De sessieduur instellen voor Google Cloud-services

Als beheerder kunt u bepalen hoelang verschillende gebruikers toegang hebben tot de Google Cloud-console en de Cloud SDK zonder dat ze hun identiteit opnieuw hoeven te bevestigen. U kunt bijvoorbeeld instellen dat gebruikers met rechten op hoger niveau, zoals projecteigenaren, factureringsbeheerders of anderen met een beheerdersrol, hun identiteit vaker moeten bevestigen dan reguliere gebruikers. Als u een sessieduur instelt, wordt ze gevraagd opnieuw in te loggen om een nieuwe sessie te starten.

De ingestelde sessieduur geldt voor:

Opmerking: De instelling voor de Cloud-sessieduur geldt niet voor de mobiele console-app en geldt beperkt binnen de console. We raden u aan deze functie te gebruiken met Google-sessiebeheer, waarmee de sessieduur wordt toegepast op alle Google-webproperty's.

Beleid voor opnieuw verifiëren instellen

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Toegangs- en gegevensbeheer en dan Google Cloud-sessiebeheer.

    Hiervoor is het beheerdersrecht Beveiligingsinstellingen vereist.

  2. Selecteer links de organisatie-eenheid waarvoor u de sessieduur wilt instellen.

    Selecteer de organisatie op het hoogste niveau als u wilt dat de instellingen gelden voor alle gebruikers. Een organisatie-eenheid neemt in eerste instantie de instellingen over van de bovenliggende organisatie-eenheid.

  3. Selecteer onder Beleid voor hernieuwde verificatie de optie Hernieuwde verificatie vereisen en kies de Frequentie van hernieuwde verificatie in het dropdownmenu.

    De minimum toegestane frequentie is 1 uur en de maximumfrequentie is 24 uur. De frequentie omvat niet hoelang een gebruiker inactief is geweest in de sessie. De frequentie is een vaste periode waarna gebruikers opnieuw moeten inloggen.

    U kunt ook het vakje Vertrouwde apps vrijstellen aanvinken om vertrouwde apps vrij te stellen van hernieuwde verificatie. (Vertrouwde apps zijn gemarkeerd als Vertrouwd op de pagina App-toegangsbeheer. Ga naar Voorbereiden op algemene uitrol hieronder voor meer informatie. Ga ook naar Bepalen welke apps van derden en interne apps toegang hebben tot Google Workspace-gegevens.)

  4. Selecteer onder Methode voor hernieuwde verificatie de optie Wachtwoord of Beveiligingssleutel om aan te geven hoe de gebruiker zich opnieuw moet laten verifiëren.

  5. Als u het beleid voor opnieuw verifiëren instelt op het niveau van de organisatie-eenheid, klikt u rechtsonder op de knop Overschrijven om de instelling hetzelfde te houden, zelfs als de instelling van de bovenliggende organisatie-eenheid wordt gewijzigd.

  6. Als de organisatie-eenheid al de status Overschrijven heeft, kiest u een van de volgende opties:

    • Overnemen: de instelling wordt teruggezet op dezelfde instelling als in de bovenliggende organisatie-eenheid.
    • Opslaan: de nieuwe instelling wordt opgeslagen (zelfs als de instelling wordt gewijzigd in de bovenliggende organisatie-eenheid).
Het kan tot 24 uur duren voordat wijzigingen zijn verwerkt, maar meestal gaat dit sneller. Meer informatie

Voorbereiden op algemene uitrol

Het beleid voor hernieuwde verificatie dat u hier instelt, is van toepassing op alle Google-apps en apps van derden die toegang hebben tot Google Cloud-resources door het Google Cloud-bereik te vereisen. We raden je aan zorgvuldig te testen hoe het beleid werkt voor elk van de apps met een kleine groep gebruikers. Voeg die gebruikers toe aan de lijst met vertrouwde apps voordat je doorgaat met een bredere implementatie.

Ga naar Bepalen welke apps van derden en interne apps toegang hebben tot Google Workspace-gegevens voor instructies om de apps te controleren die momenteel door uw organisatie worden gebruikt. Filter op apps waarvoor de Google Cloud-service is vereist.

