Apps kontextsensitive Zugriffsebenen zuweisen

Nachdem Sie Zugriffsebenen erstellt haben, können Sie diese Apps zuweisen. Sie können den Zugriff über Benutzeridentität, Gerätesicherheitsstatus, IP-Adresse und geografischen Standort steuern. Sie können außerdem den Zugriff von Apps steuern, die versuchen, auf Google Workspace-Apps zuzugreifen, sowie den Zugriff von Apps, die versuchen, über Anwendungsprogrammierschnittstellen (APIs) auf Google Workspace-Daten zuzugreifen.

Wenn Sie Zugriffsebenen zuweisen...

• Durch die Auswahl einer Zugriffsebene wird standardmäßig der Überwachungsmodus aktiviert. Der Monitor-Modus ermöglicht es Ihnen, die Auswirkungen der Durchsetzung einer Zugriffsebene zu simulieren, ohne den Benutzerzugriff zu blockieren. Für Details zum Monitor-Modus gehen Sie zu Deploy Context-Aware Access.
• Benutzer erhalten Zugriff auf die App, wenn sie die in einer der von Ihnen ausgewählten Zugriffsebenen festgelegten Bedingungen erfüllen (logische ODER-Verknüpfung der Zugriffsebenen in der Liste). Wenn Benutzer die Bedingungen auf mehr als einer Zugriffsebene erfüllen sollen (logische UND-Verknüpfung der Zugriffsebenen), erstellen Sie eine Zugriffsebene, die mehrere Zugriffsebenen enthält. Wenn Sie einer App mehr als 10 Zugriffsebenen zuweisen möchten, können Sie verschachtelte Zugriffsebenen verwenden.
• Bei mobilen Apps können Sie, wenn Sie Gmail integriert haben, den Zugriff auf Gmail, Google Chat und Google Meet gleichzeitig gewähren oder verweigern. Wenn Chat und Meet als separate Apps implementiert sind (und nicht als Teil des integrierten Gmail), müssen Sie den Zugriff auf diese Apps separat gewähren oder verweigern.
• Manche Apps benötigen API-Zugriff auf andere Apps, um korrekt zu funktionieren. Beispielsweise benötigt Gmail Zugriff auf die Kalender-, Drive- und Meet-APIs. Google Kalender benötigt die Tasks API, und Gemini benötigt die Gmail API. Bei der Zuweisung von Zugriffsebenen müssen diese Abhängigkeiten berücksichtigt werden, um sicherzustellen, dass die Anwendungen wie beabsichtigt funktionieren.
• Die Zuweisung einer Zugriffsebene zu einer App blockiert nicht automatisch deren API. Wenn Sie eine App wie Gmail blockieren, können sich Nutzer nicht mehr direkt bei der App anmelden. Andere Apps oder Drittanbieter-Clients können jedoch weiterhin über die API auf die Daten der App zugreifen, beispielsweise auf E-Mail-Nachrichten über die Gmail-API. Um jeglichen Zugriff über APIs zu verhindern, müssen Sie auch für die API der App explizit Zugriffsebenen festlegen.

Weisen Sie einer App Zugriffsebenen zu.

1. Gehen Sie in der Google Admin-Konsole zu Menü Sicherheit Zugriffs- und Datenkontrolle ​​Kontextbezogener Zugriff.

   Zu „Kontextsensitiver Zugriff“

   Erfordert die Administratorberechtigung "Dienste > Datensicherheit" mit Regelverwaltung sowie die Berechtigung für die Admin API "Gruppen" mit Leseberechtigung für "Nutzer".

   
2. Klicken Sie für Zugriffsebenen zuweisen auf Zugriffsebenen Apps zuweisen.
3. Optional: Wenn Sie die Einstellung nur auf bestimmte Nutzer anwenden möchten, wählen Sie an der Seite eine Organisationseinheit (häufig für Abteilungen verwendet) oder eine Konfigurationsgruppe (erweitert) aus.

