“安全管控”规则，用于访问管理和访问审批

如需将安全管控规则与访问权限审批功能搭配使用，您需要购买 Google Workspace 安全管控或安全管控 Plus 版加购项。如需将此规则与访问管理功能搭配使用，您需要购买 Google Workspace 安全管控 Plus 版加购项。如需了解详情，请与您的销售代表联系。

作为管理员，您可以使用安全管控规则，要求 Google 员工在访问贵组织的数据之前，必须先获得批准或满足位置和凭据要求。创建规则后，您可以根据数据的分类标签为其指定政策。您可以对数据使用基于规则的政策，而不是将单个政策应用于整个组织、部门或团队。

基于规则的政策的主要优势

  • 有针对性的支持保护 - 通过使用分类标签，您只需将政策应用于需要保护的特定数据。这种有针对性的方法可以保护敏感数据，而不会不必要地减慢支持解决时间。
  • 集中管理 - 您可以同时应用访问管理和访问权限审批保护。这种联合强制执行可让您的设置保持同步，并允许您在一个位置更新政策，从而降低了与管理单独政策相比出错的可能性。有关详情，请参阅访问权限管理或访问权限审批。

资源所有者范围简介

规则会根据资源所有者（用户账号或共享云端硬盘），而不是资源访问者来保护数据。如果您将某条规则限制为仅适用于特定部门或群组，则该限制仅适用于该部门或群组中的用户或共享云端硬盘所拥有的数据。

创建规则

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 规则 然后 创建规则 然后 Assured Controls。

    您必须以超级用户身份登录，才能执行此任务。

  2. 在选择操作部分，勾选以下任一复选框：
    • 如需根据 Google 员工的位置和凭证限制哪些 Google 员工可执行支持操作，请勾选应用访问管理政策复选框。
    • 如需在 Google 员工执行支持操作之前要求管理员批准，请勾选应用访问权限审批政策复选框。
  3. 点击下一步。
  4. 在配置操作部分，为您选择的政策配置设置：
    1. 在应用访问管理政策部分，选择哪些 Google 员工可执行支持操作：
      • 美国境内的美国 Google 员工
      • 美国境内获得 CJIS 授权和 IRS 1075 授权的 Google 员工
      • 仅允许身在欧盟境内的欧盟 Google 员工执行支持操作，或者在必要时允许欧盟境外的 Google 员工通过欧盟境内的虚拟桌面提供支持
    2. （可选）如需更改地区规则冲突的解决方式，请点击修改位置优先级。如需了解详情，请参阅设置位置优先级以解决规则冲突。
    3. 对于应用访问权限审批政策，请查看政策详情。无需您进行额外设置。
    4. 对于提醒，请查看跟踪详情。如需在此规则触发时在提醒中心接收通知，您必须稍后使用 Access Transparency 日志事件作为数据源条件来创建活动规则。
  5. 点击下一步。
  6. 在条件部分，定义数据必须满足哪些条件才能触发规则：
    • 资源所有者 - 选择是应用于您的组织中的所有人，还是选择指定组织部门或群组以应用于特定部门或团队。
    • 内容 - 点击添加条件，选择分类标签，然后选择所需的属性标签。
      注意：如果您需要先创建标签，请参阅分类标签管理员使用入门。
  7. 点击下一步。
  8. 在审核部分，输入名称和（可选）说明。
  9. 对于状态，选择启用（如果您想先测试规则并监控日志，请将其保留为未启用状态），然后点击保存规则。

使用数据保护规则自动添加标签

您可以使用数据保护规则来创建和实施数据泄露防护 (DLP) 政策，以自动处理数据标签：

  1. 设置数据保护规则，以扫描数据中的敏感信息（例如信用卡号或税号），并将其配置为在找到匹配项时自动应用特定分类标签。有关详情，请参阅通过 DLP 规则自动为云端硬盘文件应用分类标签。
  2. 设置安全管控规则（使用本页面上文中的步骤），以监控完全相同的分类标签。

关联后，数据保护规则会查找敏感数据并应用标签，而安全管控规则会限制 Google 员工的访问权限。

政策冲突解决

如果您将规则应用于已受现有用户政策约束的数据，则这些设置可能会发生冲突。发生这种情况时，Google Workspace 会按照以下优先级顺序自动解决冲突：

  1. 安全管控规则会覆盖基于用户的政策 - 如果数据触发了安全管控规则，而该规则也涵盖在为部门或团队设置的基于用户的政策中，则该规则优先。只有在未触发任何安全管控规则的情况下，才会应用更广泛的基于用户的政策。
  2. 群组设置会覆盖部门设置 - 如果资源所有者所属的部门和群组具有冲突的基于用户的政策，则群组设置优先。
  3. 更严格的访问管理政策优先 - 如果 2 条不同的规则适用于同一数据，且地理边界不冲突，则 Google Workspace 会强制执行更严格的限制。例如，要求同时具备 CJIS 和 IRS 1075 凭证的规则会覆盖仅要求具备标准美国员工凭证的规则。
  4. 地理位置冲突取决于位置优先级 - 如果一条规则要求美国员工处理同一数据，而另一条规则要求欧盟员工处理同一数据，则系统会遵循网域的全局位置优先级设置。

为规则冲突设置位置优先级

如需选择当多条规则通过访问管理政策应用不同地理位置时，哪个区域优先，请执行以下操作：

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 数据 然后 法规遵从 然后 访问管理。

    需要安全管控 Plus 版加购项

    您必须以超级用户身份登录，才能执行此任务。

  2. 点击基于规则的范围设置。
  3. 对于安全管控规则之间存在冲突时以哪个位置的规则为准，请选择一个选项：
    • 美国优先 - 如果美国政策和欧盟政策都适用于同一资源，则优先采用美国政策。
    • 优先采用欧盟政策 - 如果欧盟政策和美国政策都适用于同一资源，则优先采用欧盟政策。
  4. 点击保存。