为应用分配情境感知访问权限级别

创建访问权限级别后，就可以将它们分配给应用了。您可以按用户身份、设备安全状态、IP 地址和地理位置来控制访问权限。您还可以控制尝试访问 Google Workspace 应用的应用以及尝试通过应用编程接口 (API) 访问 Google Workspace 数据的应用的访问权限。

当您分配访问权限级别时…

• 选择访问权限级别后，系统会默认将其设置为监控模式。在监控模式下，您可以模拟强制执行访问权限级别的效果，而不会阻止用户访问。如需详细了解监控模式，请参阅部署情境感知 访问权限。
• 只要用户符合您所选择的访问权限级别之一中指定的条件（列表中各访问权限级别之间的逻辑关系是“或”），系统就会授予用户访问该应用的权限。如果您希望用户满足多个访问权限级别中的条件（访问权限级别之间的逻辑关系是“与”），则需要创建包含多个访问权限级别的访问权限级别。如果您想为某个应用分配超过 10 个访问权限级别，则可以使用嵌套访问权限级别。
• 对于移动应用，如果您使用一体化 Gmail，则可以一次授予或拒绝对 Gmail、Google Chat 和 Google Meet 的访问权限。如果 Chat 和 Meet 是作为独立的应用（不作为一体化 Gmail 的一部分）使用，那么您就需要分别授予或拒绝对这些应用的访问权限。
• 某些应用需要访问其他应用的 API 才能正常运行。例如，Gmail 需要访问 Google 日历、云端硬盘和 Meet API。Google 日历需要 Tasks API，而 Gemini 需要 Gmail API。分配访问权限级别时，请考虑这些依赖项，以确保应用按预期运行。
• 为应用分配访问权限级别并不会自动阻止其 API。如果您屏蔽某个应用（例如 Gmail），用户将无法直接登录该应用。不过，其他应用或第三方客户端可能仍可通过该应用的 API 访问其数据，例如通过 Gmail API 访问邮件。如需阻止通过 API 进行的所有访问，您还必须明确将访问权限级别应用于应用的 API。

为应用分配访问权限级别

1. 在 Google 管理控制台中，依次点击“菜单”图标 安全性 访问权限和数据控件 情境感知访问权限。

   转到“情境感知访问权限”

   需要 数据安全访问权限级别管理和规则管理权限 以及 Admin API 群组和用户读取权限。

   
2. 对于分配访问权限级别，请点击为应用分配访问权限级别。
3. （可选）如要将设置仅应用于部分用户，请在侧边选择一个组织部门 （对于部门来说这是常用选项）或配置群组 （高级）。

   群组设置会覆盖组织部门的设置。了解详情

   
4. 选择一个选项：
   • 将光标指向某个应用，然后依次点击操作 分配。
   • 勾选多个应用旁边的复选框，然后点击应用列表上方的分配 。
5. 对于访问权限级别 ，点击修改 。
6. 对于访问权限级别，每个访问权限级别选择一个选项：
   • 如需在不实际阻止访问权限的情况下，测试选择访问权限级别会对用户有何影响，请勾选监控 复选框。
   • 如需开始应用访问权限级别，请勾选活跃 复选框。
7. 点击保存。
8. 在操作 中，点击修改 。
9. 选择 警告 或 阻止 ，以指定当受支持的应用不符合活跃访问权限级别政策时会发生什么情况。如需详细了解受支持的应用，请参阅本页面上的应用对情境感知访问权限的支持。
10. 点击保存 。
11. （可选）如需更新为访问权限级别选择的范围，请执行以下操作：
    1. 对于范围，点击修改。
    2. 进行任意更改，然后点击保存 。
12. （可选）如需更新您为访问权限级别选择的应用，请执行以下操作：
    1. 对于应用，点击修改。
    2. 进行任意更改，然后点击保存。
13. 对于政策设置，点击修改。
14. （推荐）勾选阻止用户访问 Google 桌面和 移动应用（如果不符合访问权限级别）复选框，为 核心桌面应用、Android 应用、iOS 应用、Web 应用的用户应用访问权限级别。如需详细了解 在配置首选访问权限 级别设置后，应用可能会出现的行为，请参阅本页面上的基于访问权限级别 设置的应用行为。

15. （可选）如需阻止应用通过 公开的公共 API 尝试访问 Workspace 数据，请勾选 阻止其他应用通过 API 访问 所选应用（如果不符合访问权限级别） 复选框。

    • （可选）要免除受信任的应用被公开的 API 屏蔽，请勾选豁免已列入许可名单的应用，以便这些应用始终可以访问特定 Google 服务的 API（无论访问权限级别如何） 复选框。

      此选项适用于按组织部门进行配置，而不是按配置群组进行配置，即使您可以在管理控制台中选择群组也是如此。如需了解详情，请参阅 用例：不阻止受信任的第三方应用 不阻止 阻止。

      • 如果您要豁免的应用或应用列表未显示，请点击前往应用访问权限控制 ，然后完成信任该应用的步骤。您在“应用访问权限控制”页面上标记为受信任 的所有应用都会列在受信任的应用表格中。如果您已将某些应用标记为“受信任”并使其不受限于 API 强制执行，则这些应用会预先选中。

    • 如果需要，请选择不受限于 API 强制执行的应用，然后点击继续 。

16. 点击保存 。

17. 对于此政策的作用是什么？，请查看新的访问权限 级别对组织及其应用的影响。如需更新选择， 请点击访问权限级别 、操作 、范围 、应用 或政策 设置 旁边的修改 。

