטומטית, או שהמשתמש יכול להיכנס מחדש לכל אפליקציית Google. חשוב להודיע למשתמש שתהליך סנכרון המכשיר עשוי להימשך זמן מה.

  • מכשירי iOS – סשנים של Google באפליקציות שונות נרשמים באמצעות סשנים או טוקנים ב-Safari. אם האסימונים של Safari נמחקים (באופן ידני על ידי המשתמש או על ידי Apple ITP), לא ניתן למפות את הכניסות הבאות למכשיר המקורי שאליו התחברו. כתוצאה מכך, יכול להיות שהכניסות החדשות ייחסמו עם ההודעה 'לא ניתן לזהות את המכשיר שלך. השלבים המדויקים שצריך לבצע תלויים בסוג המכשיר שלך, ויכול להיות שעליך לבצע שלבים אחרים" הודעה אם התיקון מופעל. הבעיה הזו יכולה להתרחש במכשירים מנוהלים בסיסיים ובמכשירים מנוהלים מתקדמים.

    כדי לבטל את החסימה, המשתמש צריך לבצע את השלבים הבאים:

    1. מסירים את חשבון Google לעסקים מכל אפליקציות Google. יוצאים מחשבון Google ב-Safari ומסירים אותו מכל אפליקציה שאינה של Google שעשויה להשתמש בו.
    2. מחיקת קובצי Cookie ומטמון ב-Safari
    3. מתחברים לאפליקציה כלשהי מבית Google, כמו Drive או Gmail.
    4. כדי לוודא שיש לכם גישה, נסו לגשת לכל שאר האפליקציות מבית Google.

    5. אם נדרשת גישה לאפליקציות שאינן של Google, צריך להיכנס לאפליקציות תוך כמה ימים מהכניסה לאפליקציות של Google.

       אם לא תיכנסו לחשבון תוך 30 יום משלב 3 והאפליקציה חסומה, תצטרכו להתחיל מחדש משלב 1.

הטמעה של תיקונים או הודעות בהתאמה אישית

הפעלת הודעות תיקון

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   כדי לעשות את זה, צריך הרשאות גישה לאבטחת נתונים וניהול כללים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.

2. לוחצים על הגדרות כלליות.
3. בקטע הודעות על תיקון, לוחצים על עריכה.
4. מפעילים את האפשרות הודעות תיקון.
5. לוחצים על שמירה.
   בשלב הזה אפשר גם להוסיף הודעה בהתאמה אישית.

הוספת הודעה מותאמת אישית

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   כדי לעשות את זה, צריך הרשאות גישה לאבטחת נתונים וניהול כללים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.

2. לוחצים על הגדרות כלליות.
3. בקטע הודעה מותאמת אישית נוספת, לוחצים על עריכה.
4. כותבים את ההודעה.
5. (אופציונלי) כדי לראות תצוגה מקדימה של ההודעה, לוחצים על תצוגה מקדימה של ההודעה.
6. לוחצים על שמירה.

חוויית המשתמש בתיקון ובשימוש בהודעות מותאמות אישית

הודעת ברירת מחדל בלבד

זו דוגמה להודעה שהמשתמש רואה אם לא מוגדרות הודעות תיקון או הודעה בהתאמה אישית

הודעת ברירת מחדל והודעה בהתאמה אישית

זו דוגמה להודעה שהמשתמש מקבל אם לא מוגדרות הודעות לתיקון, אבל מוגדרת הודעה מותאמת אישית.

הודעת תיקון בלבד

זו דוגמה להודעה שהמשתמש מקבל אם הודעות התיקון מוגדרות ללא הודעה מותאמת אישית. המשתמש לוחץ על הצגת אפשרויות נוספות כדי להרחיב את השלבים לתיקון.

תיקון והודעה מותאמת אישית

זוהי דוגמה להודעה שמוצגת למשתמש אם מוגדרות הודעות לתיקון בעיות והודעה מותאמת אישית לאדמין. המשתמש מקבל את הסיבה לחסימה, הוראות לפתרון הבעיה והלחצן הצגת אפשרויות נוספות כדי לעיין בפתרונות נוספים ובהודעה המותאמת אישית מהאדמין של הארגון.

שאלות נפוצות על תיקון של בקרת גישה מבוססת-הקשר והודעות בהתאמה אישית

‫Google‏, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.