管理者は、ユーザーが指定されたアカウント以外の別のアカウントを使用して Google Workspace サービスと Google Cloud サービスにログインできないようにすることができます。たとえば、企業ネットワーク内のユーザーが個人用の Gmail アカウントや別ドメインで管理対象の Google アカウントを使用することを禁止できます。
注: 一般ユーザー向けアカウントの使用をブロックすると、ユーザーには [このネットワーク内では、このアカウントではログインできません] というエラー メッセージが表示されることがあります。
特定のドメインからのアクセスのみを許可する
ChromeOS デバイスで利用できます。
Google サービスへのアクセスに使用するアカウントを、指定した Google Workspace ドメインのリストに登録されているものに限定するには:
始める前に: この設定に対する部門やチームを設定する必要がある場合は、組織部門を追加するをご覧ください。
-
メニュー アイコン
[デバイス] > [Chrome] > [設定] に移動します。
アクセスするには、モバイル デバイス管理の管理者権限が必要です。
- （省略可）設定を部門やチームに適用するには、横で組織部門を選択します。
- [ユーザー エクスペリエンス] [予備のアカウントにログインする] に移動します。
- [ユーザーに以下の Google Workspace ドメインへのログインのみを許可する] を選択します。
- 組織のドメインを入力します。（入力しない場合、ユーザーが Google サービスを利用できない可能性があります）。注: gserviceaccounts.com は、認証されたサービス アカウント用の必須のドメインとして含まれています。
- （省略可）gmail.com アカウントとビジネス用アドレスを持つ一般ユーザー向けアカウントが、リストに登録した Workspace ドメインにログインできるようにするには、consumer_accounts を追加します。
（省略可）Google アカウントに関連付けられていないメールアドレスでドライブのファイルやフォルダを共同編集できるようにするには、次のいずれかのオプションを選択します。
- Google アカウントを持たないすべてのメールアドレスを許可するには、visitor_accounts を追加します。
- 指定したドメインのみで Google アカウントのないメールアドレスを許可するには、in_domain_visitor_accounts を追加します。ビジター アカウントについて詳しくは、ビジターとの共有機能を使用して Google アカウントを持たないユーザーとの共有を許可するをご覧ください。
[保存] をクリックします。
通常、設定は数分ほどで有効になりますが、全員に適用されるまでには 1 時間ほどかかる場合があります。
次のステップ
- [ユーザーとブラウザ] の設定で、ユーザーがシークレット モードでブラウジングできないようにすることもできます。[シークレット モード] [シークレット モードを無効にする] に移動し、[保存] をクリックします。詳しくは、シークレット モードをご覧ください。
- 組織内のユーザーだけが ChromeOS デバイスにログインできるように、ログイン制限を設定します。詳しくは、ログインの制限をご覧ください。
- デバイスでゲスト ブラウジングを無効にします。詳しくは、ゲストモードをご覧ください。
ウェブ プロキシ サーバーを使用してアカウントをブロックする
ステップ 1: ウェブ プロキシ サーバーを選択する
ネットワーク上のユーザーが組織のドメインの特定の Google アカウントを使用している場合にだけ Google サービスの利用を許可するには、以下のことができるウェブ プロキシ サーバーが必要です。
- *.google.com に送られるすべてのトラフィックにヘッダーを追加 - このヘッダーにより、Google サービスの利用を許可するユーザーのドメインを特定できます。
- SSL インターセプト機能が備わっている - Google サービスのトラフィックは大部分が暗号化されているため、プロキシ サーバーには SSL インターセプト機能も備わっている必要があります。
以下のプロキシ サービス プロバイダで Google サービスをブロックする具体的な手順について説明していますので、ニーズに応じたサーバーをお選びください。
ステップ 2: 特定のアカウントをブロックするようにネットワークを設定する
管理者が明示的に指定した Google アカウントだけに Google サービスへのログインを許可するには:
- *.google.com 宛てのすべての送信トラフィックがウェブ プロキシ サーバーを経由するようにします。
- プロキシ サーバーで SSL インターセプトを有効にします。
- SSL プロキシを信頼するようにすべてのクライアント デバイスを構成します。
- プロキシで使用される内部ルート認証局を導入します。
- 信頼できる認証局として設定します。
- *.google.com の各リクエストに対して次の処理を行います。
- リクエストをインターセプトします。
- 「X-GoogApps-Allowed-Domains:」という HTTP ヘッダーを追加し、許可されるドメイン名のカンマ区切り値（CSV）リストを続けて指定します。
Google Workspace に登録したドメインと追加したセカンダリ ドメインがリストに含まれていることを確認します。
例:X-GoogApps-Allowed-Domains: mydomain1.com, mydomain2.com
- ユーザーが特定のアカウントにログインできるように、ヘッダーに次の値を追加します。
- 特定のドメインのアカウントの場合（例: @altostrat.com の「altostrat.com」、@tenorstrat.com の「tenorstrat.com」）は「domain_name」
- 一般ユーザー向け Google アカウント（例: @gmail.com、@googlemail.com）の場合は「consumer_accounts」
- ビジター Google アカウントの（visitor_accounts）の場合
一般ユーザー向けアカウントをブロックしながら、ユーザーがゲスト用アカウントにログインできるようにするには、ヘッダーに visitor_accounts を追加し、consumer_accounts を除外します。 - 認証されたサービス アカウントの場合は「gserviceaccounts.com」
- （省略可）ユーザーが独自のヘッダーを挿入しないようにプロキシ ポリシーを作成します。
注:
- この設定により Google 検索を除く Google の一般ユーザー向けサービスへのログイン アクセス権を防ぐことができますが、必ずしも匿名アクセスを禁止するものではありません。
- X-GoogApps-Allowed-Domains HTTP ヘッダーを追加すると、ヘッダーに含まれていないドメインから委任されたメールボックスにアクセスしようとしたときにエラーが発生します。
- Google Cloud サービスは X-GoogApps-Allowed-Domains ヘッダーをサポートしています。これにより、ユーザーのログイン アクセス権が Google Cloud コンソール、gcloud CLI、関連ツールに制限されます。
よくある質問
許可されていないアカウントからサービスを利用しようとすると、どうなりますか？
承認されていないアカウントから Google サービスにアクセスしようとすると、次の内容のウェブページが表示されます。
- サービスを利用できないことについての説明
- ユーザーが現在使用している、許可されていないアカウント名
- サービスを利用できるドメインのリスト
- ネットワーク管理者に詳細を問い合わせ、許可されていないアカウントからログアウトし、許可されているアカウントでログインし直す旨のアドバイス
認証を必要としないサービスはどうなりますか？
Google はブロックされたサービスのリストを保持していません。特定のサービスでログインが必要な場合、アクセスはブロックされます。Google 検索や YouTube など、認証を必要としないサービスはブロックされません。
トラフィックをフィルタリングするだけではいけないのはなぜですか？
ウェブサービスへのアクセスをブロックする一般的な方法として、ウェブ プロキシ サーバーを使用して特定の URL に向けられたトラフィックをフィルタリングする方法があります。この方法では、ユーザーの管理対象 Google アカウントからの正当なトラフィックがブロックするトラフィックと同じ URL に送信されるため、このケースでは機能しません。
Google、Google Workspace、および関連するマークとロゴは、Google LLC の商標です。その他すべての企業名および商品名は関連各社の商標です。