פריסה מוצלחת של בקרת גישה מבוססת-הקשר מגנה על נתוני Workspace מפני משתמשים מסוכנים, ומוודאת שמשתמשים לגיטימיים לא נחסמים. כדי לצמצם את הסיכון לחסימה של מספר רב של משתמשים, כדאי לפעול לפי ההמלצות הבאות להשקה.
שימוש במצב מעקב כדי לבדוק רמות גישה
אפשר להקצות רמת גישה בהתחלה במצב מעקב, ולא במצב פעיל. במצב הדגמה אפשר לדמות את ההשפעות של אכיפת רמת גישה בלי לחסום בפועל את גישת המשתמשים.
כשמחילים רמת גישה חדשה, מומלץ להשאיר אותה במצב הדגמה למשך שבוע לפחות. במהלך התקופה הזו, באירועים שמתועדים ביומן של בקרת גישה מבוססת-הקשר אפשר לראות לאילו משתמשים הגישה הייתה נחסמת אם רמת הגישה הייתה במצב פעיל. אחרי שמוודאים שרמת הגישה פועלת כמו שרוצים, אפשר להפעיל את האכיפה בפועל על ידי העברת רמת הגישה למצב פעיל.
הוראות מפורטות לשימוש במצב מעקב מופיעות במאמר הקצאה של בקרת רמות גישה מבוססת-הקשר לאפליקציות.
המלצות נוספות להשקה
- הפעלת ההשקה בשלבים. מתחילים עם יחידה ארגונית אחת או קבוצה אחת כקבוצת פיילוט, ובודקים איך המדיניות פועלת עבורם. אם המשתמשים האלה מצליחים לגשת לאפליקציות, אפשר להוסיף את קבוצת המשתמשים הבאה. אם הם מרוצים, כדאי להטמיע מדיניות גישה לכל המשתמשים.
- הקצאת מדיניות גישה לאפליקציות נבחרות. כדאי לנסות לפרוס מדיניות באפליקציות שלא נמצאות בשימוש נרחב בסביבה שלכם. לעקוב אחרי מה שקורה עם האפליקציות האלה, ואז להחיל את המדיניות על אפליקציות שנעשה בהן שימוש רב יותר.
- איך למנוע נעילת משתמשים או שותפים אל תחסמו את הגישה לשירותי Google Workspace, כמו Gmail, שבהם אתם משתמשים כדי לשתף תקשורת עם המשתמשים שלכם (ושגם הם צריכים כדי לתקשר איתכם). מזהים את טווחי כתובות ה-IP שדרושים למשתמשים ולשותפים.
- אם אתם לקוחות של Workspace בלבד, אל תשתמשו ב-Google Cloud Platform (GCP) כדי להוסיף או לשנות רמות גישה. אם מוסיפים או משנים רמות גישה באמצעות שיטה אחרת מלבד הממשק של בקרת רמות גישה מבוססת-הקשר, יכול להיות שתופיע הודעת השגיאה הבאה: נעשה שימוש במאפיינים לא נתמכים ב-Google Workspace, והמשתמשים עלולים להיחסם.
- תכנון תמיכה במוקד למשתמשים שאולי יזדקקו לעזרה במהלך ההשקה.
מעקב אחר ההשקה
לא משנה באיזו שיטת הטמעה תשתמשו, חשוב לעקוב אחרי התוצאות של ההטמעה באמצעות משוב מהמשתמשים ועיון באירועים ביומן של בקרת גישה מבוססת-הקשר כדי לראות רשומות של משתמשים שנדחתה להם הגישה.
הכנות לפריסה
כדי שהפריסה תתבצע בצורה חלקה, צריך לבצע את השלבים הבאים לפני שיוצרים או מטמיעים מדיניות חדשה של הרשאות גישה.
1. הודעה למשתמשים
כדאי לשוחח עם המשתמשים כדי להבין מה הם צריכים להגן בסביבת העבודה שלהם. מכיוון שתטמיעו את בקרת הגישה מבוססת-הקשר לפי יחידה ארגונית או קבוצה, יכול להיות שיהיו צרכים שונים למשתמשים שונים בארגון. חשוב להסביר להם מהן ההשלכות האפשריות של כללי המדיניות שאתם יוצרים ומקצים: לדוגמה, שהם עלולים להיחסם בזמנים שונים מסיבות שונות. תקשורת מראש עוזרת לקדם את קבלת השינוי על ידי המשתמשים.
