אחרי שיוצרים רמות גישה, אפשר להקצות אותן לאפליקציות. אתם יכולים לשלוט בגישה לפי זהות המשתמש, סטטוס האבטחה של המכשיר, כתובת ה-IP והמיקום הגיאוגרפי. אפשר גם לשלוט בגישה של אפליקציות שמנסות לגשת לאפליקציות של Google Workspace ולאפליקציות שמנסות לגשת לנתונים של Google Workspace דרך ממשקי תכנות יישומים (API).
כשמקצים רמות גישה...
- כשבוחרים רמת גישה, היא מוגדרת כברירת מחדל למצב מעקב. מצב ההדגמה מאפשר לכם לדמות את ההשפעות של אכיפת רמת גישה בלי לחסום את גישת המשתמשים. פרטים על מצב המעקב מופיעים במאמר פריסה של בקרת גישה מבוססת-הקשר.
- המשתמשים מקבלים גישה לאפליקציה כשהם עומדים בתנאים שצוינו באחת מרמות הגישה שאתם בוחרים (פעולת OR לוגית של רמות הגישה ברשימה). אם רוצים שהמשתמשים יעמדו בתנאים ביותר מרמת גישה אחת (פעולת AND לוגית של רמות גישה), צריך ליצור רמת גישה שמכילה כמה רמות גישה. אם רוצים להקצות יותר מ-10 רמות גישה לאפליקציה, אפשר להשתמש ברמות גישה מקוננות.
- באפליקציות לנייד, אם אתם משתמשים ב-Gmail מורחב, אתם יכולים להעניק או לשלול גישה ל-Gmail, ל-Google Chat ול-Google Meet בבת אחת. אם Chat ו-Meet מיושמים כאפליקציות נפרדות (ולא כחלק מ-Gmail המשולב), צריך להעניק או לדחות את הגישה לאפליקציות האלה בנפרד.
- כדי שאפליקציות מסוימות יפעלו בצורה תקינה, הן צריכות גישה ל-API של אפליקציות אחרות. לדוגמה, ל-Gmail נדרשת גישה לממשקי ה-API של היומן, Drive ו-Meet. יומן Google צריך את Tasks API, ו-Gemini צריך את Gmail API. כשמקצים רמות גישה, צריך לקחת בחשבון את התלות הזו כדי לוודא שהאפליקציות פועלות כמו שצריך.
- הקצאת רמת גישה לאפליקציה לא חוסמת אוטומטית את ה-API שלה. אם חוסמים אפליקציה, כמו Gmail, המשתמשים לא יכולים להיכנס ישירות לאפליקציה. עם זאת, אפליקציות אחרות או לקוחות צד שלישי עדיין יכולים לגשת לנתונים של האפליקציה דרך ה-API שלה, למשל הודעות אימייל באמצעות Gmail API. כדי למנוע גישה דרך ממשקי API, צריך להחיל במפורש רמות גישה גם על ממשק ה-API של האפליקציה.
הקצאת רמות גישה לאפליקציה
לפני שמתחילים: אם צריך, קראו איך קובעים הגדרות למחלקות ולקבוצות.
-
במסוף Google Admin, נכנסים לתפריט
אבטחה
שליטה בגישה ובנתונים
בקרת גישה מבוססת-הקשר.כדי לעשות את זה, צריך הרשאות גישה לאבטחת נתונים וניהול כללים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.
- בקטע הקצאת רמות גישה, לוחצים על הקצאת רמות גישה לאפליקציות.
-
(אופציונלי) כדי להחיל את ההגדרה רק על חלק מהמשתמשים, בצד, בוחרים יחידה ארגונית (בדרך כלל מדובר במחלקה) או הגדרות לקבוצת משתמשים (מתקדם).
הגדרות של קבוצות מבטלות את ההגדרות של היחידות הארגוניות. מידע נוסף
- בוחרים אפשרות:
- מעבירים את העכבר מעל שם האפליקציה ולוחצים על פעולות הקצאה.
- מסמנים את התיבות לצד כמה אפליקציות, ואז לוחצים על הקצאה מעל רשימת האפליקציות.
