Riktlinjer för att konfigurera en tredjeparts CASB med Google Workspace

En molnåtkomstsäkerhetsmäklare (CASB) är lokal eller molnbaserad programvara som placeras mellan användare och internetapplikationer. En CASB upprätthåller säkerhetspolicyer, minskar hotet från skadlig programvara och övervakar användaraktivitet som potentiellt påverkar din domäns säkerhet.

Viktigt: Det är inte nödvändigt att konfigurera en tredjeparts CASB med Google Workspace. Om du bestämmer dig för att göra det rekommenderar vi dock att du läser riktlinjerna och felsökningsanvisningarna nedan.

CASB-riktlinjer

Använd en offline CASB där så är tillämpligt

Använd om möjligt inte en inline/aktiv CASB på nätverkstrafik mellan användare och Google (använd inte en proxy eller ett nätverksfilter). Överväg andra sätt att uppnå dina mål – till exempel API:er eller Gmail-tillägg, till exempel en offline CASB. Googles supportteam kan inte hjälpa till med felsökning och lösning av potentiella Google Workspace-problem som involverar inline/aktiva CASB-lösningar.

Istället rekommenderar vi följande alternativ som erbjuds av Google Workspace:

Se till att du kan inaktivera CASB för testning

Om du måste använda en CASB, se till att du kan testa din konfiguration genom att kringgå eller inaktivera CASB för en specifik maskin eller användare. Detta är viktigt eftersom CASB-leverantörer/konfigurationer ofta orsakar anslutningsproblem till Googles tjänster (snarare än att Google har ett problem).

Här är några vanliga alternativ för att testa om ett problem med Google Workspace orsakas av en CASB:

  • (Rekommenderas) Använd en annan maskin för att ansluta, där nätverkstrafiken inte dirigeras via CASB och inte omfattas av några företagspolicyer som kräver installation av lokala nätverksfilter eller webbläsartillägg. Du kan till exempel komma åt Google-tjänsten från en personlig enhet eller ansluta den berörda maskinen till ett mobilnätverk (internetdelning) istället för företagsnätverket.
  • Konfigurera din CASB för att skicka trafik från den berörda maskinen. Det här alternativet är ofta svårare att konfigurera.
  • Om era organisationspolicyer inte tillåter direkt anslutning till ert Google Workspace-konto, använd en separat Google Workspace-testmiljö.

Om du måste blockera Google-trafik bör du inte ändra innehållet i svaret – till exempel genom att injicera din egen Javascript-kod. Se istället till att din CASB/proxy ersätter svaret med ett 500-svar. Helst bör 500-svaret ha en unik rubrik som indikerar att det kommer från CASB. Om du ändrar svarsinnehållet kan Google inte garantera support för eventuella problem.

Tänk på att Google inte kan hjälpa till med CASB-konfigurationer.

Google kan inte garantera någon hjälp med problem relaterade till blockering eller modifiering av nätverkstrafik mellan webbläsaren (eller API-klienten) och Google, eller problem som uppstår som en bieffekt av sådana ändringar. Google tillhandahåller API:er för integrationer, men vi kan inte stödja integrationer som skapats på annat sätt (till exempel kod-/CSS-injektion). Detta beror på att Google inte har insyn i konfigurationen eller koden i tredjepartssystem och inte kan ge några garantier om icke-offentliga gränssnitt.

Google Workspace-supportteamet kan inte heller hjälpa till med felsökning av tredjepartskod, särskilt om koden inte använder officiella Google API:er eller gränssnitt. Du kan till exempel använda ett Gmail-tillägg för att lägga till en knapp i Gmail-gränssnittet, och det stöds. Det stöds dock inte att lägga till en knapp i Gmail-gränssnittet genom att injicera ditt eget Javascript – antingen med ett Chrome-tillägg eller en MITM-proxy (man-in-the-middle).

Felsökning

Nedan listas några möjliga biverkningar och symtom på nätverksproblem relaterade till CASB/nätverksfilter. Detta är inte en fullständig lista över problem, så det kan finnas andra symtom också:

  • Användargränssnittet laddas inte, eller så är det tomt.
  • Användare omdirigeras till en Googles supportsida med instruktioner om hur man rensar cachen, och denna omdirigering kvarstår även efter att cachen har rensats.
  • Programmet laddas, men vissa funktioner är inaktiverade – till exempel kan användare inte skriva ett e-postmeddelande, eller så är alternativen för redigering i Dokument/Kalkylark/Presentationer inaktiverade eller nedtonade.
  • Fel uppstår i flera orelaterade Google Workspace-produkter (till exempel Gmail och Drive) trots att inga avbrott har rapporterats i Google Workspace Status Dashboard .

Kontrollera om din nätverkstrafik eller webbläsarsession ändras av CASB/proxyservern

  • Jämför fingeravtryck för HTTPS-certifikat med de riktiga Google-certifikaten. Använd till exempel SSL-servertestet för att jämföra fingeravtrycket för certifikatet du ser i webbläsaren med fingeravtrycket som visas för samma värdnamn (till exempel docs.google.com ).
  • Om certifikaten är olika indikerar detta en inline/aktiv CASB. Försök att återskapa problemet på en direktanslutning till Google – till exempel på en separat maskin ansluten via ett mobilnätverk som nämnts ovan – och se till att det inte finns några lokalt körande agenter som avlyssnar nätverkstrafik.
  • Om certifikaten är desamma indikerar det troligtvis att det inte finns någon inbäddad CASB. Försök att återskapa problemet i Chromes inkognitoläge, samtidigt som du ser till att inga Chrome-tillägg är tillåtna i inkognitoläge. Detta eliminerar problem relaterade till lokalt körande agenter installerade som Chrome-tillägg.

Nästa steg

Om du upplever CASB/nätverksproblem och om du verifierar att din nätverkstrafik modifieras av en CASB/proxy enligt beskrivningen i avsnitten ovan, gör följande:

  • Prata med din nätverksadministratör.
  • Kontrollera om problemet uppstår på en orelaterad maskin eller konton (se avsnittet ovan: Se till att du kan inaktivera CASB för testning ). Google kan inte garantera att anslutningar som avbryts eller ändras – eller sidor som ändras av ett tillägg – fungerar som förväntat. Kontakta din CASB-leverantör.
  • Om du fortfarande tror att problemet ligger på Googles sida, samla in följande information och lämna den till Googles supportteam: