Jako administrator możesz uniemożliwić użytkownikom logowanie się w usługach Google Workspace i Google Cloud przy użyciu innych kont niż te, które im udostępniasz. Na przykład możesz nie chcieć, aby użytkownicy w Twojej sieci firmowej używali swoich osobistych kont Gmail lub zarządzanych kont Google z innej domeny.
Uwaga: jeśli zablokujesz dostęp do kont indywidualnych, użytkownicy mogą zobaczyć taki komunikat o błędzie: „W tej sieci nie można zalogować się na to konto”.
Zezwalanie na dostęp tylko z określonych domen
Dostępne na urządzeniach z ChromeOS.
Aby zezwolić użytkownikom na dostęp do usług Google tylko za pomocą kont z określonych domen Google Workspace:
Zanim zaczniesz: jeśli musisz skonfigurować dział lub zespół dla tego ustawienia, przeczytaj artykuł Dodawanie jednostki organizacyjnej.
-
Kliknij Menu
Urządzenia > Chrome > Ustawienia.
Wymaga uprawnień administratora Zarządzanie urządzeniami mobilnymi.
- (Opcjonalnie) Aby zastosować ustawienie na potrzeby działu lub zespołu, z boku wybierz jednostkę organizacyjną.
- Kliknij Interfejs użytkownika Logowanie się na kontach pomocniczych.
- Wybierz Zezwalaj użytkownikom na logowanie się tylko w domenach Google Workspace określonych poniżej.
- Wpisz domeny organizacji. (Jeśli tego nie zrobisz, użytkownicy mogą nie mieć dostępu do usług Google). Uwaga: strona gserviceaccounts.com jest uwzględniona i ma kluczowe znaczenie w przypadku uwierzytelnionych kont usługi.
- (Opcjonalnie) Aby zezwolić na logowanie się w domenach Workspace, które zostały przez Ciebie wymienione, za pomocą kont gmail.com i kont użytkowników indywidualnych z adresami firmowymi, dodaj consumer_accounts.
(Opcjonalnie) Aby zezwolić na współpracę nad plikami i folderami na Dysku adresom e-mail, które nie są powiązane z kontem Google, wybierz jedną z tych opcji:
- Aby zezwolić na wszystkie adresy e-mail bez konta Google, dodaj visitor_accounts.
- Aby zezwolić na adresy e-mail bez konta Google tylko w przypadku określonych domen, które zostały przez Ciebie wymienione, dodaj in_domain_visitor_accounts. Więcej informacji o kontach gości znajdziesz w artykule Zezwalanie na udostępnianie treści użytkownikom bez konta Google.
Kliknij Zapisz.
Zazwyczaj ustawienia są stosowane po kilku minutach. Może jednak minąć nawet godzina, zanim zaczną działać u wszystkich.
Dalsze kroki
- W ustawieniach dla opcji Użytkownicy i przeglądarki możesz też uniemożliwić użytkownikom przeglądanie w trybie incognito. Wybierz Tryb incognito Zabroń korzystania z trybu incognito i kliknij Zapisz. Więcej informacji znajdziesz w sekcji Tryb incognito.
- Ustaw ograniczenie logowania, aby na urządzeniach z ChromeOS mogli logować się tylko użytkownicy z Twojej organizacji. Więcej informacji znajdziesz w sekcji Ograniczenie logowania się.
- Wyłącz przeglądanie jako gość na urządzeniach. Więcej informacji znajdziesz w sekcji Tryb gościa.
Blokowanie kont za pomocą internetowego serwera proxy
Krok 1. Wybierz internetowy serwer proxy
Aby zezwolić użytkownikom w Twojej sieci na uzyskiwanie dostępu do usług Google tylko przy użyciu określonych kont Google z Twojej domeny, potrzebujesz internetowego serwera proxy, który:
- Będzie dodawał nagłówek do całego ruchu kierowanego na adres *.google.com – nagłówek identyfikuje domeny, z których użytkownicy mogą uzyskiwać dostęp do usług Google.
- Obsługuje przechwytywanie transmisji SSL – w związku z tym, że większość ruchu przesyłanego do i z usługi Google jest szyfrowana, serwer proxy musi też obsługiwać przechwytywanie transmisji SSL.
Przeczytaj szczegółowe instrukcje dostawców usług proxy dotyczące blokowania usług Google i wybierz serwer spełniający Twoje wymagania.
