アクセス管理とアクセス承認の Assured Controls ルール

アクセス承認で Assured Controls ルールを使用するには、Google Workspace の Assured Controls または Assured Controls Plus のアドオンが必要です。このルールをアクセス管理で使用するには、Google Workspace の Assured Controls Plus アドオンが必要です。詳しくは、営業担当者にお問い合わせください。

管理者は、Assured Controls ルールを使用して、Google スタッフが組織のデータにアクセスする前に、承認を得ること、または場所と認証情報の要件を満たすことを求めることができます。ルールを作成すると、分類ラベルに基づいてデータのポリシーを指定できます。組織全体、部門、チームに単一のポリシーを適用する代わりに、データにルールベースのポリシーを使用できます。

ルールベースのポリシーの主なメリット

  • 対象を絞ったサポート保護 - 分類ラベルを使用すると、ポリシーを必要とする特定のデータにのみポリシーを適用できます。このターゲットを絞ったアプローチにより、サポート解決時間を不必要に遅らせることなく、機密データを保護できます。
  • 一元管理 - アクセス管理とアクセス承認の保護を同時に適用できます。この共同適用により、設定が同期され、ポリシーを 1 か所で更新できるため、個別のポリシーを管理する場合と比較してエラーの可能性が低くなります。詳しくは、アクセス管理またはアクセス承認をご覧ください。

リソース オーナーのスコープについて

ルールは、リソースにアクセスするユーザーではなく、リソースを所有するユーザー（ユーザー アカウントまたは共有ドライブ）に基づいてデータを保護します。ルールを特定の部門またはグループに制限すると、その部門またはグループ内のユーザーまたは共有ドライブが所有するデータにのみ制限が適用されます。

ルールの作成

  1. Google 管理コンソールで、メニュー アイコン 次に [ ルール] 次に [ルールを作成] 次に [Assured Controls] に移動します。

    この操作を実施するには、特権管理者としてログインする必要があります。

  2. [アクションを選択] で、次のいずれかのチェックボックスをオンにします。
    • サポート対応を行える Google スタッフを、所在地と認証情報に基づいて制限するには、[アクセス管理ポリシーを適用する] チェックボックスをオンにします。
    • Google スタッフがサポート対応を行う前に管理者の承認を必須にするには、[アクセス承認ポリシーを適用する] チェックボックスをオンにします。
  3. [次へ] をクリックします。
  4. [アクションを構成する] で、選択したポリシーの設定を構成します。
    1. [アクセス管理ポリシーを適用する] で、サポート対応を行える Google スタッフを選択します。
      • 米国内にいる米国の Google スタッフ
      • CJIS と IRS 1075 の認証を受けた、米国内の Google スタッフ
      • EU 地域内の EU の Google スタッフによるアクセス、または必要な場合は EU 外の Google スタッフによる EU 地域内の仮想デスクトップを通じたアクセス
    2. （省略可）地域ルールの競合の解決方法を変更するには、[場所の優先順位を編集] をクリックします。詳しくは、ルールの競合が発生した場合の場所の優先度を設定するをご覧ください。
    3. [アクセス承認ポリシーを適用] で、ポリシーの詳細を確認します。特別な設定は必要ありません。
    4. [アラート] で、トラッキングの詳細を確認します。このルールがトリガーされたときにアラート センターで通知を受け取るには、後でアクセスの透明性に関するログイベントをデータソース条件として使用するアクティビティ ルールを作成する必要があります。
  5. [次へ] をクリックします。
  6. [条件] で、ルールをトリガーするためにデータが満たす必要がある条件を定義します。
    • リソースのオーナー - [組織全体に適用] を選択するか、[組織部門またはグループを指定] を選択して特定の部門またはチームに適用します。
    • コンテンツ - [条件を追加] をクリックし、[分類ラベル] を選択して、目的の属性ラベルを選択します。
      注: 最初にラベルを作成する必要がある場合は、分類ラベル管理者としての作業を開始するをご覧ください。
  7. [次へ] をクリックします。
  8. [確認] に名前と説明（省略可）を入力します。
  9. [ステータス] で [有効] を選択します（最初にルールをテストしてログをモニタリングする場合は、無効のままにします）。[ルールを保存] をクリックします。

データ保護ルールを使用してラベル付けを自動化する

データ保護ルールを使用すると、データラベル付けを自動的に処理するデータ損失防止（DLP）ポリシーを作成して適用できます。

  1. データ保護ルールを設定して、クレジット カード番号や納税者番号などの機密情報がないかデータをスキャンし、一致が見つかった場合に特定の分類ラベルを自動的に適用するように構成します。詳しくは、DLP ルールを使用してドライブのファイルに分類ラベルを自動的に適用するをご覧ください。
  2. （このページの上記の手順に沿って）Assured Controls ルールを設定し、同じ分類ラベルを監視します。

リンクされると、データ保護ルールによって機密データが検出され、ラベルが適用されます。また、Assured Controls ルールによって Google スタッフのアクセスが制限されます。

ポリシーの競合の解決

既存のユーザー ポリシーの対象となっているデータにルールを適用すると、設定が競合する可能性があります。この場合、Google Workspace は次の優先順位に従って競合を自動的に解決します。

  1. Assured Controls ルールはユーザーベースのポリシーをオーバーライドする - データが Assured Controls ルールをトリガーし、そのデータが部門またはチームに設定されたユーザーベースのポリシーの対象でもある場合、ルールが優先されます。より広範なユーザーベースのポリシーは、Assured Controls のルールがトリガーされない場合にのみ適用されます。
  2. グループが部門をオーバーライドする - リソース オーナーが、ユーザーベースのポリシーが競合する部門とグループに属している場合、グループの設定が優先されます。
  3. より厳格なアクセス管理ポリシーが優先される - 地理的な境界が競合することなく、同じデータに 2 つの異なるルールが適用される場合、Google Workspace はより厳格な制限を適用します。たとえば、CJIS と IRS 1075 の両方の認証情報を必要とするルールは、標準の米国スタッフの認証情報のみを必要とするルールをオーバーライドします。
  4. 地理的な競合はロケーションの優先度によって異なる - 同じデータに対して、あるルールでは米国のスタッフが必要で、別のルールでは EU のスタッフが必要な場合、システムはドメインのグローバル ロケーションの優先度設定に従います。

ルールの競合が発生した場合のロケーションの優先順位を設定する

複数のルールがアクセス管理ポリシーを介して異なる地域を適用する場合に、優先されるリージョンを選択するには:

  1. Google 管理コンソールで、メニュー アイコン 次に [ データ] 次に [コンプライアンス] 次に [アクセス管理] に移動します。

    Assured Controls Plus アドオンが必要です

    この操作を実施するには、特権管理者としてログインする必要があります。

  2. [ルールに基づく適用範囲の設定] をクリックします。
  3. [Assured Controls ルール間でロケーションの優先順位が競合しています] で、次のいずれかを選択します。
    • 米国を優先 - 米国と EU の両方のポリシーが同じリソースに適用される場合に、米国のポリシーを優先します。
    • EU を優先 - 米国と EU の両方のポリシーが同じリソースに適用される場合に、EU のポリシーを優先します。
  4. [保存] をクリックします。