אכיפה של אחסון בענן להורדות ב-Chrome

התכונה הזאת נתמכת במהדורות הבאות: Chrome Enterprise Premium. השוואה בין המהדורות

אתם יכולים להשתמש בכללים להגנה על נתונים ב-Chrome Enterprise Premium כדי למנוע מהמשתמשים לשמור במכשירים המקומיים שלהם קבצים שהם הורידו בדפדפן Chrome. כשמופעל כלל עם הפעולה "אכיפת אחסון בענן" באירוע "הקובץ הורד", דפדפן Chrome חוסם את שמירת הקובץ באחסון המקומי. במקום זאת, התוסף Secure Enterprise Browser מעלה את הקובץ לאחסון בענן של הארגון ב-Google Drive או ב-OneDrive.

הפעולה הזו מונעת שמירה של נתונים רגישים במכשירים מקומיים לא מנוהלים, ומאפשרת למשתמשים להמשיך בעבודה שלהם. אם אימות המשתמש או ההעלאה לענן נכשלים, ההורדה המקומית נשארת חסומה.

לפני שמתחילים

צריך לוודא שהסביבה עומדת בדרישות הבאות:

  • גרסת דפדפן Chrome:
    • יעד ב-Google Drive: דפדפן Chrome מגרסה 144 ואילך
    • יעד Microsoft OneDrive: דפדפן Chrome בגרסה 146 ואילך
  • הרשאות אדמין: ודאו שבחשבון שלכם יש את ההרשאות צפייה בכללי DLP ב-Chrome וניהול כללי DLP ב-Chrome. אתם צריכים גם הרשאות לניהול יחידות ארגוניות, קבוצות, אפליקציות Chrome ותוספים.
  • כללי מדיניות של Chrome Enterprise Connector: מגדירים את כללי המדיניות של המחבר, כולל ניתוח תוכן של הורדות. השלבים מפורטים במאמר הגדרת מדיניות של Chrome Enterprise Connector ל-Chrome Enterprise Premium.
  • דרישות נוספות ל-Microsoft OneDrive:
    • מגדירים כניסה יחידה (SSO) וסנכרון זהויות של Microsoft Entra ID עם Google Workspace או Cloud Identity. המשתמשים צריכים להיכנס לפרופיל Chrome שלהם באמצעות חשבון Microsoft. הוראות להגדרה מפורטות במסמכי התיעוד של Microsoft Entra.
    • מפעילים את ה-SSO של ספק הזהויות (IdP) של הצד השלישי במסוף Google Admin לכל הארגון, או מקצים את פרופיל ה-SSO ליחידות הארגוניות שמשתמשות בכלל.
    • מקצים רישיון של Microsoft OneDrive לכל משתמש ששומר קבצים ב-OneDrive.

שלב 1: מגדירים את אפליקציית OneDrive ב-Microsoft Entra ID

אם אתם משתמשים ב-Google Drive בארגון שלכם כיעד, דלגו אל שלב 2: התקנה של התוסף באופן מחייב.

אם אתם משתמשים ב-OneDrive בארגון, הוסיפו את האפליקציה Chrome Enterprise Premium Force Save to OneDrive לדייר (tenant) שלכם ב-Microsoft Entra ID. ואז נותנים לאפליקציה הרשאת אדמין:

  1. פותחים את דף ההסכמה של האדמין.

  2. נכנסים באמצעות חשבון Global Administrator או Privileged Role Administrator.

  3. בודקים את ההרשאות הנדרשות:

    • User.Read: מאפשר לאפליקציה לאמת את זהות המשתמש מול הפרופיל שלו ב-Chrome.
    • ‫Files.ReadWrite: מאפשרת לתוסף ליצור תיקיות ולהעלות קבצים ל-OneDrive של המשתמש.

  4. לוחצים על אישור. הדפדפן יפנה אתכם למסוף Google Admin.

  5. במרכז הניהול של Microsoft Entra, עוברים אל Enterprise applications ומוודאים שהאפליקציה Chrome Enterprise Premium Force Save to OneDrive מופיעה ברשימה.

שלב 2: התקנת התוסף לפי הגדרת האדמין

כדי שההעלאות לענן יפעלו, המשתמשים צריכים להתקין את התוסף Secure Enterprise Browser בדפדפן Chrome או בפרופיל המנוהל שלהם. כדי לבדוק את זה קודם עם קבוצה קטנה, אתם יכולים להוסיף יחידה ארגונית למשתמשים בפיילוט.

