Toegang tot consumentenaccounts blokkeren

Als beheerder kunt u voorkomen dat gebruikers inloggen bij Google Workspace- en Google Cloud-services met een ander account dan het account dat u ze heeft gegeven. U kunt dit bijvoorbeeld doen als u niet wilt dat gebruikers binnen uw bedrijfsnetwerk hun persoonlijke Gmail-account of een beheerd Google-account uit een ander domein gebruiken.

Opmerking: Als u de toegang tot consumentenaccounts blokkeert, krijgen gebruikers misschien de volgende foutmelding: Dit account mag niet inloggen binnen dit netwerk.

Alleen toegang uit specifieke domeinen toestaan

Beschikbaar voor ChromeOS-apparaten.

Doe het volgende als u gebruikers alleen toegang tot Google-services wilt geven met een account uit een lijst met specifieke Google Workspace-domeinen:

Voordat u begint: Als u een afdeling of team wilt instellen voor deze instelling, gaat u naar Een organisatie-eenheid toevoegen.

  1. Ga naar Menu en dan Apparaten > Chrome > Instellingen.

    Hiervoor is het beheerdersrecht Beheer van mobiele apparaten vereist.

  2. (Optioneel) Als je de instelling wilt toepassen op een afdeling of team, selecteer je aan de zijkant een organisatie-eenheid.
  3. Ga naar Gebruikerservaring en dan Inloggen op secundaire accounts.
  4. Selecteer Gebruikers alleen toestaan in te loggen bij de Google Workspace-domeinen die hieronder staan.
  5. Voer de domeinen van uw organisatie in. (Anders hebben je gebruikers misschien geen toegang tot Google-services.) Opmerking: gserviceaccounts.com is inbegrepen en essentieel voor geverifieerde serviceaccounts.
  6. (Optioneel) Als je wilt toestaan dat gmail.com-accounts en consumentenaccounts met zakelijke adressen inloggen bij de Workspace-domeinen die je hebt vermeld, voeg je consumer_accounts toe.

  7. (Optioneel) Als je wilt dat e-mailadressen die niet aan een Google-account zijn gekoppeld, kunnen samenwerken aan Drive-bestanden en -mappen, kies je een optie:

    • Als u alle e-mailadressen zonder Google-account wilt toestaan, voegt u visitor_accounts toe.
    • Als je e-mailadressen zonder Google-account alleen wilt toestaan voor de specifieke domeinen die je hebt vermeld, voeg je in_domain_visitor_accounts toe. Ga naar Delen met niet-Google-gebruikers toestaan met delen met bezoekers voor meer informatie over bezoekersaccounts.

  8. Klik op Opslaan.

Instellingen worden meestal binnen enkele minuten van kracht. Het kan echter een uur duren voordat deze zijn doorgevoerd voor alle gebruikers.

Volgende stappen

  • Via de instellingen in Gebruikers en browsers kunt u ook instellen dat gebruikers niet mogen browsen in de incognitomodus. Ga naar Incognitomodus en dan Incognitomodus niet toestaan en klik op Opslaan. Ga naar Incognitomodus voor meer informatie.
  • Stel een inlogbeperking in, zodat alleen gebruikers binnen je organisatie kunnen inloggen op apparaten met ChromeOS. Ga naar Inlogbeperking voor meer informatie.
  • Zet gebruiken als gast uit op apparaten. Ga naar Gastmodus voor meer informatie.

Accounts blokkeren met een webproxyserver

Stap 1: Een webproxyserver kiezen

Als u gebruikers in uw netwerk alleen toegang wilt geven tot Google-services met specifieke Google-accounts uit uw domein, moet u een webproxyserver gebruiken die het volgende doet:

  • Een koptekst toevoegt aan al het verkeer naar *.google.com: de koptekst geeft aan vanuit welke domeinen gebruikers toegang hebben tot Google-services.
  • SSL-interceptie ondersteunt: omdat het meeste verkeer via uw Google-services is versleuteld, moet uw proxyserver ook SSL-interceptie ondersteunen.

Bekijk specifieke instructies om Google-services te blokkeren van de volgende proxyserviceproviders. Selecteer een server die voldoet aan uw behoeften.

Stap 2: Het netwerk configureren zodat bepaalde accounts worden geblokkeerd

Ga als volgt te werk om te voorkomen dat gebruikers bij Google-services inloggen met een ander Google-account dan de accounts die u opgeeft:

  1. Leid al het uitgaande verkeer naar *.google.com om via uw webproxyservers.
  2. Schakel SSL-interceptie in op de proxyserver.
  3. Configureer elk clientapparaat zodat uw SSL-proxy wordt vertrouwd:
    1. Implementeer de interne hoofdcertificeringsinstantie die door de proxy wordt gebruikt.
    2. Markeer deze als vertrouwd.
  4. Doe het volgende voor elk *.google.com-verzoek:
    1. Zorg dat het verzoek wordt onderschept.
    2. Voeg de HTTP-koptekst X-GoogApps-Allowed-Domains: toe, gevolgd door een door komma's gescheiden lijst met toegestane domeinnamen.
      Controleer of de lijst het domein bevat dat u in Google Workspace heeft geregistreerd en eventuele secundaire domeinen die u heeft toegevoegd.
      Voorbeeld: X-GoogApps-Allowed-Domains: mydomain1.com, mydomain2.com
  5. Voeg de volgende waarden toe aan de koptekst om gebruikers toe te staan in te loggen op specifieke accounts:
    • domain_name voor accounts in specifieke domeinen, zoals altostrat.com en tenorstrat.com voor accounts die eindigen op @altostrat.com en tenorstrat.com.
    • consumer_accounts voor Google-accounts voor consumenten, zoals @gmail.com en @googlemail.com.
    • visitor_accounts voor Google-accounts voor bezoekers
      Als u wilt dat gebruikers kunnen inloggen op bezoekersaccounts, maar niet op consumentenaccounts, voegt u visitor_accounts toe aan de koptekst en sluit u consumer_accounts uit.
    • gserviceaccounts.com voor geverifieerde serviceaccounts.
  6. (Optioneel) Maak een proxybeleid om te voorkomen dat gebruikers hun eigen kopteksten invoegen.

Opmerking:

  • Hierdoor wordt de toegang tot Google-consumentenservices geblokkeerd (behalve Google Zoeken), maar wordt anonieme toegang niet noodzakelijk geblokkeerd.
  • Als u de HTTP-koptekst X-GoogApps-Allowed-Domains toevoegt, krijgen gebruikers een foutmelding als ze gemachtigde mailboxen openen vanuit een domein dat niet in de koptekst staat.
  • Google Cloud-services ondersteunen de koptekst X-GoogApps-Allowed-Domains. Hiermee wordt de toegang van gebruikers tot de Google Cloud Console, de gcloud CLI en gerelateerde tools beperkt.

Veelgestelde vragen

Wat gebeurt er als ongeautoriseerde accounts toegang proberen te krijgen tot services?

Als een gebruiker probeert toegang te krijgen tot Google-services met een ongeautoriseerd account, krijgt die een webpagina met de volgende informatie:

  • Een beschrijving van de service die niet beschikbaar is.
  • Welk ongeautoriseerd account de gebruiker gebruikt.
  • De domeinen waarin de service wel beschikbaar is.
  • De suggestie contact op te nemen met een netwerkbeheerder voor meer informatie en uit te loggen van het ongeautoriseerde account en in te loggen op een geautoriseerd account.

Wat gebeurt er met services waarvoor geen verificatie is vereist?

Google houdt geen lijst bij met geblokkeerde services. Als voor een bepaalde service moet worden ingelogd, wordt de toegang geblokkeerd. Services waarvoor geen verificatie is vereist, zoals Google Zoeken en YouTube, worden niet geblokkeerd.

Waarom kan ik niet gewoon het verkeer filteren?

Vaak wordt er een webproxyserver gebruikt die het verkeer naar bepaalde URL's filtert om de toegang tot webservices te blokkeren. Dit werkt in dit geval niet, omdat legitiem verkeer van het beheerde Google-account van een gebruiker naar dezelfde URL gaat als het verkeer dat u wilt blokkeren.


Google, Google Workspace en gerelateerde merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waarmee ze in verband worden gebracht.