Как заблокировать доступ обычных аккаунтов к сервисам

Как администратор, вы можете запретить доступ к сервисам Google Workspace и Google Cloud пользователям в вашей корпоративной сети, если они пытаются войти в эти сервисы с помощью личных аккаунтов Gmail или управляемых аккаунтов Google другого домена.

Примечание. Если вы заблокируете доступ для обычных пользователей, они могут получать следующее сообщение об ошибке: "В этот аккаунт нельзя входить в сети, к которой вы подключены".

Как разрешить доступ только из определенных доменов

Доступно для устройств с ChromeOS.

Чтобы пользователи могли работать с сервисами Google только в аккаунтах, относящихся к указанным вами доменам Google Workspace, выполните следующие действия:

Подготовка. Если вам нужно подготовить отдел или группу для этого параметра, ознакомьтесь со статьей Как добавить организационное подразделение.

  1. Нажмите на значок меню > Устройства > Chrome > Настройки.

    У вас должны быть права администратора на управление мобильными устройствами.

  2. Чтобы применить параметр к отделу или команде, сбоку выберите организационное подразделение (необязательно).
  3. Выберите Взаимодействие пользователей с системой > Вход в дополнительные аккаунты.
  4. Выберите Разрешить пользователям входить только в перечисленные ниже домены Google Workspace.
  5. Введите домены вашей организации. В противном случае сервисы Google могут быть недоступны для пользователей. Примечание. В список уже включен gserviceaccounts.com – важный домен для аутентифицированных сервисных аккаунтов.
  6. Чтобы разрешить вход в домены Workspace, которые вы указали, с помощью аккаунтов gmail.com и обычных аккаунтов с корпоративными адресами, добавьте consumer_accounts.

  7. Чтобы разрешить пользователям с адресами электронной почты, не связанными с аккаунтом Google, работать с файлами и папками на Диске, выберите один из следующих вариантов:

    • Чтобы разрешить все адреса электронной почты без аккаунта Google, добавьте visitor_accounts.
    • Чтобы разрешить адреса электронной почты без аккаунта Google только для указанных вами доменов, добавьте in_domain_visitor_accounts. Подробнее о доступе для посетителей…

  8. Нажмите Сохранить.

Обычно настройки вступают в силу через несколько минут, но иногда этот процесс может занимать до часа.

Дальнейшие действия

  • В разделе "Пользователи и браузеры" можно отключить режим инкогнито. Для этого выберите Режим инкогнито > Запретить режим инкогнито и нажмите Сохранить. Подробнее о режиме инкогнито…
  • Чтобы в аккаунт на устройстве с ChromeOS могли войти только пользователи организации, задайте правило "Ограничение доступа". Подробнее об ограничении входа…
  • Отключите гостевой режим на устройствах. Подробнее о гостевом режиме…

Как ограничить доступ к сервисам с помощью прокси-сервера

Шаг 1. Выберите прокси-сервер

Чтобы разрешить доступ к сервисам Google только определенным аккаунтам из вашего домена, требуется прокси-сервер, который:

  • Добавляет заголовки во все запросы, поступающие на адрес *.google.com. В заголовках указываются домены, из которых доступ к сервисам Google разрешен.
  • Поддерживает функции перехвата SSL-трафика. Это необходимо, поскольку основная часть трафика сервисов Google шифруется.

Выберите подходящий прокси-сервер и ознакомьтесь с инструкциями о том, как с помощью него заблокировать сервисы Google.

Шаг 2. Настройте параметры сети для блокировки определенных аккаунтов

Чтобы запретить пользователям доступ к сервисам Google из любых аккаунтов, кроме предоставленных вами, настройте параметры описанным ниже образом.

  1. Направьте весь трафик на адрес *.google.com через ваши прокси-серверы.
  2. Включите SSL-перехват на прокси-сервере.
  3. Настройте клиентские устройства как доверенные для прокси-сервера SSL.
    1. Разверните внутренний корневой сертификат, используемый прокси-сервером.
    2. Сделайте этот сертификат доверенным.
  4. Убедитесь, что при отправке запроса на адрес *.google.com выполняются перечисленные ниже действия.
    1. Запрос перехватывается.
    2. К нему добавляется HTTP-заголовок X-GoogApps-Allowed-Domains:, за которым следует список разрешенных доменных имен, разделенных запятой.
      Убедитесь, что в список включен домен, зарегистрированный в Google Workspace, и все добавленные вами дополнительные домены.
      Пример: X-GoogApps-Allowed-Domains: mydomain1.com, mydomain2.com
  5. Чтобы разрешить пользователям входить в определенные аккаунты, добавьте к заголовку следующие значения:
    • domain_name: для аккаунтов определенных доменов, например altostrat.com и tenorstrat.com для аккаунтов, оканчивающихся на @altostrat.com и @tenorstrat.com.
    • consumer_accounts – для обычных аккаунтов Google, таких как @gmail.com и @googlemail.com.
    • visitor_accounts – для аккаунтов Google посетителей.
      Чтобы разрешить пользователям входить в аккаунты посетителей, но не в обычные аккаунты, добавьте в заголовок visitor_accounts и исключите consumer_accounts.
    • gserviceaccounts.com – для аутентифицированных сервисных аккаунтов.
  6. Чтобы запретить пользователям вставлять собственные заголовки, создайте соответствующее правило для прокси-сервера.

Примечания

  • Этот способ блокирует вход в аккаунты пользовательских сервисов Google, кроме Google Поиска, но не предотвращает анонимный доступ к ним.
  • Если добавить HTTP-заголовок X-GoogApps-Allowed-Domains, пользователи не смогут получить доступ к делегированным почтовым ящикам из доменов, которые не указаны в заголовке.
  • Сервисы Google Cloud поддерживают заголовок X-GoogApps-Allowed-Domains. Это ограничит доступ пользователей к консоли Google Cloud, интерфейсу командной строки gcloud и связанным инструментам.

Часто задаваемые вопросы

Что произойдет, если неавторизованные аккаунты попытаются получить доступ к сервисам?

При попытке доступа к сервисам Google с неавторизованным аккаунтом пользователь увидит веб-страницу со следующей информацией:

  • описанием недоступного сервиса;
  • именем используемого неавторизованного аккаунта;
  • списком доменов, для которых сервис доступен;
  • предложением обратиться к администратору за дополнительной информацией, выйти из неавторизованного аккаунта и снова войти с помощью авторизованного.

Что произойдет с сервисами, которые не требуют аутентификации?

Google не хранит список заблокированных сервисов. Если для входа в определенный сервис требуется ввод учетных данных, в доступе будет отказано. Сервисы, которые не требуют аутентификации, например Google Поиск и YouTube, блокироваться не будут.

Почему я не могу фильтровать трафик?

Для блокировки доступа к веб-сервисам обычно используется прокси-сервер, который фильтрует трафик, поступающий на определенные URL. В данном случае такой подход не сработает, поскольку полезный трафик из управляемого аккаунта Google поступает на тот же URL, что и трафик, который требуется отсечь.


Google, Google Workspace и связанные наименования и логотипы являются товарными знаками компании Google LLC. Все другие названия компаний и продуктов являются товарными знаками соответствующих компаний.