הקצאת רמות גישה מבוססות-הקשר לאפליקציות

התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard ו-Education Plus,‏ Enterprise Essentials Plus ו-Cloud Identity Premium. השוואה בין מהדורות

אחרי שיוצרים רמות גישה, אפשר להקצות אותן לאפליקציות. אתם יכולים לשלוט בגישה לפי זהות המשתמש, סטטוס האבטחה של המכשיר, כתובת ה-IP והמיקום הגיאוגרפי. אתם יכולים גם לשלוט בגישה של אפליקציות שמנסות לגשת לאפליקציות של Google Workspace, ושל אפליקציות שמנסות לגשת לנתונים של Google Workspace דרך ממשקי API.

כשמקצים רמות גישה...

• כשבוחרים רמת גישה, היא מוגדרת למצב מעקב כברירת מחדל. מצב המעקב מאפשר לדמות את ההשפעות של אכיפת רמת גישה בלי לחסום את הגישה של המשתמשים. פרטים נוספים על מצב המעקב זמינים במאמר פריסה של בקרת גישה מבוססת-הקשר.
• המשתמשים מקבלים גישה לאפליקציה כשהם עומדים בתנאים שצוינו באחת מרמות הגישה שבחרתם (OR לוגי של רמות הגישה ברשימה). אם אתם רוצים שהמשתמשים יעמדו בתנאים של יותר מרמת גישה אחת (AND לוגי של רמות גישה), צרו רמת גישה שמכילה כמה רמות גישה. אם רוצים להקצות יותר מ-10 רמות גישה לאפליקציה, אפשר להשתמש ברמות גישה בתצוגת עץ.
• באפליקציות לנייד, אם אתם משתמשים ב-Gmail מורחב, אתם יכולים לתת או למנוע גישה ל-Gmail, ל-Google Chat ול-Google Meet בבת אחת. אם Chat ו-Meet מוטמעות כאפליקציות נפרדות (ולא כחלק מ-Gmail המשולב), צריך לתת או לדחות את הגישה לאפליקציות האלה בנפרד.
• כדי לפעול כמו שצריך, חלק מהאפליקציות צריכות גישה ל-API של אפליקציות אחרות. לדוגמה, Gmail צריך גישה לממשקי ה-API של יומן Google, ‏Drive ו-Meet. כדי להשתמש ביומן Google צריך את Tasks API, וכדי להשתמש ב-Gemini צריך את Gmail API. כשמקצים רמות גישה, צריך להביא בחשבון את יחסי התלות האלה כדי לוודא שהאפליקציות פועלות כמו שצריך.
• הקצאת רמת גישה לאפליקציה לא חוסמת באופן אוטומטי את ה-API שלה. אם חוסמים אפליקציה, כמו Gmail, המשתמשים לא יכולים להיכנס ישירות לאפליקציה. עם זאת, אפליקציות אחרות או לקוחות של צד שלישי עדיין יכולים לגשת לנתונים של האפליקציה דרך ה-API שלה, כמו הודעות אימייל באמצעות Gmail API. כדי למנוע כל גישה דרך ממשקי API, צריך להחיל באופן מפורש רמות גישה גם על ה-API של האפליקציה.

הקצאת רמות גישה לאפליקציה

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   צריך את הרשאות הניהול של כללים ורמת הגישה לאבטחת מידע ואת הרשאות הקריאה של משתמשים וקבוצות ב-Admin API.

   
2. בקטע הקצאת רמות גישה, לוחצים על הקצאת רמות גישה לאפליקציות.
3. (אופציונלי) כדי להחיל את ההגדרה רק על חלק מהמשתמשים, בצד, בוחרים יחידה ארגונית (בדרך כלל מדובר במחלקה) או הגדרות לקבוצת משתמשים (מתקדם).

