אדמינים יכולים לקבוע כמה זמן יכולים משתמשים שונים לגשת למסוף Google Cloud ול-Cloud SDK בלי שיידרשו לבצע אימות מחדש. לדוגמה, יכול להיות שתרצו שמשתמשים עם הרשאות מורחבות, כמו Project Owner, אדמינים של חשבונות לחיוב או משתמשים אחרים עם תפקידי אדמין, יאמתו את הזהות שלהם בתדירות גבוהה יותר ממשתמשים רגילים. אם מגדירים אורך סשן, המשתמשים מתבקשים להיכנס שוב כדי להתחיל סשן חדש.
ההגדרה של משך הסשן חלה על:
- מסוף Google Cloud
- כלי שורת הפקודה של gcloud (Cloud SDK)
- כל אפליקציה (כולל אפליקציות של צד שלישי או אפליקציות שלכם) שדורשת הרשאת משתמש להיקפי הרשאות ב-Google Cloud. כדי לבדוק את האפליקציות שדורשות היקפי הרשאות של Google Cloud בממשק המשתמש של בקרת הגישה לאפליקציות, קראו את המאמר איך בוחרים לאילו אפליקציות של צד שלישי ואפליקציות פנימיות תהיה גישה לנתונים של Google Workspace.
הערה: ההגדרה של משך הסשן ב-Cloud לא חלה על האפליקציה לנייד של המסוף, ויש לה מגבלות בתוך המסוף. אנחנו ממליצים להשתמש בתכונה הזו עם בקרת הסשנים של Google, שמחילה את משך הסשן על כל נכסי האינטרנט של Google.
הגדרת מדיניות האימות מחדש
-
במסוף Google Admin, נכנסים לתפריט
אבטחה
אפשרויות לניהול השימוש בנתונים
בקרת סשנים ב-Google Cloud.כדי לעשות את זה צריך הרשאות אדמין להגדרות האבטחה.
בצד ימין, בוחרים את היחידה הארגונית שרוצים להגדיר בה את משך הסשן.
אם רוצים להגדיר את המדיניות לכל המשתמשים, בוחרים את היחידה הארגונית שברמה העליונה. כברירת מחדל, יחידה ארגונית יורשת את ההגדרות של היחידה הארגונית הראשית שלה.
בקטע מדיניות אימות מחדש, בוחרים באפשרות נדרש אימות מחדש ובוחרים את תדירות האימות מחדש מהרשימה הנפתחת.
התדירות המינימלית המותרת היא שעה אחת, והמקסימלית היא 24 שעות. התדירות לא כוללת את משך הזמן שבו המשתמש לא היה פעיל בסשן. זהו פרק הזמן הקבוע שעובר לפני שהמשתמש צריך להיכנס שוב לחשבון.
אפשר גם לסמן את התיבה אפליקציות מהימנות פטורות כדי לפטור אפליקציות מהימנות מאימות מחדש. (אפליקציות מהימנות מסומנות כ"מהימנות" בדף בקרת הגישה לאפליקציות. לפרטים נוספים, ראו הכנה להשקה נרחבת בהמשך. איך בוחרים לאילו אפליקציות של צד שלישי ואפליקציות פנימיות תהיה גישה לנתונים של Google Workspace
בקטע שיטת אימות מחדש, בוחרים באפשרות סיסמה או מפתח אבטחה כדי לציין איך המשתמש צריך לבצע אימות מחדש.
אם אתם מגדירים את מדיניות האימות מחדש ברמת היחידה הארגונית, לחצו על הכפתור שינוי מברירת המחדל בפינה השמאלית התחתונה כדי שההגדרה תישאר כמו שהיא גם כשההגדרה הראשית משתנה.
אם הסטטוס של היחידה הארגונית הוא כבר בוטלה, בוחרים אחת מהאפשרויות האלה:
- ירושה: חזרה לערך של ההגדרה הראשית.
- שמירה: שמירת ההגדרה החדשה (גם אם ההגדרה הראשית משתנה).
הכנה להשקה רחבה
מדיניות האימות מחדש שאתם מגדירים כאן חלה על כל האפליקציות של Google ושל צד שלישי שניגשות למשאבים ב-Google Cloud, על ידי דרישה להיקף ההרשאות של Google Cloud. מומלץ לבדוק בקפידה איך המדיניות פועלת בכל אחת מהאפליקציות עם קבוצה קטנה של משתמשים – להוסיף את המשתמשים האלה לרשימת האפליקציות המהימנות, לפני שממשיכים להשקה רחבה יותר.
איך בודקים אילו אפליקציות של צד שלישי ואפליקציות פנימיות נמצאות בשימוש בארגון וקובעים לאילו מהן תהיה גישה לנתונים של Google Workspace חשוב לסנן את האפליקציות שדורשות את שירות Google Cloud.
כשתוקף הסשן יפוג, האפליקציה תדרוש מהמשתמש לאמת מחדש את הזהות שלו כדי להמשיך לפעול – בדומה למה שהיה קורה אם אדמין היה מבטל את טוקני הרענון של האפליקציה.
יכול להיות שחלק מהאפליקציות לא יטפלו בצורה חלקה בתרחיש של אימות מחדש, מה שיגרום לקריסות של אפליקציות או לדוחות קריסות מבלבלים. אפליקציות אחרות נפרסות לתרחישי שימוש של שרת-לשרת עם פרטי כניסה של משתמשים, במקום פרטי כניסה לחשבון השירות המומלצים. במקרה כזה, אין משתמש שיכול לבצע אימות מחדש מדי פעם.
אם אתם מושפעים מהתרחישים האלה, אתם יכולים להוסיף את האפליקציות האלה לרשימה מהימנה, להחריג אותן באופן זמני מהמגבלות על משך הסשן, ולהטמיע אמצעי בקרה על הסשנים בכל שאר ממשקי האדמין של Google Cloud. מוסיפים את האפליקציות לרשימת האפליקציות המהימנות בבקרת גישה לאפליקציות,ומסמנים את תיבת הסימון "החרגת אפליקציות מהימנות" בהגדרה בקרת סשנים ב-Cloud.
התאוששות משגיאה שקשורה לאימות מחדש
יכול להיות שתקבלו תגובת שגיאה שקשורה לאימות מחדש מאפליקציות של צד שלישי אחרי שהסשן יסתיים. כדי להמשיך להשתמש באפליקציות האלה, המשתמשים יכולים להיכנס שוב לאפליקציה כדי להתחיל סשן חדש.
אפליקציות שמשתמשות ב-Application Default Credentials (ADC) עם פרטי כניסה של משתמשים נחשבות לאפליקציות של צד שלישי. פרטי הכניסה האלה תקפים רק למשך הסשן שהוגדר. כשהסשן הזה מסתיים, יכול להיות שאפליקציות שמשתמשות ב-ADC יחזירו תשובה של שגיאה שקשורה לאימות מחדש. המפתחים יכולים לאשר מחדש את האפליקציה על ידי הפעלת הפקודה gcloud auth application-default login כדי לקבל פרטי כניסה חדשים.
לתשומת ליבכם
מתי ואיך המשתמשים נכנסים לחשבון
אם אתם רוצים שחלק מהמשתמשים ייכנסו לחשבון בתדירות גבוהה יותר מאחרים, אתם יכולים להעביר אותם ליחידות ארגוניות שונות. אחר כך, מגדירים לכל קבוצה משך סשן שונה. כך, משתמשים מסוימים לא יצטרכו להיכנס שוב לחשבון כשאין בכך צורך.
אם אתם דורשים מפתח אבטחה, משתמשים שאין להם מפתח כזה לא יוכלו להשתמש במסוף או ב-Cloud SDK עד שהם יגדירו אותו. אחרי שהם יגדירו מפתח אבטחה, הם יוכלו לעבור להשתמש בסיסמה שלהם במקום זאת, אם הם ירצו.
ספקי זהויות של צד שלישי
- באמצעות המסוף – אם אתם דורשים ממשתמש לאמת מחדש את הזהות שלו באמצעות הסיסמה, הוא מופנה לספק הזהויות (IdP). יכול להיות שספק הזהויות לא ידרוש מהמשתמש להזין מחדש את הסיסמה כדי להתחיל סשן נוסף במסוף, אם למשתמש כבר יש סשן פעיל אצל ספק הזהויות – כי הוא משתמש באפליקציה אחרת שגרמה לסשן להישאר פעיל.
אם המשתמש צריך לבצע אימות מחדש על ידי נגיעה במפתח האבטחה שלו, הוא יכול לעשות זאת בזמן השימוש במסוף. הם לא יופנו אל ה-IdP.
- באמצעות Cloud SDK – אם נדרשת סיסמה לאימות מחדש, gcloud ידרוש מהמשתמש להריץ את הפקודה gcloud auth login כדי לחדש את הסשן. הפעולה הזו תפתח חלון דפדפן, והמשתמש יועבר ל-IdP, שם הוא עשוי להתבקש להזין את פרטי הכניסה אם אין סשן פעיל עם ה-IdP.
אם משתמש צריך לבצע אימות מחדש על ידי נגיעה במפתח האבטחה שלו, הוא יכול לעשות את זה ב-Cloud SDK. הם לא יופנו אל ה-IdP.