Als de ingestelde sessieduur is verlopen, moet de gebruiker zich opnieuw verifiëren om de app te kunnen blijven gebruiken. Dit is vergelijkbaar met wat er gebeurt als een beheerder de vernieuwingstokens voor die app intrekt.

Sommige apps kunnen het scenario voor opnieuw verifiëren misschien niet goed verwerken, waardoor verwarrende app-crashes of stacktraces ontstaan. Sommige andere apps worden geïmplementeerd voor server-naar-server-use cases met inloggegevens van gebruikers in plaats van de aanbevolen inloggegevens van het serviceaccount. In dat geval is er geen gebruiker die periodiek opnieuw moet worden geverifieerd.

Als u last heeft van deze scenario's, kunt u deze apps toevoegen aan een lijst met vertrouwde apps. De apps worden dan tijdelijk vrijgesteld van de beperkingen voor sessieduur, terwijl u sessiebeheer implementeert voor alle andere Google Cloud-beheeroppervlakken. Zet de app op de lijst met vertrouwde apps in App-toegangsbeheer en vink het vakje aan voor Vertrouwde apps uitsluiten in de instelling Cloud-sessiebeheer.

Je krijgt misschien een foutmelding over hernieuwde verificatie van apps van derden nadat een sessie is verlopen. Als gebruikers deze apps weer willen gebruiken, kunnen ze opnieuw inloggen bij de app om een nieuwe sessie te starten.

Apps die Application Default Credentials (ADC) gebruiken met gebruikersgegevens, worden beschouwd als apps van derden. Deze inloggegevens zijn alleen geldig voor de ingestelde sessieduur. Als die sessie verloopt, kunnen apps die ADC gebruiken ook een foutmelding over hernieuwde verificatie retourneren. Ontwikkelaars kunnen de app opnieuw autoriseren door de opdracht gcloud auth application-default login uit te voeren om nieuwe inloggegevens te krijgen.

Aandachtspunten

Wanneer en hoe gebruikers inloggen

Als u wilt dat sommige gebruikers vaker moeten inloggen dan anderen, plaatst u de gebruikers in verschillende organisatie-eenheden. Stel vervolgens verschillende sessieduren in voor de organisatie-eenheden. Zo worden bepaalde gebruikers niet gestoord doordat ze opnieuw moeten inloggen wanneer dit niet nodig is.

Als u het gebruik van een beveiligingssleutel afdwingt, kunnen gebruikers die geen beveiligingssleutel hebben de console of Cloud SDK pas gebruiken nadat ze er een hebben ingesteld. Nadat ze een beveiligingssleutel hebben ingesteld, kunnen ze overschakelen naar het gebruik van hun wachtwoord als ze dat willen.

Identiteitsproviders van derden

  • Met de console: Als u vereist dat gebruikers hun identiteit opnieuw moeten bevestigen met hun wachtwoord, worden ze doorgestuurd naar de identiteitsprovider (IdP). De IdP vereist misschien niet dat gebruikers hun wachtwoord opnieuw invoeren om een nieuwe sessie in de console te starten als ze al een actieve sessie hebben bij de IdP, omdat de gebruikers een andere app gebruiken waardoor de sessie actief blijft.

    Als gebruikers hun identiteit opnieuw moeten bevestigen door hun beveiligingssleutel aan te raken, kunnen ze dit doen vanuit de console. Ze worden niet doorgestuurd naar de IdP.

  • Met de Cloud-SDK: Als een wachtwoord is vereist voor opnieuw verifiëren, vereist gcloud dat de gebruiker de opdracht gcloud auth login uitvoert om de sessie te verlengen. Er wordt een browservenster geopend en de gebruiker wordt naar de IdP geleid. Daar wordt de gebruiker mogelijk gevraagd om inloggegevens als er geen actieve sessie is bij de IdP.

    Als gebruikers hun identiteit opnieuw moeten bevestigen door hun beveiligingssleutel aan te raken, kunnen ze dit doen in de Cloud SDK. Ze worden niet doorgestuurd naar de IdP.