2. ארגון המשתמשים ביחידות ארגוניות או בקבוצות
אפשר להקצות רמות גישה לפי יחידה ארגונית. אם כבר הגדרתם יחידות ארגוניות למטרות אחרות, אתם יכולים ליצור קבוצות הגדרה ולהקצות להן רמות. בכל מקרה, חשוב לוודא שהמשתמשים שרוצים להעניק להם גישה נמצאים ביחידות הארגוניות או בקבוצות הנכונות.
3. סקר מכשירים ארגוניים
לפני שמטמיעים מדיניות שמבוססת על מכשירים, חשוב לוודא שהמכשירים בארגון נמצאים תחת ניהול IT מתאים ועומדים בתקנים של החברה. לבדוק אם המכשירים מוצפנים, אם מותקנת בהם מערכת הפעלה עדכנית ואם הם בבעלות החברה או מכשירים אישיים.
4. רישום מכשירים ניידים באמצעות ניהול נקודות קצה
המכשירים הניידים צריכים להיות מנוהלים באמצעות ניהול נקודות קצה ב-Google (בסיסי או מתקדם).
בניהול בסיסי, סנכרון של גרסת מערכת ההפעלה וסטטוס ההצפנה של המכשיר יכול להימשך כמה ימים. במהלך הזמן הזה, הגישה לשירותי Google Workspace מהמכשירים האלה עשויה להיות מושפעת אם אתם משתמשים בבקרת גישה מבוססת-הקשר.
5. אכיפת אימות נקודות קצה לפני יצירת מדיניות
אכיפת השימוש בבדיקת נקודת קצה (endpoint) כדי לדעת אילו מכשירים ניגשים (או יגשו) לנתונים של Google Workspace. בתוספים ל-Chrome, צריך לציין התקנה מחייבת ל-Endpoint Verification ולדרוש מפתח גישה. פרטים נוספים זמינים במאמר בנושא הגדרת אימות נקודות קצה.
הגדרת בדיקה של נקודת קצה והפעלה של בקרת גישה מבוססת-הקשר
הגדרות תוכנה למחשבים או למכשירים ניידים.
הגדרת אימות של נקודות קצה
אם אתם אוכפים מדיניות מכשירים ברמת גישה, אתם והמשתמשים שלכם צריכים להגדיר Endpoint Verification. מפעילים את בדיקת נקודת הקצה במסוף Admin. הוראות מפורטות מופיעות במאמר בנושא הפעלה או השבתה של אימות נקודות קצה.
הערה: אם אוכפים מדיניות של בקרת גישה מבוססת-הקשר במכשיר לפני שהמשתמש יכול להיכנס לאימות נקודות קצה, יכול להיות שהגישה של המשתמש תידחה גם אם המכשיר שלו עומד בדרישות המדיניות. הסיבה לכך היא שסנכרון מאפייני המכשיר באמצעות בדיקה של נקודת קצה (endpoint) עשוי להימשך כמה שניות. כדי למנוע את זה, צריך לוודא שהמשתמשים נכנסים לאימות נקודות קצה ומרעננים את דף הדפדפן שלהם לפני שמחילים מדיניות מכשירים מודעת-הקשר.
בדיקה של המכשירים שבהם מופעל אימות נקודות קצה
-
במסוף Google Admin, נכנסים לתפריט
מכשירים
סקירה כללית.נדרשת הרשאת אדמין להגדרות של מכשיר משותף.
- לוחצים על נקודות קצה.
- לוחצים על הוספת מסנן.
- בוחרים באפשרות סוג הניהול אימות נקודות קצה.
- לוחצים על אישור.
הגדרה של מכשירים ניידים (ניהול נקודות קצה ב-Google)
כדי לאכוף רמות גישה למכשירים ניידים, המשתמש במכשיר צריך להיות מנוהל באמצעות ניהול בסיסי או ניהול מתקדם של מכשירים ניידים.