  1. במסוף Google Admin, נכנסים לתפריט ואז מכשירים ואז Chrome ואז אפליקציות ותוספים ואז משתמשים ודפדפנים.

    אם נרשמתם לממשק המרכזי לניהול דפדפן Chrome, נכנסים לתפריט ואז דפדפן Chrome ואז אפליקציות ותוספים ואז משתמשים ודפדפנים.

  2. כדי להחיל את ההגדרה על משתמשים או דפדפנים ספציפיים, בוחרים יחידה ארגונית או הגדרות לקבוצת משתמשים. אם אתם משתמשים ב-Microsoft Entra ID SSO ביחידה ארגונית לפיילוט, ודאו שפרופיל ה-SSO של ה-IdP של הצד השלישי מוקצה ליחידה הארגונית הזו.
  3. מציבים את הסמן על סמל ההוספה ולוחצים על הוספה של אפליקציית Chrome או של תוסף לפי המזהה שלהם .
  4. בשדה מזהה התוסף, מזינים ekajlcmdfcigmdbphhifahdfjbkciflj ובוחרים באפשרות מחנות האינטרנט של Chrome.
  5. לוחצים על שמירה.
  6. ברשימת האפליקציות והתוספים, לוחצים על Secure Enterprise Browser.
  7. בקטע מדיניות התקנה, בוחרים באפשרות התקנה לפי הגדרת האדמין או התקנה לפי הגדרת האדמין + הצמדה לסרגל הכלים של הדפדפן.
  8. בפינה השמאלית העליונה, לוחצים על שמירה.

שלב 3: יצירת כלל לאכיפת אחסון בענן

  1. במסוף Google Admin, נכנסים לתפריט ואז כללים ואז יצירת כלל ואז הגנה על נתונים.

    נדרשות הרשאות צפייה וניהול כללי DLP, או בדפדפן Chrome או ב-ChromeOS, הרשאות צפייה וניהול כללי DLP ב-Chrome.

  2. מזינים שם לכלל ואפשר גם להוסיף תיאור.
  3. בקטע אפליקציות, מסמנים את התיבה הקובץ הורד ליד Chrome.
  4. לוחצים על המשך.
  5. בקטע פעולות, בוחרים באפשרות אכיפת אחסון בענן ל-Chrome.
  6. בוחרים את היעד לאחסון בענן:
    • ‫Google Drive לארגון
    • ‫OneDrive לארגון
  7. ‫(אופציונלי) בקטע Alerting, מגדירים את אחת מאפשרויות ההתראה הבאות:
    • בוחרים רמת חומרה: נמוכה, בינונית או גבוהה.
    • כדי לשלוח התראות למרכז ההתראות, מסמנים את התיבה מרכז ההתראות.
    • מוסיפים נמענים להתראות באימייל.
  8. לוחצים על המשך.
  9. בוחרים אפשרות בשדה היקף:
    • כדי להחיל את הכלל בכל הארגון, בוחרים באפשרות כולם בדומיין *domain.name*.
    • כדי להחיל את הכלל ביחידות ארגוניות או קבוצות מסוימות, בוחרים באפשרות לכלול או להחריג יחידות ארגוניות וקבוצות, ואז בוחרים את היחידות הארגוניות והקבוצות.
  10. (אופציונלי) בקטע תנאי תוכן, לוחצים על הוספת תנאי כדי לציין מה מפעיל את הכלל, כמו סוג נתונים מוגדר מראש, סוג קובץ, כתובת URL של מקור או גודל קובץ. פרטים על התנאים הזמינים מופיעים במאמר איך משתמשים ב-Chrome Enterprise Premium לשילוב של DLP ב-Chrome.
  11. לוחצים על המשך ובודקים את פרטי הכלל.
  12. בקטע סטטוס הכלל, בוחרים באפשרות פעיל כדי להפעיל את הכלל באופן מיידי, או באפשרות לא פעיל כדי לבדוק את הכלל לפני שמפעילים אותו.
  13. לוחצים על יצירה.

מגבלות על גודל הקובץ, קדימות של כללים ותזמון

  • מגבלת גודל הקובץ: אחסון בענן באכיפה תומך בקבצים בגודל של עד 150MB. אם משתמש מוריד קובץ שגדול מ-150MB, דפדפן Chrome חוסם את ההורדה והתוסף מציג הודעת שגיאה. אתם יכולים להוסיף לכלל תנאי של גודל קובץ כדי להתאים לגדלים ספציפיים של קבצים.
  • סדר קדימויות של פעולות: כשכמה כללים חלים על אותה הורדת קובץ, הכלל עם הפעולה המחמירה ביותר חל: חסימה ואז אכיפה של אחסון בענן ואז אישור עם אזהרה ואז ביקורת בלבד. אם יש כמה כללים עם אותה פעולה, הכלל שהשתנה לאחרונה הוא זה שיופעל.
  • עדכוני כללים: כשיוצרים או עורכים כלל, בדרך כלל לוקח עד 2 דקות עד שהשינויים נכנסים לתוקף.

שלב 4: מפעילים את הדיווח על אירועים ועוקבים אחרי האירועים

כדי לבדוק אירועים של אכיפת אחסון בענן ביומנים, בדוחות ובהתראות, צריך להפעיל את הדיווח על אירועים ב-Chrome.

  1. במסוף Google Admin, נכנסים לתפריט ואז מכשירים ואז Chrome ואז הגדרות.

    אם נרשמתם ל-Chrome Enterprise Core, נכנסים לתפריט ואז דפדפן Chrome ואז הגדרות.

    נדרשת הרשאת אדמין לניהול מכשירים ניידים.

  2. (אופציונלי) כדי להחיל את ההגדרה רק על מחלקה או על צוות, בצד, בוחרים יחידה ארגונית.
  3. עוברים אל דיווח בדפדפן ואז דיווח על אירועים.
  4. צריך לבחור באפשרות הפעלת דיווח על אירועים, מוודאים שהאפשרות אירועי מידע אישי רגיש או כל סוגי האירועים מופעלים.
  5. לוחצים על שמירה. לחלופין, אפשר ללחוץ על שינוי מברירת המחדל לגבי יחידה ארגונית מסוימת.

    אם מאוחר יותר רוצים לשחזר את הערך שעבר בירושה, לוחצים על ירושה.

אחרי שמפעילים את דיווח האירועים, אפשר לעקוב אחרי הפעילות באחסון בענן שנאכפת במסוף Google Admin:

  • אירועים ביומן של Chrome: בדיווח ואז ביקורת וחקירה ואז אירועים ביומן של Chrome, הורדות תואמות מציגות יעד של Google Drive או OneDrive.
  • אירועים של רישום כללים: בדיווח ואז ביקורת וחקירה ואז אירועים של רישום כללים, הורדות תואמות מציגות פעולה שהופעלה של שמירה בענן או שמירה בענן.
  • מרכז ההתראות: באבטחה ואז מרכז ההתראות, ההתראות מציגות את הפעולה שהופעלה אילוץ שמירה בענן.
  • דוח סיכום הגנה מפני איומים ב-Chrome: בקטע אבטחה ואז מרכז בקרה ואז סיכום הגנה מפני איומים ב-Chrome, הדוח עוקב אחרי מספר האירועים של אילוץ שמירה בענן.

מה המשתמשים חווים

  1. כשמשתמש מתחיל להוריד קובץ שתואם לכלל, דפדפן Chrome חוסם את ההורדה המקומית. מוצגת הודעה שמבקשת מהמשתמש לשמור את הקובץ באחסון בענן.
  2. כשהמשתמש שומר את הקובץ באחסון בענן:
    • ב-OneDrive, אם המשתמש לא מחובר לחשבון Microsoft שלו, קודם נפתחת תיבת כניסה של Microsoft.
    • התוסף Secure Enterprise Browser פותח את התיבה Save to Google Drive או Save to OneDrive ומציג את התקדמות ההעלאה.
  3. בתיבת ההעלאה, המשתמש יכול לבטל את ההעלאה, לשנות את שם הקובץ או למחוק את הקובץ שהועלה מאחסון בענן.

המשתמשים יכולים גם להתאים אישית את הגדרות התוסף בדף Secure Enterprise Browser Options בקטע Download Control Settings:

  • המרת קישור שמור לפורמט של עורך Google: המרת קבצים תואמים לפורמט של Google Docs, ‏Sheets או Slides כששומרים אותם ב-Google Drive.
  • פתיחה אוטומטית של הקובץ השמור: הקובץ נפתח באחסון בענן אחרי שההעלאה מסתיימת.