18. 点击分配 。

系统会返回到应用列表页面。“访问权限级别”列显示了监控模式和活动模式下应用于各个应用的访问权限级别的数量。

应用对情境感知访问权限的支持

基于访问权限级别设置的应用行为

• Gemini 移动应用有自己的内置内容屏蔽系统。当查询违反访问权限级别时，应用会显示“访问遭拒”消息，而不是显示标准系统警告。
  • 问候等简单查询不会触发此消息，因为它们不需要进行访问权限评估。
  • 如果简单查询紧随被屏蔽的复杂请求，应用可能会重新处理之前的提示。这可能会导致系统再次发出“访问遭拒”警告，或者对被屏蔽的查询做出意外响应。
  • 受到限制时，Gemini 仅使用其核心系统响应简单查询。对 Google Workspace 数据（例如 Gmail 或 Google 云端硬盘）的访问权限仍然受到严格限制。
• 如果为 Google 日历或云端硬盘启用了在其他应用尝试通过 API 进行访问时生效 ，Gemini 应用也会被屏蔽。发生这种情况是因为 Gemini 应用需要访问 Google 日历和云端硬盘的范围，而不是数据。如需启用此设置，请在政策设置 部分中勾选 the 阻止其他应用通过 API 访问所选应用（如果不符合访问权限级别） 复选框。

查看或修改已分配的访问权限级别

此设置用于在本地应用更改，不会显示继承的分配。

1. 在 Google 管理控制台中，依次点击“菜单”图标 安全性 访问权限和数据控件 情境感知访问权限。

   转到“情境感知访问权限”

   需要 数据安全访问权限级别管理和规则管理权限 以及 Admin API 群组和用户读取权限。

2. 对于分配访问权限级别，请点击为应用分配访问权限级别。
3. （可选）如要将设置仅应用于部分用户，请在侧边选择一个组织部门 （对于部门来说这是常用选项）或配置群组 （高级）。

   群组设置会覆盖组织部门的设置。了解详情

   
4. 选择一个选项：
   • 将光标指向某个应用，然后依次点击操作 分配。
   • 勾选多个应用旁边的复选框，然后点击应用列表上方的分配 。
5. 对于访问权限级别 ，点击修改 。
6. 对于访问权限级别，每个访问权限级别选择一个选项：
   • 如需在不实际阻止访问权限的情况下，测试选择访问权限级别会对用户有何影响，请勾选监控 复选框。
   • 如需开始应用访问权限级别，请勾选活跃 复选框。
7. 点击保存。
8. 在操作 中，点击修改 。
9. 查看您选择的访问权限级别，验证它们是否设置为在未满足访问权限级别条件时触发您所需的操作。
   • 阻止 \- 阻止对应用的访问权限。
   • 警告 \- 允许访问应用，并在用户使用应用时向其发送应用内警告 通知。如果用户继续积极使用该应用，则每 48 小时会收到一条新通知。如果不同的应用受相同的访问权限级别保护，则只有第一次访问尝试会触发通知，以避免向用户发送过多通知。
10. 点击保存 。
11. （可选）如需查看或更新您为访问权限级别选择的范围，请执行以下操作：
    1. 对于范围，点击修改。
    2. 进行任意更改，然后点击保存 。
12. （可选）如需查看或更新您为访问权限级别选择的应用，请执行以下操作：
    1. 对于应用，点击修改。
    2. 进行任意更改，然后点击保存。
13. 对于政策设置，点击修改。
14. 查看您选择的政策，验证其是否设置为阻止正确的应用。该政策可以包括：阻止访问所选应用的桌面版和移动版、阻止其他应用使用 API 访问所选应用，以及豁免已列入许可名单的应用。
15. 点击保存 。
16. 对于此政策的作用是什么？，请查看新的 情境感知访问权限对组织及其应用的影响。如需 更新选择，请点击访问权限级别 、操作 、范围、 应用 或政策设置 旁边的修改 。
17. 点击分配 。

查看针对访问权限级别的记录事件

使用“查看报告”选项可跟踪您分配的访问权限级别是否正常运作，以控制用户对应用的访问权限。如果访问权限级别设置为监控模式或活动模式，则系统会生成记录在情境感知访问权限日志中的事件。

1. 在 Google 管理控制台中，依次点击“菜单”图标 安全性 访问权限和数据控件 情境感知访问权限。

   转到“情境感知访问权限”

   需要 数据安全访问权限级别管理和规则管理权限 以及 Admin API 群组和用户读取权限。

2. 对于分配访问权限级别，请点击为应用分配访问权限级别。
3. （可选）如要将设置仅应用于部分用户，请在侧边选择一个组织部门 （对于部门来说这是常用选项）或配置群组 （高级）。

   群组设置会覆盖组织部门的设置。了解详情

4. 将光标指向某个应用，然后依次点击操作 查看报告。
5. 在侧边栏中，点击安全调查工具的链接，以自动搜索所选应用的情境感知访问权限日志事件。

搜索结果包含以下信息：

• 访问遭拒（监控模式） 事件会显示如果强制执行此访问权限级别，哪些用户会被阻止。
• 操作者 列会显示被阻止的用户。
• 已应用、已满足（符合访问条件）和不满足（不符合访问条件）的访问权限级别

如需了解详情，请参阅情境感知访问权限日志 事件。