- מעבירים את העכבר מעל שם האפליקציה ולוחצים על פעולות
- בקטע רמות גישה, לוחצים על עריכה.
- בקטע רמות גישה, בוחרים אפשרות לכל רמת גישה:
- כדי לבדוק איך בחירת רמת הגישה תשפיע על המשתמשים בלי לחסום את הגישה בפועל, מסמנים את התיבה מעקב.
- כדי להתחיל להחיל את רמת הגישה, מסמנים את התיבה פעיל.
- לוחצים על שמירה.
- בקטע פעולות, לוחצים על עריכה.
- בוחרים באפשרות אזהרה או חסימה כדי לציין איזו פעולה תתבצע אם לא יתקיימו התנאים של מדיניות פעילה של רמת גישה באפליקציה נתמכת. פרטים על אפליקציות נתמכות מופיעים בקטע תמיכה באפליקציות עבור בקרת גישה מבוססת-הקשר בדף הזה.
- לוחצים על שמירה.
- (אופציונלי) כדי לעדכן את ההיקף שבחרתם לרמות הגישה:
- בקטע היקף, לוחצים על עריכה.
- מבצעים את השינויים ולוחצים על שמירה.
- (אופציונלי) כדי לעדכן את האפליקציות שבחרתם לרמות הגישה:
- בקטע Apps (אפליקציות), לוחצים על Edit (עריכה).
- מבצעים את השינויים ולוחצים על שמירה.
- בקטע הגדרות המדיניות, לוחצים על עריכה.
- (מומלץ) מסמנים את התיבה חסימת הגישה של משתמשים שלא עומדים ברמות הגישה לאפליקציות של Google למחשב ולנייד כדי להחיל את רמות הגישה על משתמשים באפליקציות ליבה למחשב, ל-Android ול-iOS ובאפליקציות אינטרנט. פרטים על ההתנהגויות שאפשר לצפות להן אחרי שמגדירים את ההגדרות המועדפות של רמת הגישה זמינים בקטע התנהגות האפליקציה בהתאם להגדרות של רמת הגישה בדף הזה.
(אופציונלי) כדי לחסום אפליקציות מניסיון לגשת לנתוני Workspace דרך ממשקי API ציבוריים חשופים, מסמנים את התיבה חסימת הגישה דרך ממשקי API של אפליקציות אחרות שלא עומדות ברמות הגישה לאפליקציות הנבחרות.
(אופציונלי) כדי לתת פטור לאפליקציות מהימנות מחסימה דרך ממשקי API חשופים, מסמנים את התיבה מתן פטור לאפליקציות שמופיעות ברשימת ההיתרים כך שתמיד להן גישה לממשקי API של שירותי Google מסוימים, ללא קשר לרמות הגישה.
אפשר להגדיר את האפשרות הזו לפי יחידה ארגונית, ולא לפי קבוצת הגדרות, למרות שאפשר לבחור קבוצה במסוף Admin. פרטים נוספים מופיעים במאמר תרחישי שימוש: החרגת אפליקציות מהימנות של צד שלישי מחסימה.
- אם רשימת האפליקציות או האפליקציה שרוצים לתת לה פטור לא מוצגות, לוחצים על מעבר לבקרת הגישה לאפליקציות ומשלימים את השלבים להגדרת האפליקציה כאפליקציה מהימנה. כל האפליקציות שמסומנות כמהימנות בדף 'בקרת הגישה לאפליקציות' מופיעות בטבלה של האפליקציות המהימנות. אפליקציות נבחרות מראש אם סימנתם אותן כמהימנות וכפטורות מאכיפת API.
אם צריך, בוחרים את האפליקציות שרוצים להחריג מאכיפת ה-API ולוחצים על המשך.
לוחצים על שמירה.
בקטע מה המשמעות של המדיניות הזו?, בודקים את ההשפעות של רמות הגישה החדשות על הארגון ועל האפליקציות שלו. כדי לעדכן את הבחירות, לצד רמות גישה, פעולות, היקף, אפליקציות או הגדרות המדיניות, לוחצים על עריכה.
לוחצים על הקצאה.