   הגדרות של קבוצות מבטלות את ההגדרות של היחידות הארגוניות. מידע נוסף

   
4. בוחרים אפשרות:
   • מציבים את הסמן מעל אפליקציה ולוחצים על פעולות הקצאה.
   • מסמנים את התיבות לצד כמה אפליקציות, ומעל רשימת האפליקציות לוחצים על הקצאה.
5. בקטע רמות גישה, לוחצים על עריכה.
6. בקטע רמות גישה, בוחרים אפשרות לכל רמת גישה:
   • כדי לבדוק איך הבחירה ברמת הגישה תשפיע על המשתמשים בלי לחסום את הגישה בפועל, מסמנים את התיבה מעקב.
   • כדי להתחיל להחיל את רמת הגישה, מסמנים את התיבה פעילה.
7. לוחצים על שמירה.
8. בקטע פעולות, לוחצים על עריכה.
9. בוחרים באפשרות אזהרה או חסימה כדי לציין איזו פעולה תתבצע כשהמדיניות הפעילה של רמת הגישה לא מתקיימת באפליקציה נתמכת. פרטים נוספים על אפליקציות נתמכות זמינים בקטע תמיכה באפליקציות לבקרת גישה מבוססת-הקשר בדף הזה.
10. לוחצים על שמירה.
11. (אופציונלי) כדי לעדכן את ההיקף שבחרתם לרמות הגישה:
    1. בקטע היקף, לוחצים על עריכה.
    2. משנים את מה שרוצים ולוחצים על שמירה.
12. (אופציונלי) כדי לעדכן את האפליקציות שבחרתם לרמות הגישה:
    1. בקטע אפליקציות, לוחצים על עריכה.
    2. משנים את מה שרוצים ולוחצים על שמירה.
13. בקטע הגדרות המדיניות, לוחצים על עריכה.
14. (מומלץ) מסמנים את התיבה חסימת הגישה של משתמשים שלא עומדים ברמות הגישה לאפליקציות של Google למחשב ולנייד כדי להחיל את רמות הגישה על משתמשים באפליקציות ליבה למחשב, ל-Android, לאפליקציות ל-iOS ועל אפליקציות אינטרנט. כדי לקבל פרטים על ההתנהגויות הצפויות אחרי הגדרת רמות הגישה המועדפות, עברו לקטע התנהגות האפליקציה בהתאם להגדרות של רמת הגישה בדף הזה.

15. (אופציונלי) כדי למנוע מאפליקציות לנסות לגשת לנתונים ב-Workspace דרך ממשקי API ציבוריים חשופים, מסמנים את התיבה חסימת הגישה דרך ממשקי API של אפליקציות אחרות שלא עומדות ברמות הגישה לאפליקציות הנבחרות.

    • (אופציונלי) כדי להחריג אפליקציות מהימנות מחסימה באמצעות ממשקי API חשופים, מסמנים את התיבה מתן פטור לאפליקציות שמופיעות ברשימת ההיתרים כך שתמיד תהיה להן גישה לממשקי API של שירותי Google מסוימים, ללא קשר לרמות הגישה.

      אפשר להגדיר את האפשרות הזו לפי יחידה ארגונית, ולא לפי קבוצת הגדרות, למרות שאפשר לבחור קבוצה במסוף Admin. פרטים נוספים זמינים במאמר תרחישי שימוש: החרגת אפליקציות צד שלישי מהימנות מחסימה.

      • אם לא מוצגת רשימה של אפליקציות או האפליקציה שרוצים לתת לה פטור, לוחצים על מעבר לבקרת גישה לאפליקציות ומשלימים את השלבים כדי לסמן את האפליקציה כמהימנה. כל האפליקציות שמסמנים כמהימנות בדף בקרת הגישה לאפליקציות מופיעות בטבלת האפליקציות המהימנות. האפליקציות נבחרות מראש אם סימנתם אותן כמהימנות ופטורות מאכיפת API.

    • אם צריך, בוחרים את האפליקציות שרוצים להחריג מאכיפת ה-API ולוחצים על המשך.

16. לוחצים על שמירה.

17. בקטע What will this policy do?, בודקים את ההשפעות של רמות הגישה החדשות על הארגון ועל האפליקציות שלו. כדי לעדכן את הבחירות, לצד רמות גישה, פעולות, היקף, אפליקציות או הגדרות מדיניות, לוחצים על עריכה.

18. לוחצים על הקצאה.