   Gruppeneinstellungen überschreiben die Einstellungen von Organisationseinheiten. Weitere Informationen

   
4. Wählen Sie eine Option:
   • Zeigen Sie auf eine App und klicken Sie auf Aktionen Zuweisen.
   • Markieren Sie die Kästchen neben mehreren Apps und klicken Sie dann oberhalb der App-Liste auf Zuweisen.
5. Für Zugriffsebenen klicken Sie auf Bearbeiten.
6. Wählen Sie für Zugriffsebene(n) für jede Zugriffsebene eine Option aus:
   • Um zu testen, wie sich die Auswahl der Zugriffsebene auf die Benutzer auswirkt, ohne den Zugriff tatsächlich zu blockieren, aktivieren Sie das Kontrollkästchen Monitor.
   • Um die Zugriffsebene anzuwenden, aktivieren Sie das Kontrollkästchen Active.
7. Klicken Sie auf Speichern.
8. Klicken Sie für Aktionen auf Bearbeiten.
9. Wählen Sie Warnen oder Blockieren, um festzulegen, welche Aktion ausgeführt werden soll, wenn eine aktive Zugriffsrichtlinie für eine unterstützte App nicht erfüllt wird. Details zu unterstützten Apps finden Sie auf dieser Seite unter App-Unterstützung für kontextbezogenen Zugriff.
10. Klicken Sie auf Speichern.
11. (Optional) Um den für Ihre Zugriffsebenen ausgewählten Bereich zu aktualisieren:
    1. Klicken Sie für Scope auf Edit.
    2. Nehmen Sie die gewünschten Änderungen vor und klicken Sie auf Speichern.
12. (Optional) Um die Apps zu aktualisieren, die Sie für Ihre Zugriffsebenen ausgewählt haben:
    1. Klicken Sie für Apps auf Edit.
    2. Nehmen Sie die gewünschten Änderungen vor und klicken Sie auf Speichern.
13. Für Richtlinieneinstellungen, klicken Bearbeiten Die
14. (Empfohlen) Aktivieren Sie das Kontrollkästchen Benutzern den Zugriff auf Google Desktop- und mobile Apps verweigern, wenn die Zugriffsebenen nicht erfüllt sind, um die Zugriffsebenen auf Benutzer von Core-Desktop-, Android- und iOS-Apps sowie Web-Apps anzuwenden. Für Details zu den zu erwartenden Verhaltensweisen nach der Konfiguration Ihrer bevorzugten Zugriffsebeneneinstellungen gehen Sie auf dieser Seite zu App-Verhalten basierend auf Zugriffsebeneneinstellungen.

15. (Optional) Um zu verhindern, dass Apps versuchen, über öffentlich zugängliche APIs auf Workspace-Daten zuzugreifen, aktivieren Sie das Kontrollkästchen Andere Apps daran hindern, über APIs auf die ausgewählten Apps zuzugreifen, wenn die Zugriffsebenen nicht erfüllt sind.

    • (Optional) Um vertrauenswürdige Apps von der Blockierung durch freigegebene APIs auszunehmen, aktivieren Sie das Kontrollkästchen Ausgenommen zugelassene Apps, damit diese unabhängig von den Zugriffsebenen immer auf APIs für bestimmte Google-Dienste zugreifen können.

      Diese Option kann nach Organisationseinheit und nicht nach Konfigurationsgruppe konfiguriert werden, obwohl Sie in der Admin-Konsole eine Gruppe auswählen können. Weitere Informationen finden Sie unter Anwendungsfälle: Vertrauenswürdige Drittanbieter-Apps von der Blockierung ausnehmen.

      • Wird keine Liste der Apps oder die App, die Sie ausnehmen möchten, angezeigt, klicken Sie auf Zur App-Zugriffskontrolle und führen Sie die Schritte aus, um der App zu vertrauen. Alle Apps, die Sie auf der Seite „App-Zugriffskontrolle“ als Vertrauenswürdig markieren, werden in der Tabelle der vertrauenswürdigen Apps aufgeführt. Apps werden vorausgewählt, wenn Sie sie als vertrauenswürdig markiert und von der API-Durchsetzung ausgenommen haben.

    • Wählen Sie gegebenenfalls die Apps aus, die von der API-Durchsetzung ausgenommen werden sollen, und klicken Sie auf Weiter.

16. Klicken Sie auf Speichern.

17. Unter dem Punkt Was bewirkt diese Richtlinie? sollten Sie die Auswirkungen der neuen Zugriffsebenen auf Ihre Organisation und deren Anwendungen prüfen. Um die Auswahlen zu aktualisieren, klicken Sie neben Zugriffsebenen, Aktionen, Bereich, Apps oder Richtlinieneinstellungen auf Bearbeiten.

18. Klicken Sie auf Zuweisen.

Sie werden zurück zur App-Listenseite geleitet. Die Spalte „Zugriffsebenen“ zeigt die Anzahl der Zugriffsebenen an, die für jede App im Überwachungsmodus und im aktiven Modus angewendet werden.

App-Unterstützung für kontextbezogenen Zugriff

App-Verhalten basierend auf den Einstellungen der Zugriffsebene

• Die mobile Gemini App hat ein eigenes integriertes System zum Blockieren von Inhalten. Wenn eine Anfrage gegen eine Zugriffsebene verstößt, wird in der App anstelle einer Standard-Systemwarnung die Meldung „Zugriff verweigert“ angezeigt.
  • Bei einfachen Anfragen wie Begrüßungen wird diese Meldung nicht ausgelöst, da keine Zugriffsüberprüfung erforderlich ist.
  • Wenn auf eine blockierte komplexe Anfrage eine einfache Anfrage folgt, verarbeitet die App den vorherigen Prompt möglicherweise noch einmal. Dies kann zu einer weiteren Warnung „Zugriff verweigert“ oder zu einer unbeabsichtigten Antwort auf die blockierte Anfrage führen.
  • Wenn Einschränkungen gelten, antwortet Gemini auf einfache Anfragen nur mit dem Kernsystem. Der Zugriff auf Google Workspace-Daten (z. B. Gmail oder Google Drive) bleibt stark eingeschränkt.
• Wenn Bei Zugriffsversuchen anderer Apps über APIs anwenden für Google Kalender oder Drive aktiviert ist, wird auch die Gemini App blockiert. Das liegt daran, dass die Gemini App Zugriff auf Google Kalender- und Drive-Bereiche benötigt, nicht auf Daten. Wenn Sie diese Einstellung aktivieren möchten, setzen Sie im Bereich Richtlinieneinstellungen ein Häkchen bei Andere Apps ohne entsprechende Zugriffsebene blockieren, sodass sie nicht über APIs auf die ausgewählten Apps zugreifen können.

Zugriffsebenen prüfen oder ändern

Mit dieser Einstellung werden Änderungen lokal angewendet und es werden keine übernommenen Zuweisungen angezeigt.

1. Öffnen Sie in der Admin-Konsole das Dreistrich-Menü  Sicherheit Zugriffs- und Datenkontrolle Kontextsensitiver Zugriff.

   Zu „Kontextsensitiver Zugriff“

   Erfordert die Administratorberechtigung "Dienste > Datensicherheit" mit Regelverwaltung sowie die Berechtigung für die Admin API "Gruppen" mit Leseberechtigung für "Nutzer".

2. Klicken Sie unter Zugriffsebenen zuweisen auf Apps Zugriffsebenen zuweisen.
3. Optional: Wenn Sie die Einstellung nur auf bestimmte Nutzer anwenden möchten, wählen Sie an der Seite eine Organisationseinheit (häufig für Abteilungen verwendet) oder eine Konfigurationsgruppe (erweitert) aus.

   Gruppeneinstellungen überschreiben die Einstellungen von Organisationseinheiten. Weitere Informationen

