禁止访问个人用户账号

如要仅允许您网络中的用户使用您网域的特定 Google 账号访问 Google 服务，您需要拥有具备以下功能的网络代理服务器：

• 可为定向至 *.google.com 的所有流量添加标头 - 标头的作用是识别可访问 Google 服务的用户所属的网域。
• 支持 SSL 拦截 - 由于大多数 Google 服务流量已经过加密，所以您的代理服务器也需要支持 SSL 拦截。

请参阅具体说明，了解如何从下列代理服务提供商中屏蔽 Google 服务（请选择符合您需求的服务器）。

• Barracuda Networks
• Broadcom
• Forcepoint

如要防止用户使用除了您明确指定的账号以外的其他 Google 账号登录 Google 服务，请执行以下操作：

1. 通过网络代理服务器将所有出站流量转送至 *.google.com。
2. 在代理服务器上启用 SSL 拦截。
3. 将每个客户端设备配置为信任您的 SSL 代理：
   1. 部署代理使用的内部根证书颁发机构。
   2. 将代理标记为受信任。
4. 针对每一个 *.google.com 请求，请执行以下操作：
   1. 拦截请求。
   2. 添加 HTTP 标头 X-GoogApps-Allowed-Domains:，后跟允许的域名列表（以英文逗号分隔的值 [CSV] 列表）。
      检查该列表是否包含您注册 Google Workspace 时使用的域名，以及您添加的所有辅助域名。
      示例：X-GoogApps-Allowed-Domains: mydomain1.com, mydomain2.com
5. 如要允许用户登录特定账号，请在标头中添加以下值：
   • domain_name：如要允许用户登录特定网域的账号，例如以“@altostrat.com”和“tenorstrat.com”结尾的账号，请输入 altostrat.com 和 tenorstrat.com
   • consumer_accounts：如要允许用户登录个人 Google 账号（例如 @gmail.com 和 @googlemail.com 账号），请输入“consumer_accounts”
   • 针对访客 Google 账号的 visitor_accounts
     如需允许用户登录访客账号，同时禁止用户登录个人账号，请在标头中添加 visitor_accounts 并排除 consumer_accounts
   • gserviceaccounts.com：如要允许用户登录通过身份验证的服务账号，请输入“gserviceaccounts.com”
6. （可选）创建代理政策，禁止用户自行插入标头。

注意：

• 通过这种方式可禁止用户登录除 Google 搜索以外的 Google 个人用户服务，但不一定能禁止匿名访问。
• 添加 X-GoogApps-Allowed-Domains HTTP 标头后，用户在访问标头中未包含的网域中的委托邮箱时会收到错误消息。
• Google Cloud 服务支持 X-GoogApps-Allowed-Domains 标头。这会限制用户对 Google Cloud 控制台、gcloud CLI 和相关工具的登录访问权限。

如果用户尝试使用未经授权的账号访问 Google 服务，则会看到一个网页，其中包含以下内容：

• 对不可用的服务的说明
• 用户使用的未经授权的账号
• 可使用相应服务的网域列表
• 给用户的建议：让用户与网络管理员联系以了解详情，同时请他们先退出未经授权的账号，然后再使用已获得授权的账号登录

Google 不会维护被屏蔽服务的列表。如果特定服务需要登录，则访问会被阻止。不需要身份验证的服务（例如 Google 搜索和 YouTube）不会被屏蔽。

屏蔽对 Web 服务的访问权限的常见方法是使用 Web 代理服务器过滤指向特定网址的流量。但此方法在此情况下行不通，因为来自用户受管理的 Google 账号的合法流量会流向您要屏蔽的流量所流向的同一网址。