המערכת תחזיר אתכם לדף של רשימת האפליקציות. בעמודה "רמות גישה" מוצג מספר רמות הגישה שמוחלות על כל אפליקציה, גם במצב מעקב וגם במצב פעיל.

תמיכה באפליקציות לבקרת גישה מבוססת-הקשר

התנהגות האפליקציה בהתאם להגדרות של רמת הגישה

• לאפליקציית Gemini לנייד יש מערכת מובנית משלה לחסימת תוכן. כששאילתה מפרה רמת גישה, במקום אזהרת מערכת רגילה, האפליקציה מציגה את ההודעה "הגישה נדחתה".
  • שאילתות פשוטות, כמו ברכות, לא מפעילות את ההודעה הזו כי הן לא דורשות הערכת גישה.
  • אם שאילתה פשוטה מגיעה אחרי בקשה מורכבת שנחסמה, יכול להיות שהאפליקציה תעבד מחדש את ההנחיה הקודמת. זה עלול לגרום לאזהרה נוספת של "הגישה נדחתה" או לתגובה לא מכוונת לשאילתה החסומה.
  • כשההגבלות חלות, Gemini עונה על שאילתות פשוטות רק באמצעות המערכת הבסיסית שלו. הגישה לנתוני Google Workspace (כמו Gmail או Google Drive) עדיין מוגבלת מאוד.
• כשההגדרה רלוונטי רק כשאפליקציות אחרות מנסות לגשת דרך ממשקי API מופעלת ביומן Google או ב-Drive, גם אפליקציית Gemini חסומה. זה קורה כי אפליקציית Gemini צריכה גישה להיקפי ההרשאות של יומן Google ו-Drive, ולא לנתונים. כדי להפעיל את ההגדרה הזו, בקטע הגדרות המדיניות מסמנים את התיבה חסימת הגישה דרך ממשקי API של אפליקציות אחרות שלא עומדות ברמות הגישה לאפליקציות הנבחרות.
• כללי המדיניות של בקרת גישה מבוססת-הקשר ב-Gemini Enterprise חלים רק על אפליקציות לאינטרנט ולנייד, ולא על קריאות ישירות ל-Discovery Engine API. כדי לאכוף את כללי מדיניות הגישה באמצעות ה-API, צריך לעבור אל הגדרת בקרת גישה מבוססת-הקשר.

בדיקה או שינוי של רמות הגישה שהוקצו

ההגדרה הזו משמשת להחלת שינויים באופן מקומי, ולא מוצגות בה הקצאות שעברו בירושה.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   צריך את הרשאות הניהול של כללים ורמת הגישה לאבטחת מידע ואת הרשאות הקריאה של משתמשים וקבוצות ב-Admin API.

2. בקטע הקצאת רמות גישה, לוחצים על הקצאת רמות גישה לאפליקציות.
3. (אופציונלי) כדי להחיל את ההגדרה רק על חלק מהמשתמשים, בצד, בוחרים יחידה ארגונית (בדרך כלל מדובר במחלקה) או הגדרות לקבוצת משתמשים (מתקדם).

