Защитите свой бизнес с помощью контекстно-зависимого доступа.

Политики контекстно-зависимого доступа можно применять только к пользователям, имеющим лицензию на одну из версий, указанных в начале этой статьи.

Пользователи с любыми другими версиями программного обеспечения могут получать доступ к приложениям как обычно — даже если вы применяете политику контекстно-зависимого доступа ко всем пользователям в одном организационном подразделении или группе. На пользователей, не имеющих одной из поддерживаемых версий, не распространяются политики контекстно-зависимого доступа, действующие в их организационном подразделении или группе.

Политики контекстно-зависимого доступа можно применять к веб-приложениям на настольных компьютерах, мобильным приложениям и встроенным приложениям на настольных компьютерах. Доступ для приложений оценивается непрерывно после предоставления доступа. Исключение составляют приложения SAML, для которых оценка происходит при входе в систему.

Приложения Google Workspace (основные сервисы)

Для приложений, являющихся основными сервисами, оценка политик происходит непрерывно. Например, если пользователь входит в основной сервис в офисе и идет в кафе, политика контекстно-зависимого доступа для этого сервиса перепроверяется при смене местоположения пользователем.

Политики приложений можно настроить как для настольных, так и для мобильных приложений. Если политика настроена для мобильных устройств, она автоматически применяется к платформам Android и iOS.

В этой таблице показаны поддерживаемые приложения: веб-приложения для настольных компьютеров, мобильные приложения и встроенные приложения для настольных компьютеров.

*Примечания по поддержке мобильных приложений:

• Встроенные сторонние приложения (например, Salesforce) не позволяют применять политики контекстно-зависимого доступа к мобильным устройствам.
• Вы можете применять политики контекстно-зависимого доступа к приложениям SAML, доступ к которым осуществляется через браузер Chrome.
• Управление мобильными устройствами осуществляется с помощью базового или расширенного режима управления конечными точками Google. При базовом управлении синхронизация версии ОС и состояния шифрования устройства может занять несколько дней. В течение этого времени доступ к сервисам Google Workspace с этих устройств может быть ограничен, если вы используете контекстно-зависимый доступ.
• Мобильное приложение Gemini Notebook соответствует политикам контекстно-зависимого доступа вашей организации к Google Drive. Если правила политики не соблюдаются, доступ к подключенному контенту из Drive будет заблокирован.
• Мобильное приложение Gemini обрабатывает заблокированный контент иначе. Когда запрос нарушает правила, приложение отображает ответное сообщение о том, что доступ запрещен, а не всплывающее окно. Функция режима предупреждения, которая позволяет пользователям продолжить работу, несмотря на нарушение правил, недоступна в мобильном приложении Gemini.
• Политики контекстно-зависимого доступа для Gemini Enterprise применяются только к веб- и мобильным приложениям, а не к прямым вызовам API механизма обнаружения. Чтобы применить политики доступа через API, перейдите в раздел «Настройка контекстно-зависимого доступа» .

Сторонние приложения и API-подключения

Политики контекстно-зависимого доступа, применяемые к Google Drive, также распространяются на фоновые автоматизированные системы, такие как корпоративное резервное копирование, миграция данных и инструменты электронного поиска.

Если автоматизированный инструмент попытается получить доступ к данным Google Диска или передать их с неавторизованного IP-адреса или устройства, соединение будет заблокировано. Чтобы обеспечить бесперебойную работу таких инструментов, убедитесь, что ваши политики безопасности разрешают использование IP-подсетей сети этого инструмента или исключают из них учетную запись службы.

Дополнительные сервисы Google

Для дополнительных сервисов Google постоянно проводится оценка эффективности политики. Эти сервисы доступны только в виде веб-приложений.

• Data Studio — Преобразует данные в легко читаемые диаграммы и интерактивные отчеты.
• Google Play Console — Предлагайте разработанные вами приложения для Android быстро растущей базе пользователей Android.

Приложения SAML

В приложениях SAML оценка политики происходит при входе в приложение.

• Это включает сторонние SAML-приложения, использующие Google в качестве поставщика идентификации. Также может использоваться сторонний поставщик идентификации (IdP) (сторонний IdP, интегрированный с Google Cloud Identity, и Google Cloud Identity, интегрированный с SAML-приложениями). Для получения более подробной информации перейдите в раздел «О SSO» .
• Политики доступа с учетом контекста применяются при входе пользователя в приложение SAML.

  Пример : Если пользователь входит в SAML-приложение в офисе и переходит в кафе, политика контекстно-зависимого доступа для этого SAML-приложения не перепроверяется при смене местоположения пользователем. Для SAML-приложений перепроверка политики происходит только после завершения сеанса пользователя и его повторного входа в систему.

• Если политика устройства применяется на уровне доступа, пользователь может быть одобрен только сторонним приложением SAML через браузер Chrome с включенной проверкой конечной точки.

• Если применяется политика устройства, доступ к веб-браузеру на мобильном устройстве (включая мобильные приложения, использующие веб-браузер для входа в систему) блокируется.

Вы можете создавать различные типы политик доступа с учетом контекста для доступа к приложениям: по IP-адресу, устройству, географическому местоположению и пользовательским атрибутам уровня доступа. Для получения рекомендаций и примеров поддерживаемых атрибутов и выражений для создания пользовательских уровней доступа перейдите к спецификации пользовательских уровней доступа .

Кроме того, подробную информацию о поддерживаемых партнерах BeyondCorp Alliance можно найти в разделе «Настройка интеграции с партнерами сторонних компаний» .

Поддержка платформы, включая тип устройства, операционную систему и доступ через браузер, зависит от типа политики.

К типам страховых полисов относятся:

• IP-адрес — указывает диапазон IP-адресов, с которого пользователь может подключиться к приложению.
• Политика устройства и ОС устройства — определяет характеристики устройства, с которого пользователь получает доступ к приложению, например, зашифровано ли устройство или требуется ли пароль.
• Географическое происхождение — указывает страны, в которых пользователь может получить доступ к приложениям.

Поддержка платформы по IP-адресам и географическому происхождению

Обратите внимание, что если интернет-провайдер меняет IP-адреса между различными географическими регионами, возникает задержка, пока эти изменения вступят в силу. В течение этой задержки контекстно-зависимый доступ может блокировать пользователей, если их доступ определяется атрибутами геолокации.

• Тип устройства — настольный компьютер, ноутбук или мобильное устройство.
• Операционная система
  • Настольные компьютеры — Mac, Windows, ChromeOS, Linux OS
  • Мобильные устройства — Android, iOS (включая iPadOS)
• Доступ
  • Веб-браузер для настольных компьютеров и Диск для настольных компьютеров
  • Веб-браузер и встроенные приложения от разработчиков на мобильных устройствах
• Программное обеспечение — Агент не требуется (кроме Safari с включенным Apple Private Relay). Если Apple Private Relay настроен в iCloud, IP-адрес устройства скрывается. Google Workspace получает анонимный IP-адрес. В этом случае, если для IP-подсети назначен уровень доступа с учетом контекста, доступ к Safari будет запрещен. Исправьте это, отключив Apple Private Relay или удалив уровень доступа, содержащий IP-подсети.

Поддержка платформы политик устройств

• Тип устройства — настольный компьютер, ноутбук или мобильное устройство.
• Операционная система
  • (Настольные версии) Mac, Windows, ChromeOS, Linux OS
  • (Мобильные) Android, iOS (включая iPadOS). Обратите внимание, что для версий Android ниже 6.0 для проверки конечных точек необходимо использовать управление конечными точками Google в базовом режиме.
• Принадлежность компании — не поддерживается для устройств с Android 12 или более поздней версии и рабочим профилем. Эти устройства всегда отображаются как принадлежащие пользователю, даже если они находятся в инвентаре, принадлежащем компании. Для получения дополнительной информации перейдите в раздел «Просмотр мобильных устройств» , «Подробная информация об устройстве» и в таблице «Информация об устройстве» прокрутите вниз до строки «Владение».
• Доступ
  • Браузер Chrome для настольных компьютеров и Google Диск для настольных компьютеров
    Примечание: Альтернативные браузеры (такие как Apple Safari, Microsoft Edge и Mozilla Firefox) не могут проверить соответствие этим требованиям безопасности устройства и заблокируют доступ.
  • Браузер Chrome для встроенных приложений от разработчиков на мобильных устройствах
• Программное обеспечение
  • (Для настольных компьютеров) Браузер Chrome, расширение Chrome Endpoint Verification
  • (Мобильные устройства) Управляйте мобильными устройствами с помощью Google Endpoint Management ( базовая или расширенная версия ).
  • (Для пользователей Windows) Чтобы повысить безопасность данных Chrome, убедитесь, что служба повышения привилегий Google Chrome остается включенной для шифрования данных, привязанного к приложению .

Эти администраторы могут устанавливать политики доступа с учетом контекста:

• Супер администратор
• Администратор, обладающий каждой из следующих привилегий:
  • Безопасность данных > Управление уровнями доступа
  • Безопасность данных > Управление правилами
  • Права доступа к API администратора > Группы > Чтение
  • Права доступа к API администратора > Пользователи > Чтение