存取管理和存取核准的安全控管規則

如要搭配存取權核准功能使用安全控管規則，您需要加購 Google Workspace 安全控管或安全控管 Plus。如要搭配存取管理功能使用這項規則，您需要安裝 Google Workspace 安全控管 Plus 外掛程式。詳情請洽詢業務代表。

管理員可以使用安全控管規則，要求 Google 員工必須先獲得核准或符合位置和憑證規定，才能存取貴機構的資料。建立規則後，您就能根據分類標籤，為資料指定政策。您可以針對資料使用以規則為準的政策，不必為整個機構、部門或團隊套用單一政策。

規則式政策的主要優點

  • 有針對性的支援保護措施：使用分類標籤時，您只會將政策套用至需要保護的特定資料。這種做法可保護機密資料，同時不會不必要地延長支援解決時間。
  • 集中管理：您可以同時套用存取權管理和存取權核准保護措施。這項聯合執法機制可讓設定保持同步，並允許您在單一位置更新政策，與管理個別政策相比，可減少出錯的可能性。詳情請參閱「存取管理」或「存取權核准」。

關於資源擁有者範圍

規則會根據資源擁有者 (使用者帳戶或共用雲端硬碟) 保護資料，而非存取者。如果將規則限制在特定部門或群組，限制只會嚴格套用至該部門或群組中使用者擁有的資料或共用雲端硬碟。

建立規則

  1. 在 Google 管理控制台中，依序點選「選單」圖示 接下來「規則」接下來「建立規則」接下來「受控保證」。

    您必須以超級管理員的身分登入，才能執行這項工作。

  2. 在「選取動作」下方，勾選下列任一方塊：
    • 如要根據 Google 員工的所在地和憑證，限制哪些員工可以採取支援行動，請勾選「套用存取管理政策」方塊。
    • 如要規定 Google 員工必須先經管理員核准，才能採取支援行動，請勾選「套用存取權核准政策」方塊。
  3. 點按「繼續」。
  4. 在「設定動作」部分，設定所選政策：
    1. 在「套用存取管理政策」部分，選取要允許哪些 Google 員工採取支援行動：
      • 美國境內的美籍 Google 員工
      • 美國境內通過 CJIS 和 IRS 1075 認證的 Google 員工
      • 允許歐盟境內的 Google 員工採取支援行動，或視需要讓歐盟境外的 Google 員工透過歐盟境內的虛擬桌面提供服務
    2. (選用) 如要變更區域規則衝突的解決方式，請按一下「編輯位置優先順序」。詳情請參閱「設定規則衝突的位置優先順序」。
    3. 如要套用存取權核准政策，請先詳閱政策詳細資料。 不需要額外設定。
    4. 如為「快訊」，請查看追蹤詳細資料。如要在觸發這項規則時，透過快訊中心接收通知，您必須稍後以「資料存取透明化控管機制記錄事件」為資料來源條件，建立活動規則。
  5. 點按「繼續」。
  6. 在「條件」部分，定義資料必須符合的條件，才能觸發規則：
    • 資源擁有者：選擇要套用至整個機構，或是選取「指定機構單位或群組」，套用至特定部門或團隊。
    • 內容：按一下「新增條件」，選取「分類標籤」，然後選擇所需屬性標籤。
      注意：如需先建立標籤，請參閱「以分類標籤管理員身分開始使用」。
  7. 點按「繼續」。
  8. 在「審查」中輸入名稱，並視需要輸入說明。
  9. 選取「狀態」下方的「有效」 (如要先測試規則並監控記錄，請將狀態設為無效)，然後按一下「儲存規則」。

使用資料保護規則自動套用標籤

您可以透過資料保護規則建立及強制執行資料遺失防護 (DLP) 政策，自動處理資料標籤：

  1. 設定資料保護規則，掃描資料中的機密資訊 (例如信用卡號或稅號)，並設定在找到相符內容時自動套用特定分類標籤。詳情請參閱「使用資料遺失防護規則，自動為雲端硬碟檔案套用分類標籤」。
  2. 按照本頁前述步驟設定確保控管規則，監控完全相同的分類標籤。

連結後，資料保護規則會找出機密資料、套用標籤，而安全控管規則則會限制 Google 員工存取權。

解決政策衝突

如果您將規則套用至現有使用者政策已涵蓋的資料，這些設定可能會發生衝突。發生這種情況時，Google Workspace 會按照下列優先順序自動解決衝突：

  1. 安全控管規則會覆寫以使用者為準的政策：如果資料觸發安全控管規則，且該規則也涵蓋為部門或團隊設定的以使用者為準政策，系統會優先採用安全控管規則。只有在未觸發安全控管規則時，系統才會套用範圍較廣的使用者政策。
  2. 群組會覆寫部門設定：如果資源擁有者同時屬於部門和群組，且這兩者有衝突的使用者政策，系統會優先採用群組設定。
  3. 較嚴格的存取管理政策優先適用：如果 2 項不同的規則適用於相同資料，且地理界線不衝突，Google Workspace 會強制執行較嚴格的限制。舉例來說，如果某項規則要求必須同時具備 CJIS 和 IRS 1075 認證，就會覆寫僅要求具備美國標準員工認證的規則。
  4. 地理位置衝突取決於位置優先順序：如果一項規則要求美國員工存取相同資料，另一項規則則要求歐盟員工存取，系統會依據網域的全球位置優先順序設定。

設定規則衝突時的位置優先順序

如要選擇在多項規則透過存取管理政策套用不同地理區域時，優先採用哪個區域，請按照下列步驟操作：

  1. 在 Google 管理控制台中，依序點選「選單」圖示 接下來「資料」圖示 接下來「法規遵循」接下來「存取權管理」。

    須加購「安全控管 Plus」方案

    您必須以超級管理員的身分登入，才能執行這項工作。

  2. 按一下「以規則為準的範圍設定」。
  3. 在「多項安全控管規則有衝突時的位置優先順序」部分， 選取下列任一選項：
    • 優先採用美國政策：如果歐盟和美國政策都適用於同一項資源，系統會優先採用美國政策。
    • 優先採用歐盟政策：如果歐盟和美國政策都適用於同一項資源，系統會優先採用歐盟政策。
  4. 按一下「儲存」。