存取管理和存取核准的安全控管規則

如要搭配存取權核准功能使用安全控管規則，您需要加購 Google Workspace 安全控管或安全控管 Plus。如要搭配存取管理功能使用這項規則，您需要加購 Google Workspace 安全控管 Plus。詳情請洽詢業務代表。

管理員可以使用安全控管規則，要求 Google 員工必須獲得核准，或符合位置和憑證規定，才能存取貴組織的資料。建立規則後，您就能根據資料的分類標籤指定政策。您可以對資料使用規則型政策，而不必將單一政策套用至整個組織、部門或團隊。

規則式政策的主要優點

  • 針對性支援保護：使用分類標籤，只對需要特定資料套用政策。這種精準做法可保護機密資料，同時避免不必要地拖慢支援解決時間。
  • 集中管理：您可以同時套用存取權管理和存取權核准保護措施。這項聯合強制執行機制可讓設定保持同步，並在單一位置更新政策，相較於管理個別政策，可降低出錯的可能性。詳情請參閱「存取權管理」或「存取權核准」。

關於資源擁有者範圍

規則會根據資源擁有者 (使用者帳戶或共用雲端硬碟) 保護資料，而非根據存取者。如果將規則限制在特定部門或群組，則限制僅適用於該部門或群組內使用者或共用雲端硬碟擁有的資料。

建立規則

  1. 在 Google 管理控制台中，依序點選「選單」圖示 接下來「規則」接下來「建立規則」接下來「安全控管」。

    必須以超級管理員身分登入，才能執行這項工作。

  2. 在「選取動作」下方，勾選下列任一方塊：
    • 如要根據 Google 員工的所在地和憑證，限制哪些員工可以採取支援行動，請勾選「Apply Access Management policy」(套用存取權管理政策) 方塊。
    • 如要規定 Google 員工必須先經管理員核准，才能採取支援行動，請勾選「套用存取權核准政策」方塊。
  3. 點按「繼續」。
  4. 在「設定動作」部分，設定所選政策：
    1. 在「Apply Access Management policy」(套用存取權管理政策) 部分，選取要允許哪些 Google 員工採取支援行動：
      • 美國境內的美籍 Google 員工
      • 美國境內通過 CJIS 和 IRS 1075 認證的 Google 員工
      • 允許歐盟境內的 Google 員工採取支援行動，或視需要讓歐盟境外的 Google 員工透過歐盟境內的虛擬桌面提供服務
    2. (選用) 如要變更區域規則衝突的解決方式，請按一下「Edit location priority」(編輯位置優先順序)。詳情請參閱「設定位置優先順序，解決規則衝突」。
    3. 在「Apply Access Approvals policy」(套用存取權核准政策) 部分，查看政策詳細資料。您不需要額外進行設定。
    4. 在「快訊」部分，查看追蹤詳細資料。如要在觸發這項規則時，於快訊中心收到通知，請務必在之後建立活動規則，並使用「資料存取透明化控管機制記錄事件」做為資料來源條件。
  5. 點按「繼續」。
  6. 在「Conditions」(條件) 部分，定義資料必須符合哪些條件，才會觸發規則：
    • 資源擁有者：選擇「套用至貴機構的所有成員」，或選取「指定機構單位或群組」，套用至特定部門或團隊。
    • 內容：按一下「新增條件」，選取「分類標籤」，然後選擇所需屬性標籤。
      注意：如需先建立標籤，請參閱「以分類標籤管理員身分開始使用」。
  7. 點按「繼續」。
  8. 在「Review」(審查) 部分，輸入名稱和說明 (選填)。
  9. 在「狀態」部分，選取「有效」 (如要先測試規則並監控記錄，請保持無效狀態)，然後按一下「儲存規則」。

使用資料保護規則自動套用標籤

您可以使用資料保護規則，建立及強制執行資料遺失防護 (DLP) 政策，自動處理資料標籤：

  1. 設定資料保護規則，掃描資料中的私密資訊 (例如信用卡或稅號)，並設定在找到相符項目時自動套用特定分類標籤。詳情請參閱「使用資料遺失防護規則，自動為雲端硬碟檔案套用分類標籤」。
  2. 按照本頁前述步驟設定安全控管規則，監控同一個分類標籤。

連結後，資料保護規則會找出機密資料並套用標籤，安全控管規則則會限制 Google 員工的存取權。

解決政策衝突

如果您將規則套用至現有使用者政策已涵蓋的資料，這些設定可能會發生衝突。發生這種情況時，Google Workspace 會自動按照下列優先順序解決衝突：

  1. 安全控管規則會覆寫使用者政策：如果資料觸發安全控管規則，且該規則也涵蓋在為部門或團隊設定的使用者政策中，則以規則為準。只有在未觸發安全控管規則時，才會套用更廣泛的使用者政策。
  2. 群組會覆寫部門設定：如果資源擁有者所屬的部門和群組，其使用者政策互相衝突，系統會優先採用群組設定。
  3. 較嚴格的存取權管理政策優先：如果 2 項不同的規則適用於同一筆資料，且地理邊界不衝突，Google Workspace 會強制執行較嚴格的限制。舉例來說，如果某項規則要求同時具備 CJIS 和 IRS 1075 憑證，就會覆寫僅要求標準美國員工憑證的規則。
  4. 地理位置衝突取決於位置優先順序：如果一項規則要求美國員工，另一項規則要求歐盟員工處理相同資料，系統會遵循網域的全域位置優先順序設定。

設定規則衝突時的位置優先順序

如要選擇當多項規則透過存取權管理政策套用不同地理位置時，哪個區域優先：

  1. 在 Google 管理控制台中，依序前往「選單」圖示 接下來「資料」選項 接下來「法規遵循」接下來「存取權管理」。

    須安裝安全控管 Plus 外掛程式

    必須以超級管理員身分登入，才能執行這項工作。

  2. 按一下「以規則為準的範圍設定」。
  3. 在「多項安全控管規則有衝突時的位置優先順序」部分，選取下列任一選項：
    • 優先採用美國：如果美國和歐盟政策同時適用於同一資源，則優先採用美國政策。
    • 優先採用歐盟：如果歐盟和美國政策同時適用於同一資源，系統會優先採用歐盟政策。
  4. 按一下「儲存」。