פתרון בעיות באכיפה של אחסון בענן

דרישות ושגיאות באימות משתמשים

כדי שהתוסף יעלה קבצים לאחסון בענן, כל התנאים הבאים צריכים להתקיים:

  • המשתמש מחובר לפרופיל שלו ב-Chrome.
  • החשבון שמחובר משויך ל-Chrome Enterprise Premium.
  • אם הדפדפן מנוהל, הדומיין של המשתמש שמחובר לחשבון תואם לדומיין של הדפדפן המנוהל.
  • ב-OneDrive, כתובת האימייל של מיקרוסופט שמשמשת לכניסה לתוסף צריכה להיות זהה לכתובת האימייל של הפרופיל ב-Chrome, וכל האותיות צריכות להיות קטנות. אין תמיכה בכתובות אימייל שמשלבות אותיות רישיות וקטנות.

אם אחת מהדרישות לא מתקיימת, המשתמשים מתבקשים להיכנס לחשבון תקין של מקום עבודה או מוסד לימודים. ההורדה של הקובץ המקומי נשארת חסומה.

התראות האימות לא מופיעות ב-macOS

במכשירי macOS, הגדרות ההתראות של המערכת עשויות להסתיר את ההתראות של Chrome כשמתרחשת שגיאה באימות המשתמש. מבקשים מהמשתמש לפתוח את הגדרות המערכת ב-macOS ואז התראות ואז Google Chrome ולהפעיל את ההתראות.

שגיאה AADSTS50105 ב-Microsoft Entra

אם הוספתם את האפליקציה הארגונית Chrome Enterprise Premium Force Save to OneDrive ב-Microsoft Entra ID אבל המשתמשים מקבלים תיבת שגיאה AADSTS50105, בדקו אם נדרשת הקצאת משתמשים לאפליקציה. במרכז הניהול של Microsoft Entra, פתחו את האפליקציה והגדירו את Assignment required?‎ (נדרשת הקצאה?) ל-No (לא), או הקצו את המשתמשים והקבוצות המושפעים לאפליקציה.

שגיאה כשלא מוסיפים את אפליקציית OneDrive

אם המשתמשים מקבלים הודעת שגיאה שהאפליקציה לא נוספה לארגון, צריך לבצע את הפעולות שמפורטות בקטע שלב 1: הגדרת אפליקציית OneDrive ב-Microsoft Entra ID באמצעות חשבון Global Administrator (אדמין כללי) או Privileged Role Administrator (אדמין עם הרשאות מיוחדות). חשוב לוודא שאתם נותנים הסכמת אדמין לכל הדייר.

חשבון Google לא נמצא במהלך הכניסה

אם משתמש מקבל את השגיאה "לא נמצא חשבון Google" במסך הכניסה ל-Chrome, יכול להיות שהזהות שלו ב-Microsoft Entra לא מסונכרנת עם Google או שהכניסה היחידה (SSO) לא מופעלת ביחידה הארגונית שלו. מוודאים את סנכרון הזהויות והגדרת ה-SSO ב-Microsoft Entra ID ובמסוף Google Admin.

העלאת קבצים לאפליקציות של צד שלישי

הרבה אפליקציות של צד שלישי מתחברות ישירות ל-Google Drive ול-OneDrive. כדי לקבל פרטים על שילובים של אחסון בענן, פנו לספק האפליקציה. אם המשתמשים צריכים להוריד קבצים לאפליקציה שלא תומכת באחסון בענן, צריך לשנות את התנאים של כלל ההגנה על הנתונים. לדוגמה, אפשר להוסיף תנאים של סוג קובץ או כתובת URL של מקור כדי להחריג קבצים או אתרים ספציפיים מהכלל.

למה אפליקציית OneDrive מבקשת הרשאות לקבצים

התוסף צריך הרשאה ליצור תיקיות ולהעלות קבצים ל-OneDrive של המשתמש. האפליקציה ניגשת רק לחשבון OneDrive של המשתמש שמחובר לחשבון. הוא לא יכול לגשת לקבצים שבבעלות משתמשים אחרים בארגון.

בדיקת יומני התוסף כדי לאתר שגיאות בהורדה או בהעלאה

אם ההעלאה נכשלת, פרטי השגיאה מוצגים בתיבת ההעלאה של התוסף. ההעלאה עלולה להיכשל אם מכסת האחסון בענן מלאה, אם הכניסה נכשלה או אם שרת המקור מחזיר שגיאה.

כדי לבדוק או לייצא יומני תוספים:

  1. פותחים את אפשרויות הדפדפן המאובטח לארגונים.
  2. עוברים לקטע פתרון בעיות.
  3. לוחצים על הצגת היומן או על הורדת היומן.