   הגדרות של קבוצות מבטלות את ההגדרות של היחידות הארגוניות. מידע נוסף

   
4. בוחרים אפשרות:
   • מציבים את הסמן מעל אפליקציה ולוחצים על פעולות הקצאה.
   • מסמנים את התיבות לצד כמה אפליקציות, ומעל רשימת האפליקציות לוחצים על הקצאה.
5. בקטע רמות גישה, לוחצים על עריכה.
6. בקטע רמות גישה, בוחרים אפשרות לכל רמת גישה:
   • כדי לבדוק איך הבחירה ברמת הגישה תשפיע על המשתמשים בלי לחסום את הגישה בפועל, מסמנים את התיבה מעקב.
   • כדי להתחיל להחיל את רמת הגישה, מסמנים את התיבה פעילה.
7. לוחצים על שמירה.
8. בקטע פעולות, לוחצים על עריכה.
9. בדקו את רמות הגישה שבחרתם כדי לוודא שהן מוגדרות להפעיל את הפעולה הרצויה כשתנאי רמת הגישה לא מתקיימים.
   • חסימה – חוסמת את הגישה לאפליקציה.
   • אזהרה – המשתמשים יכולים לגשת לאפליקציה, אבל הם מקבלים התראת אזהרה באפליקציה בזמן שהם משתמשים בה. אם המשתמש ממשיך להשתמש באפליקציה באופן פעיל, הוא מקבל התראה חדשה כל 48 שעות. אם אפליקציות שונות מוגנות באמצעות אותן רמות גישה, רק ניסיון הגישה הראשון יפעיל התראה כדי למנוע שליחת התראות רבות מדי למשתמשים.
10. לוחצים על שמירה.
11. (אופציונלי) כדי לבדוק או לעדכן את ההיקף שבחרתם לרמות הגישה:
    1. בקטע היקף, לוחצים על עריכה.
    2. משנים את מה שרוצים ולוחצים על שמירה.
12. (אופציונלי) כדי לבדוק או לעדכן את האפליקציות שבחרתם לרמות הגישה:
    1. בקטע אפליקציות, לוחצים על עריכה.
    2. משנים את מה שרוצים ולוחצים על שמירה.
13. בקטע הגדרות המדיניות, לוחצים על עריכה.
14. בודקים את המדיניות שנבחרה כדי לוודא שהיא מוגדרת לחסום את האפליקציות הנכונות. המדיניות יכולה לכלול חסימת גישה לגרסאות של האפליקציות שבחרתם למחשב ולנייד, חסימת גישה של אפליקציות אחרות לאפליקציות שבחרתם באמצעות ממשקי API, והחרגת אפליקציות ברשימת ההיתרים.
15. לוחצים על שמירה.
16. בקטע מה המשמעות של המדיניות הזו?, בודקים את ההשפעות של רמות בקרת הגישה מבוססת-ההקשר החדשות על הארגון ועל האפליקציות שלו. כדי לעדכן את הבחירות, לוחצים על עריכה לצד רמות גישה, פעולות, היקף, אפליקציות או הגדרות מדיניות.
17. לוחצים על הקצאה.

הצגת אירועים שנרשמו ביומן של רמת גישה

אתם יכולים להשתמש באפשרות "צפייה בדוח" כדי לבדוק אם רמות הגישה שהקציתם פועלות כמו שצריך כדי לשלוט בגישה של המשתמשים לאפליקציות. רמות גישה שמוגדרות למצב מעקב או למצב פעיל יוצרות אירועים שנרשמים ביומן של בקרת הגישה מבוססת-ההקשר.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   צריך את הרשאות הניהול של כללים ורמת הגישה לאבטחת מידע ואת הרשאות הקריאה של משתמשים וקבוצות ב-Admin API.

2. בקטע הקצאת רמות גישה, לוחצים על הקצאת רמות גישה לאפליקציות.
3. (אופציונלי) כדי להחיל את ההגדרה רק על חלק מהמשתמשים, בצד, בוחרים יחידה ארגונית (בדרך כלל מדובר במחלקה) או הגדרות לקבוצת משתמשים (מתקדם).

   הגדרות של קבוצות מבטלות את ההגדרות של היחידות הארגוניות. מידע נוסף

4. מציבים את הסמן מעל אפליקציה ולוחצים על פעולות הצגת הדוח.
5. בצד, לוחצים על הקישור לכלי לחקירת אבטחה כדי להריץ באופן אוטומטי חיפוש של אירועים ביומן של בקרת גישה מבוססת-הקשר באפליקציה שנבחרה.

תוצאות החיפוש כוללות את הפרטים הבאים:

• אירועים מסוג הגישה נדחתה (מצב הדגמה) מציגים משתמשים שהיו נחסמים אם רמת הגישה הזו הייתה נאכפת.
• בעמודה המשתמש/ת מוצג המשתמש שנחסם.
• רמות הגישה שניתנו, שמתקיימות (תנאי הגישה מתקיימים) ושלא מתקיימות (תנאי הגישה לא מתקיימים)

מידע נוסף זמין במאמר אירועים ביומן של בקרת גישה מבוססת-הקשר.