   
4. Wählen Sie eine Option aus:
   • Bewegen Sie den Mauszeiger auf eine App und klicken Sie auf Aktionen Zuweisen.
   • Markieren Sie die Kästchen neben mehreren Apps und klicken Sie dann oberhalb der App-Liste auf Zuweisen.
5. Für Zugriffsebenen klicken Sie auf Bearbeiten.
6. Wählen Sie für Zugriffsebene(n) für jede Zugriffsebene eine Option aus:
   • Um zu testen, wie sich die Auswahl der Zugriffsebene auf die Benutzer auswirkt, ohne den Zugriff tatsächlich zu blockieren, aktivieren Sie das Kontrollkästchen Monitor.
   • Um die Zugriffsebene anzuwenden, aktivieren Sie das Kontrollkästchen Active.
7. Klicken Sie auf Speichern.
8. Klicken Sie für Aktionen auf Bearbeiten.
9. Überprüfen Sie Ihre ausgewählten Zugriffsebenen, um sicherzustellen, dass sie so eingestellt sind, dass die gewünschte Aktion ausgelöst wird, wenn die Zugriffsebenenbedingungen nicht erfüllt sind.
   • Block—Blockiert den Zugriff auf die App.
   • Warn—Erlaubt den Zugriff auf die App und sendet dem Benutzer während der Nutzung der App eine Warnmeldung. Wenn der Nutzer die App weiterhin aktiv nutzt, erhält er alle 48 Stunden eine neue Benachrichtigung. Wenn verschiedene Apps mit den gleichen Zugriffsebenen geschützt sind, wird nur beim ersten Zugriffsversuch eine Benachrichtigung ausgelöst, um eine Überbenachrichtigung der Benutzer zu vermeiden.
10. Klicken Sie auf Speichern.
11. (Optional) Um den von Ihnen ausgewählten Bereich für Ihre Zugriffsebenen zu überprüfen oder zu aktualisieren:
    1. Klicken Sie für Scope auf Edit.
    2. Nehmen Sie die gewünschten Änderungen vor und klicken Sie auf Speichern.
12. (Optional) Um die für Ihre Zugriffsebenen ausgewählten Apps zu überprüfen oder zu aktualisieren:
    1. Klicken Sie für Apps auf Edit.
    2. Nehmen Sie die gewünschten Änderungen vor und klicken Sie auf Speichern.
13. Für Richtlinieneinstellungen, klicken Bearbeiten Die
14. Überprüfen Sie Ihre ausgewählte Richtlinie, um sicherzustellen, dass die richtigen Apps blockiert werden. Die Richtlinie kann das Blockieren des Zugriffs auf die Desktop- und Mobilversionen Ihrer ausgewählten Apps, das Blockieren des Zugriffs anderer Apps auf Ihre ausgewählten Apps über APIs und das Ausnehmen von Apps auf der Zulassungsliste umfassen.
15. Klicken Sie auf Speichern.
16. Unter Was bewirkt diese Richtlinie? erfahren Sie, welche Auswirkungen die neuen kontextbezogenen Zugriffsebenen auf Ihre Organisation und ihre Anwendungen haben werden. Um die Auswahlen zu aktualisieren, klicken Sie neben Zugriffsebenen, Aktionen, Bereich, Apps oder Richtlinieneinstellungen auf Bearbeiten.
17. Klicken Sie auf Zuweisen.

Protokollierte Ereignisse für eine Zugriffsebene anzeigen

Mit der Option „Bericht anzeigen“ können Sie überprüfen, ob Ihre zugewiesenen Zugriffsebenen ordnungsgemäß funktionieren, um den Benutzerzugriff auf Apps zu steuern. Zugriffsebenen, die entweder auf Überwachungs- oder Aktivmodus eingestellt sind, erzeugen Ereignisse, die im Protokoll für kontextbezogene Zugriffe protokolliert werden.

1. Öffnen Sie in der Admin-Konsole das Dreistrich-Menü  Sicherheit Zugriffs- und Datenkontrolle Kontextsensitiver Zugriff.

   Zu „Kontextsensitiver Zugriff“

   Erfordert die Administratorberechtigung "Dienste > Datensicherheit" mit Regelverwaltung sowie die Berechtigung für die Admin API "Gruppen" mit Leseberechtigung für "Nutzer".

2. Klicken Sie unter Zugriffsebenen zuweisen auf Apps Zugriffsebenen zuweisen.
3. Optional: Wenn Sie die Einstellung nur auf bestimmte Nutzer anwenden möchten, wählen Sie an der Seite eine Organisationseinheit (häufig für Abteilungen verwendet) oder eine Konfigurationsgruppe (erweitert) aus.

   Gruppeneinstellungen überschreiben die Einstellungen von Organisationseinheiten. Weitere Informationen

4. Zeigen Sie auf eine App und klicken Sie auf Aktionen Bericht anzeigen.
5. Klicken Sie seitlich auf den Link zum Sicherheitsuntersuchungstool, um automatisch eine Suche nach kontextbezogenen Zugriffsprotokollereignissen für die ausgewählte App durchzuführen.

Die Suchergebnisse enthalten folgende Informationen:

• Zugriff verweigert (Überwachungsmodus) Ereignisse zeigen Benutzer an, die gesperrt worden wären, wenn diese Zugriffsebene erzwungen worden wäre.
• Die Spalte Actor zeigt den blockierten Benutzer an.
• Angewendete Zugriffsebenen, erfüllte (Zugriffsbedingungen erfüllt) und nicht erfüllte (Zugriffsbedingungen nicht erfüllt)

Weitere Informationen finden Sie unter Context-Aware Access-Protokollereignisse.