שלבים נוספים
העלאת מלאי המכשירים בבעלות החברה
כדי לאכוף מדיניות מכשירים שדורשת מכשירים בבעלות החברה, Google צריכה רשימה של מספרים סידוריים של המכשירים בבעלות החברה.
הוראות מפורטות זמינות במאמר הוספת מכשירים בבעלות החברה למלאי.
הערה: מכשירים עם Android מגרסה 12 ואילך ופרופיל עבודה תמיד מדווחים כמכשירים בבעלות המשתמש, גם אם מוסיפים אותם למלאי המכשירים בבעלות החברה. במכשירים האלה, אם רמת הגישה דורשת שהמכשיר יהיה בבעלות החברה, הפעולה לא מתבצעת, ואם רמת הגישה דורשת שהמכשיר יהיה בבעלות המשתמש, הפעולה מתבצעת. מידע נוסף מופיע במאמרים בנושא צפייה בפרטים של מכשיר נייד, מידע על פרטי המכשיר, ובטבלה פרטי המכשיר, גוללים למטה לשורה בעלות.
אישור או חסימה של מכשירים
כדי לאכוף מדיניות מכשירים שמחייבת מכשירים מאושרים, קודם צריך לאשר או לחסום מכשירים.
הפעלה והשבתה של בקרת גישה מבוססת-הקשר
אפשר להפעיל את בקרת הגישה מבוססת-הקשר בשלבים שונים בתהליך ההשקה. אפשר להפעיל אותו לפני שיוצרים רמות גישה ומקצים אותן לאפליקציות. המשמעות היא שרמות הגישה שמקצים לאפליקציות נאכפות באופן מיידי.
אפשר גם לבצע הגדרה ראשונית ובדיקה (יצירת רמת גישה, הקצאת רמת גישה, אימות נקודת קצה) בלי להפעיל את בקרת הגישה מבוססת-הקשר. במהלך התקופה הזו, לא תהיה אכיפה של הקצאות רמות הגישה. אחרי שההגדרה תסתיים, תוכלו להפעיל את בקרת הגישה מבוססת-הקשר.
אם יש בעיות שקשורות למשתמשים ואתם רוצים להשהות את האפליקציה בזמן שאתם בודקים אילו כללי מדיניות יוצרים את הבעיות, אתם יכולים להשבית את בקרת הגישה מבוססת-הקשר. אחרי שתקבעו איזו רמת גישה גורמת לבעיות, תוכלו לשנות את המדיניות או להסיר אותה לפי הצורך עבור יחידות ארגוניות או קבוצות ספציפיות.
חשוב: יכול להיות שיחלפו עד 24 שעות עד שההשבתה של בקרת הגישה מבוססת-הקשר תושלם. במהלך הזמן הזה, יכול להיות שהמשתמשים עדיין יושפעו מרמות הגישה הקודמות. רמות הגישה שנמחקו יפסיקו לחול באופן מיידי.
כדי להפעיל את בקרת הגישה מבוססת-הקשר
-
במסוף Google Admin, נכנסים לתפריט
אבטחה
שליטה בגישה ובנתונים
בקרת גישה מבוססת-הקשר.כדי לעשות את זה, צריך הרשאות גישה לאבטחת נתונים וניהול כללים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.
- מוודאים שבקרת הגישה מבוססת-הקשר מופעלת. אם לא, לוחצים על הפעלה.
כדי להשבית את בקרת הגישה מבוססת-הקשר
-
במסוף Google Admin, נכנסים לתפריט
אבטחה
שליטה בגישה ובנתונים
בקרת גישה מבוססת-הקשר.כדי לעשות את זה, צריך הרשאות גישה לאבטחת נתונים וניהול כללים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.
- לוחצים על כיבוי.
מה השלב הבא:
יצירה והקצאה של רמות גישה
במאמרים האלה מוסבר איך ליצור רמות גישה ולהקצות אותן לאפליקציות:
תרחישים לדוגמה
במאמרים הבאים מוצגים תרחישים נפוצים להטמעה של בקרת גישה מבוססת-הקשר בסביבה שלכם: