Uw bedrijf beschermen met contextbewuste toegang

U kunt beleid voor contextbewuste toegang alleen toepassen op gebruikers met een licentie voor een van de versies die boven in dit artikel staan.

Gebruikers met een andere versie houden toegang tot apps, zelfs als u beleid voor contextbewuste toegang toepast op alle gebruikers in dezelfde organisatie-eenheid of groep. Voor gebruikers die niet een van de ondersteunde versies gebruiken, geldt beleid voor contextbewuste toegang dat wordt afgedwongen voor een organisatie-eenheid of groep niet.

U kunt beleid voor contextbewuste toegang toepassen op web-apps op desktops, mobiele apps en ingebouwde apps op desktops. De toegang tot apps wordt continu gecontroleerd nadat er toegang is gegeven. Dit geldt niet voor SAML-apps. Deze worden gecontroleerd als de gebruiker inlogt.

Google Workspace-apps (kernservices)

Voor apps die kernservices zijn, wordt het beleid continu gecontroleerd. Als een gebruiker bijvoorbeeld inlogt bij een kernservice op kantoor en naar een koffiebar loopt, wordt het beleid voor contextbewuste toegang voor die service opnieuw gecontroleerd wanneer de gebruiker van locatie verandert.

U kunt app-beleid instellen voor zowel desktop als mobiele apps. Als er een beleid is ingesteld voor mobiele apparaten, wordt dit automatisch toegepast op zowel Android- als iOS-platforms.

In deze tabel staat welke apps worden ondersteund voor web-apps op desktops, mobiele apps en ingebouwde apps op desktops.

*Supportopmerkingen voor mobiele apps:

• U kunt beleid voor contextbewuste toegang niet afdwingen voor ingebouwde mobiele apps van derden (bijvoorbeeld Salesforce).
• U kunt beleid voor contextbewuste toegang wel afdwingen voor SAML-apps die worden geopend via de Chrome-browser.
• Mobiele apparaten worden beheerd met Google-eindpuntbeheer op basis- of geavanceerd niveau. Bij basisbeheer kan het een paar dagen duren voordat de OS-versie en versleutelingsstatus van een apparaat zijn gesynchroniseerd. Gedurende deze periode kan de toegang tot Google Workspace-services vanaf deze apparaten worden beïnvloed als u contextbewuste toegang gebruikt.
• De mobiele Gemini Notebook-app voldoet aan het beleid voor contextbewuste toegang van je organisatie voor Google Drive. Als niet aan de beleidsregels wordt voldaan, wordt de toegang tot gekoppelde content vanuit Drive geblokkeerd.
• De mobiele app van Gemini gaat anders om met geblokkeerde content. Als een query een beleidsregel schendt, toont de app een antwoordbericht waarin staat dat de toegang is geweigerd, in plaats van een pop-upvenster. De functie Waarschuwingsmodus, waarmee gebruikers kunnen doorgaan ondanks de beleidsschending, is niet beschikbaar in de mobiele app van Gemini.
• Beleid voor contextbewuste toegang voor Gemini Enterprise is alleen van toepassing op web- en mobiele apps, niet op rechtstreekse aanroepen van de Discovery Engine API. Als u toegangsbeleid wilt afdwingen via de API, gaat u naar Contextbewuste toegang instellen.

Apps van derden en API-verbindingen

Beleid voor contextbewuste toegang dat is toegepast op Google Drive, is ook van toepassing op geautomatiseerde achtergrondsystemen, zoals zakelijke back-ups, gegevensmigratie en eDiscovery-tools.

Als een geautomatiseerde tool Drive-gegevens probeert te openen of over te zetten vanaf een niet-geautoriseerd IP-adres of apparaat, wordt de verbinding geblokkeerd. Zorg dat je beveiligingsbeleid de netwerk-IP-subnetten van de tool toestaat of het serviceaccount vrijstelt, zodat deze tools ononderbroken kunnen worden uitgevoerd.

Aanvullende Google-services

Voor aanvullende Google-services wordt het beleid continu gecontroleerd. Deze services zijn alleen web-apps.

• Data Studio: Zet gegevens om in makkelijk te lezen diagrammen en interactieve rapportagetools.
• Google Play Console: Stel Android-apps die u ontwikkelt ter beschikking aan het snel groeiende gebruikersbestand van Android.

SAML-apps

Beleid voor SAML-apps wordt gecontroleerd als gebruikers inloggen bij de app.

• Dit geldt ook voor SAML-apps van derden die Google gebruiken als identiteitsprovider. U kunt ook een identiteitsprovider (IdP) van derden gebruiken (IdP van derden federeert met Google Cloud Identity en Google Cloud Identity federeert met SAML-apps). Ga naar Over SSO voor meer informatie.
• Beleid voor contextbewuste toegang wordt afgedwongen als een gebruiker inlogt bij een SAML-app.

  Voorbeeld: Als een gebruiker inlogt bij een SAML-app op kantoor en naar een koffiebar loopt, wordt het beleid voor contextbewuste toegang voor die SAML-app niet opnieuw gecontroleerd wanneer de gebruiker van locatie verandert. Voor SAML-apps wordt het beleid alleen opnieuw gecontroleerd als de gebruikerssessie voorbij is en de gebruiker opnieuw inlogt.

• Als u apparaatbeleid toepast op een toegangsniveau, kan een gebruiker alleen worden goedgekeurd door een SAML-app van derden via de Chrome-browser met eindpuntverificatie aangezet.

• Als apparaatbeleid wordt toegepast, wordt toegang tot webbrowsers op mobiele apparaten (inclusief mobiele apps die inloggen via een webbrowser) geblokkeerd.

U kunt verschillende typen beleidsregels voor contextbewuste toegang maken voor toegang tot apps, op basis van IP-adres, apparaat, geografische oorsprong en aangepaste kenmerken in het toegangsniveau. Ga naar Custom access level specification (Aangepaste toegangsniveaus invoeren) voor hulp en voorbeelden van ondersteunde kenmerken en expressies voor aangepaste toegangsniveaus.

Ga naar Integraties met derden instellen voor meer informatie over ondersteunde BeyondCorp Alliance-partners.

Platformondersteuning, zoals apparaattype, besturingssysteem en browsertoegang, verschilt per beleidstype.

Dit zijn enkele beleidstypen:

• IP-adres: Hiermee kunt u een IP-adresbereik opgeven waarbinnen gebruikers toegang hebben tot een app.
• Apparaatbeleid en Apparaat-OS: Hiermee kunt u kenmerken opgeven van het apparaat waarmee een gebruiker een app opent, zoals of het apparaat is versleuteld of een wachtwoord vereist.
• Geografische oorsprong: Hiermee kunt u landen opgeven waarin een gebruiker toegang heeft tot apps.

Platformondersteuning voor IP-adres en geografische oorsprong

Als een internetprovider (ISP) het IP-adres wijzigt tussen verschillende geografische regio's, wordt dit met wat vertraging doorgevoerd. Tijdens deze vertraging kunnen gebruikers worden geblokkeerd door contextbewuste toegang als hun toegang wordt afgedwongen door kenmerken voor geolocatie.

• Apparaattype: Desktop, laptop of mobiel apparaat.
• Besturingssysteem
  • Desktop: Mac, Windows, ChromeOS, Linux OS
  • Mobiel: Android, iOS (waaronder iPadOS)
• Toegang
  • Webbrowser voor desktop en Drive voor desktop.
  • Webbrowser en ingebouwde apps van het bedrijf op mobiele apparaten
• Software: Geen agent vereist (behalve Safari met Apple Private Relay geactiveerd). Als Apple Private Relay is ingesteld in iCloud, wordt het IP-adres van het apparaat verborgen. Google Workspace krijgt dan een anoniem IP-adres. Als er een niveau voor contextbewuste toegang is toegewezen als het IP-subnetwerk, wordt de toegang tot Safari geweigerd. U kunt dit probleem oplossen door Apple Private Relay uit te zetten of door het toegangsniveau met IP-subnetwerken te verwijderen.

Platformondersteuning voor apparaatbeleid

• Apparaattype: Desktop, laptop of mobiel apparaat.
• Besturingssysteem
  • Desktop: Mac, Windows, Chrome OS, Linux OS.
  • Mobiel: Android, iOS (waaronder iPadOS). Voor Android-versies vóór versie 6.0 moet u Google-eindpuntbeheer in de basismodus gebruiken voor eindpuntverificatie.
• Eigendom van het bedrijf: Wordt niet ondersteund voor apparaten met Android 12 of hoger en een werkprofiel. Deze apparaten worden altijd gerapporteerd als eigendom van de gebruiker, zelfs als ze in de inventaris van apparaten die eigendom zijn van het bedrijf staan. Ga voor meer informatie naar Gegevens van mobiele apparaten bekijken, Informatie over apparaatgegevens. Scroll in de tabel Apparaatgegevens omlaag naar de rij Eigendom.
• Toegang
  • Chrome-browser voor desktop en Drive voor desktop
    Opmerking: Alternatieve browsers (zoals Apple Safari, Microsoft Edge en Mozilla Firefox) kunnen deze apparaatbeveiligingsvereisten niet verifiëren en blokkeren de toegang.
  • Chrome-browser voor ingebouwde apps van het bedrijf op mobiele apparaten
• Software
  • Desktop: Chrome-browser, Chrome Endpoint Verification-extensie.
  • Mobiel: beheer mobiele apparaten met Google-eindpuntbeheer (basis of geavanceerd).
  • (Voor gebruikers van Windows) Zorg dat de Google Chrome Elevation Service aan blijft staan voor App-gebonden versleuteling om de beveiliging van Chrome-gegevens te verbeteren.

Deze beheerders kunnen beleid voor contextbewuste toegang instellen:

• Hoofdgebruikers
• Een beheerder met elk van deze rechten:
  • Gegevensbeveiliging > Toegangsniveaus beheren
  • Gegevensbeveiliging > Regelbeheer
  • Rechten voor de Admin API > Groepen > Lezen
  • Rechten voor de Admin API> Gebruikers> Lezen