אתם חוזרים לדף רשימת האפליקציות. בעמודה 'רמות גישה' מוצג מספר רמות הגישה שחלות על כל אפליקציה במצב מעקב ובמצב פעיל.
אפליקציות שתומכות בבקרת גישה מבוססת-הקשר
| אפליקציית Google | תמיכה במצב חסימה | תמיכה במצב אזהרה |
|---|---|---|
| יומן Google | ✔ | ✔ |
| Chat | ✔ | ✔ |
| Drive | ✔ | ✔ |
| Gmail | ✔ | ✔ |
| Google Docs (כולל Google Sheets ו-Google Slides) | ✔ | ✔ |
| Google Keep | ✔ | ✔ |
| Google Tasks | ✔ | ✔ |
| מסוף Admin | ✔ | אינטרנט בלבד |
| Gemini | ✔ | אינטרנט בלבד |
| Google Sites | ✔ | אינטרנט בלבד |
| Meet | ✔ | אינטרנט ו-Android בלבד |
| Gemini Notebook | ✔ | אינטרנט בלבד |
| Data Studio | ✔ | |
| Gemini Enterprise | ✔ | |
| Google Classroom | ✔ | |
| Google Cloud | ✔ | |
| Google Cloud Search | ✔ | |
| Google for Business | ✔ | |
| Google Play Console | ✔ | |
| Gemini Notebook | ✔ |
התנהגות האפליקציה על סמך הגדרות רמת הגישה
בטבלה הבאה מפורט סיכום של ההתנהגות בהתאם לסימון התיבה חסימת הגישה של משתמשים שלא עומדים ברמות הגישה לאפליקציות של Google למחשב ולנייד ולפריסת אימות נקודות קצה.
מונחי מפתח שקשורים לטבלה הזו:
- רמת הגישה שהוחלה – הגישה ניתנת על סמך רמות הגישה שהגדרתם בהגדרות של בקרת הגישה מבוססת-ההקשר.
- הגישה מותרת – בקרת הגישה מבוססת-הקשר לא מופעלת, וכל הגישה מותרת.
- הגישה חסומה – הגישה חסומה כי לא הוגדרה בקרת גישה מבוססת-הקשר או כי לא הפעלתם אימות של נקודת הקצה.
|
רמת הגישה |
בקרת גישה מבוססת-הקשר מופעלת |
אישור/חסימה (אפליקציות מקוריות ואתרים) |
||||
|
נייד |
מחשב |
|||||
|
אפליקציות לנייד |
אינטרנט לנייד |
בדפדפני אינטרנט במחשבים |
מקורי למחשב |
האם פרסתם אימות של נקודות קצה? |
||
|
רמת גישה עם מאפייני IP/מיקום גיאוגרפי בלבד |
התיבה חסימת הגישה של משתמשים שלא עומדים ברמות הגישה לאפליקציות של Google למחשב ולנייד מסומנת* |
רמת הגישה הנדרשת |
רמת הגישה הנדרשת |
לא נדרש |
||
|
התיבה חסימת הגישה של משתמשים שלא עומדים ברמות הגישה לאפליקציות של Google למחשב ולנייד לא מסומנת |
הגישה מותרת |
רמת הגישה הנדרשת |
רמת הגישה הנדרשת |
הגישה מותרת |
לא נדרש |
|
|
רמת גישה עם מאפייני מכשיר |
התיבה חסימת הגישה של משתמשים שלא עומדים ברמות הגישה לאפליקציות של Google למחשב ולנייד מסומנת* |
רמת הגישה הנדרשת |
רמת הגישה הנדרשת |
כן |
||
|
התיבה חסימת הגישה של משתמשים שלא עומדים ברמות הגישה לאפליקציות של Google למחשב ולנייד מסומנת |
רמת הגישה הנדרשת |
הגישה נחסמה |
לא |
|||
| התיבה חסימת הגישה של משתמשים שלא עומדים ברמות הגישה לאפליקציות של Google למחשב ולנייד לא מסומנת |
הגישה מותרת |
רמת הגישה הנדרשת |
רמת הגישה הנדרשת |
הגישה מותרת |
כן |
|
| התיבה חסימת הגישה של משתמשים שלא עומדים ברמות הגישה לאפליקציות של Google למחשב ולנייד לא מסומנת | הגישה מותרת | רמת הגישה הנדרשת | הגישה נחסמה | הגישה מותרת | לא | |
* הגדרה מומלצת
הערות:
- לאפליקציית Gemini לנייד יש מערכת מובנית משלה לחסימת תוכן. אם שאילתה מפרה רמת גישה, במקום אזהרת מערכת רגילה, האפליקציה מציגה את ההודעה 'הגישה נדחתה'.
- שאילתות פשוטות, כמו ברכות, לא מפעילות את ההודעה הזו כי לא נדרש אימות גישה.
- אם אחרי בקשה מורכבת שנחסמה תוגש שאילתה פשוטה, יכול להיות שהאפליקציה תעבד מחדש את ההנחיה הקודמת. התוצאה יכולה להיות אזהרה נוספת על כך שהגישה נדחתה או תגובה לא מכוונת לשאילתה שנחסמה.
- כשיש הגבלות, Gemini עונה על שאילתות פשוטות רק באמצעות המערכת הבסיסית שלו. הגישה לנתונים ב-Google Workspace (למשל Gmail או Google Drive) נשארת מוגבלת מאוד.
- כשההגדרה רלוונטי רק כשאפליקציות אחרות מנסות לגשת דרך ממשקי API מופעלת עבור יומן Google או Drive, גם אפליקציית Gemini נחסמת. הבעיה הזו מתרחשת כי לאפליקציית Gemini נדרשת גישה להיקפי יומן Google ו-Drive, ולא לנתונים. כדי להפעיל את ההגדרה הזו, בקטע הגדרות מדיניות, מסמנים את התיבה חסימת הגישה דרך ממשקי API של אפליקציות אחרות שלא עומדות ברמות הגישה לאפליקציות הנבחרות.
- מדיניות בקרת הגישה מבוססת-הקשר ל-Gemini Enterprise חלה רק על אפליקציות לאינטרנט ולאפליקציות לנייד, ולא על קריאות ישירות ל-Discovery Engine API. כדי לאכוף מדיניות גישה באמצעות ה-API, אפשר לעבור אל הגדרת בקרת גישה מבוססת-הקשר.
בדיקה או שינוי של רמות הגישה שהוקצו
ההגדרה הזו משמשת להחלת שינויים באופן מקומי, ולא מוצגים בה הקצאות שעברו בירושה.
-
במסוף Google Admin, נכנסים לתפריט
אבטחה
שליטה בגישה ובנתונים
בקרת גישה מבוססת-הקשר.כדי לעשות את זה, צריך הרשאות גישה לאבטחת נתונים וניהול כללים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.
- בקטע הקצאת רמות גישה, לוחצים על הקצאת רמות גישה לאפליקציות.
-
(אופציונלי) כדי להחיל את ההגדרה רק על חלק מהמשתמשים, בצד, בוחרים יחידה ארגונית (בדרך כלל מדובר במחלקה) או הגדרות לקבוצת משתמשים (מתקדם).
הגדרות של קבוצות מבטלות את ההגדרות של היחידות הארגוניות. מידע נוסף
- בוחרים אפשרות:
- מעבירים את העכבר מעל שם האפליקציה ולוחצים על פעולות הקצאה.
- מסמנים את התיבות לצד כמה אפליקציות, ואז לוחצים על הקצאה מעל רשימת האפליקציות.
- מעבירים את העכבר מעל שם האפליקציה ולוחצים על פעולות
- בקטע רמות גישה, לוחצים על עריכה.
- בקטע רמות גישה, בוחרים אפשרות לכל רמת גישה:
- כדי לבדוק איך בחירת רמת הגישה תשפיע על המשתמשים בלי לחסום את הגישה בפועל, מסמנים את התיבה מעקב.
- כדי להתחיל להחיל את רמת הגישה, מסמנים את התיבה פעיל.
- לוחצים על שמירה.
- בקטע פעולות, לוחצים על עריכה.
- בודקים את רמות הגישה שנבחרו כדי לוודא שהן מוגדרות להפעלת הפעולה הרצויה כשלא מתקיימים התנאים של רמת הגישה.
- חסימה – חסימת הגישה לאפליקציה.
- אזהרה – מאפשר גישה לאפליקציה ושולח למשתמש התראה באפליקציה בזמן השימוש בה. אם המשתמש ימשיך להשתמש באפליקציה באופן פעיל, הוא יקבל התראה חדשה כל 48 שעות. אם אפליקציות שונות מוגנות באותן רמות גישה, רק ניסיון הגישה הראשון יפעיל התראה, כדי למנוע הצפה של המשתמשים בהתראות.
- לוחצים על שמירה.
- (אופציונלי) כדי לבדוק או לעדכן את ההיקף שבחרתם לרמות הגישה:
- בקטע היקף, לוחצים על עריכה.
- מבצעים את השינויים ולוחצים על שמירה.
- (אופציונלי) כדי לבדוק או לעדכן את האפליקציות שבחרתם לרמות הגישה:
- בקטע Apps (אפליקציות), לוחצים על Edit (עריכה).
- מבצעים את השינויים ולוחצים על שמירה.
- בקטע הגדרות המדיניות, לוחצים על עריכה.
- בודקים את המדיניות שבחרתם כדי לוודא שהיא מוגדרת לחסימת האפליקציות הנכונות. המדיניות יכולה לכלול חסימת גישה לגרסאות למחשב ולנייד של האפליקציות שנבחרו, חסימת גישה של אפליקציות אחרות לאפליקציות שנבחרו באמצעות ממשקי API, והחרגת אפליקציות ברשימת ההיתרים.
- לוחצים על שמירה.
- בקטע מה המשמעות של המדיניות הזו?, בודקים את ההשפעות של רמות הגישה החדשות לפי הקשר על הארגון והאפליקציות שלו. כדי לעדכן את הבחירות, לצד רמות גישה, פעולות, היקף, אפליקציות או הגדרות מדיניות, לוחצים על עריכה.
- לוחצים על הקצאה.
הצגת אירועים שנרשמו ביומן עבור רמת גישה
אפשר להשתמש באפשרות 'צפייה בדוח' כדי לעקוב אחרי רמות הגישה שהוקצו ולוודא שהן פועלות בצורה תקינה ושולטות בגישת המשתמשים לאפליקציות. רמות גישה שמוגדרות במצב הדגמה או במצב פעיל יוצרות אירועים שנרשמים ביומן של בקרת גישה מבוססת-הקשר.
-
במסוף Google Admin, נכנסים לתפריט
אבטחה
שליטה בגישה ובנתונים
בקרת גישה מבוססת-הקשר.כדי לעשות את זה, צריך הרשאות גישה לאבטחת נתונים וניהול כללים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.
- בקטע הקצאת רמות גישה, לוחצים על הקצאת רמות גישה לאפליקציות.
-
(אופציונלי) כדי להחיל את ההגדרה רק על חלק מהמשתמשים, בצד, בוחרים יחידה ארגונית (בדרך כלל מדובר במחלקה) או הגדרות לקבוצת משתמשים (מתקדם).
הגדרות של קבוצות מבטלות את ההגדרות של היחידות הארגוניות. מידע נוסף
- מעבירים את העכבר מעל אפליקציה ולוחצים על פעולות הצגת הדוח.
- בצד, לוחצים על הקישור לכלי לחקירת אבטחה כדי להריץ אוטומטית חיפוש של אירועים ביומן של בקרת גישה מבוססת-הקשר עבור האפליקציה שנבחרה.
תוצאות החיפוש כוללות את הפרטים הבאים:
- באירועים מסוג הגישה נדחתה (מצב הדגמה) מוצגים משתמשים שהיו נחסמים אם רמת הגישה הזו הייתה נאכפת.
- בעמודה המשתמש/ת מוצג המשתמש החסום.
- רמות הגישה שחלות, שמתקיימות (התנאים לגישה מתקיימים) ושלא מתקיימות (התנאים לגישה לא מתקיימים)
מידע נוסף זמין במאמר בנושא אירועים ביומן של בקרת גישה מבוססת-הקשר.