Krok 2. Skonfiguruj sieć, aby blokować określone konta
Aby uniemożliwić użytkownikom logowanie się w usługach Google przy użyciu innych kont niż te, które wyraźnie określisz:
- Kieruj cały ruch wychodzący do google.com przez swoje internetowe serwery proxy.
- Włącz przechwytywanie transmisji SSL na serwerze proxy.
- Skonfiguruj każde urządzenie klienckie, aby ufało serwerowi proxy SSL:
- Wdróż wewnętrzny główny urząd certyfikacji używany przez serwer proxy.
- Oznacz go jako zaufany.
- Dla każdego żądania związanego z domeną *.google.com:
- Przechwyć żądanie.
- Dodaj nagłówek HTTP X-GoogApps-Allowed-Domains: zawierający listę dozwolonych nazw domen rozdzielonych przecinkami.
Sprawdź, czy lista zawiera domenę, która posłużyła do rejestracji konta Google Workspace, i wszelkie dodane domeny dodatkowe.
Przykład:X-GoogApps-Allowed-Domains: mydomain1.com, mydomain2.com
- Aby umożliwić użytkownikom logowanie się na określonych kontach, dodaj do nagłówka te wartości:
- nazwa_domeny w przypadku kont w określonych domenach – na przykład altostrat.com i tenorstrat.com dla kont, których nazwa kończy się na @altostrat.com i tenorstrat.com
- consumer_accounts w przypadku kont Google, na przykład w domenach @gmail.com i @googlemail.com
- visitor_accounts w przypadku kont Google dla użytkowników zewnętrznych
Aby zezwolić użytkownikom na logowanie się na konta dla użytkowników zewnętrznych, ale zablokować konta dla użytkowników indywidualnych, dodaj do nagłówka wpis visitor_accounts i wyklucz consumer_accounts. - gserviceaccounts.com w przypadku uwierzytelnionych kont usługi
- (Opcjonalnie) Utwórz zasady proxy, aby użytkownicy nie mogli wstawiać własnych nagłówków.
Uwaga:
- Ta metoda blokuje dostęp po zalogowaniu do usług konsumenckich Google innych niż wyszukiwarka Google, ale nie musi blokować dostępu anonimowego.
- Gdy dodasz nagłówek HTTP X-GoogApps-Allowed-Domains, użytkownicy będą otrzymywać błędy podczas uzyskiwania dostępu do delegowanych skrzynek pocztowych z domeny, która nie znajduje się w nagłówku.
- Usługi Google Cloud obsługują nagłówek X-GoogApps-Allowed-Domains. Ogranicza to dostęp użytkowników do konsoli Google Cloud, gcloud CLI i powiązanych narzędzi.
Częste pytania
Co się dzieje, gdy nieautoryzowane konta próbują uzyskać dostęp do usług?
Jeśli użytkownik spróbuje uzyskać dostęp do usług Google z nieautoryzowanego konta, wyświetli się strona internetowa, która:
- Opisuje niedostępną usługę.
- Wyświetla nieautoryzowane konto, z którego korzysta użytkownik.
- Wyświetla domeny, w których usługa jest dostępna.
- Zawiera sugestię skontaktowania się z administratorem sieci w celu uzyskania dodatkowych informacji oraz prośbę o wylogowanie się z nieautoryzowanego konta i zalogowanie się na konto autoryzowane.
Co się stanie z usługami, które nie wymagają uwierzytelniania?
Google nie prowadzi listy zablokowanych usług. Jeśli dana usługa wymaga zalogowania się, dostęp jest blokowany. Usługi, które nie wymagają uwierzytelniania, takie jak wyszukiwarka Google i YouTube, nie są blokowane.
Dlaczego nie mogę po prostu odfiltrować ruchu?
Częstym sposobem blokowania dostępu do usług internetowych jest używanie internetowego serwera proxy do filtrowania ruchu kierowanego na określone adresy URL. W tym przypadku to rozwiązanie nie zadziała, ponieważ prawidłowy ruch z zarządzanego konta Google użytkownika jest kierowany na ten sam adres URL co ruch, który chcesz zablokować.
Google, Google Workspace oraz powiązane znaki i logotypy są znakami towarowymi firmy Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi należącymi do ich właścicieli.