Ställ in sessionslängd för Google Cloud-tjänster

Som administratör kan du styra hur länge olika användare kan komma åt Google Cloud Console och Cloud SDK utan att behöva autentisera om. Exempelvis vill du kanske att användare med utökade behörigheter, som projektägare, faktureringsadministratörer eller andra med administratörsroller, autentiserar om oftare än vanliga användare. Om du anger en sessionslängd uppmanas de att logga in igen för att starta en ny session.

Inställningen för sessionslängd gäller för:

Obs! Inställningen för sessionslängd i Cloud gäller inte för konsolens mobilapp och har begränsningar i konsolen. Vi rekommenderar att du använder den här funktionen med Googles sessionskontroll. Då tillämpas en sessionslängd på alla Googles webbegendomar.

Ställ in policyn för förnyad autentisering

  1. I Googles administratörskonsol går du till Meny följt av Säkerhet följt av Åtkomst- och datakontroll följt av Sessionskontroll från Google Cloud.

    Administratörsbehörigheten Säkerhetsinställningar krävs.

  2. Välj den organisationsenhet där du vill ställa in sessionslängd till vänster.

    Välj organisationsenheten på toppnivå för alla användare. Inledningsvis ärver en organisationsenhet inställningarna från sin överordnade.

  3. Välj Kräv förnyad autentisering under Policy för förnyad autentisering och välj Frekvens för förnyad autentisering i rullgardinsmenyn.

    Den lägsta tillåtna frekvensen är en timme och den högsta är 24 timmar. Frekvensen omfattar inte hur länge en användare har varit inaktiv i sessionen. Det är den fasta tiden som förlöper innan användaren måste logga in igen.

    Du kan även markera rutan Undanta betrodda appar om du vill undanta betrodda appar från återautentisering. (Betrodda appar markeras som Betrodda på sidan Åtkomstkontroll för app. Mer information finns i Förberedelse för bred lansering nedan. Se även Styra vilka externa och interna appar som får åtkomst till Google Workspace-data.)

  4. Under Metod för återautentisering väljer du Lösenord eller Säkerhetsnyckel för att ange hur användaren ska återautentisera sig.

  5. Om du ställer in policyn för återautentisering på organisationsenhetsnivå klickar du på knappen Åsidosätt längst ned till höger för att behålla inställningen även om den överordnade inställningen ändras.

  6. Om organisationsenhetens status redan är Åsidosatt väljer du ett alternativ:

    • Om du väljer Ärv återställs inställningen så att den stämmer överens med den överordnade.
    • Om du väljer Spara sparas din nya inställning (även om den överordnade inställningen ändras).
Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer

Förberedelse för bred lansering

Policyn för återautentisering som du konfigurerar här gäller för alla Google- och tredjepartsappar som får åtkomst till Google Cloud-resurser genom att kräva Google Cloud-omfattningen. Vi rekommenderar att du noggrant testar hur policyn fungerar för var och en av apparna med en liten grupp användare. Lägg till dessa användare på listan över betrodda appar innan du går vidare till en bredare lansering.

Anvisningar om hur du granskar de appar som för närvarande används av organisationen finns i Styr vilka externa och interna appar som får åtkomst till Google Workspace-data. Filtrera efter appar som kräver Google Cloud-tjänsten.

När den konfigurerade sessionslängden löper ut kräver appen att användaren autentiserar sig på nytt för att fortsätta använda den. Det fungerar på samma sätt som om en administratör återkallade uppdateringstoken för appen.

Vissa appar kanske inte hanterar omautentiseringsscenariot på ett smidigt sätt, vilket kan leda till förvirrande appkrascher eller stackspårningar. Vissa andra appar distribueras för server-till-server-användningsfall med användaruppgifter i stället för de rekommenderade användaruppgifterna för tjänstkontot. I sådana fall finns det ingen användare som regelbundet kan autentisera sig på nytt.

Om du berörs av dessa scenarier kan du lägga till apparna på en lista över betrodda appar. Då undantas apparna tillfälligt från begränsningar av sessionslängd medan du implementerar sessionskontroller för alla andra Google Cloud-administratörsytor. Lägg till apparna på listan Betrodda appar i Åtkomstkontroll för appar och markera kryssrutan Undanta betrodda appar i inställningen Cloud-sessionskontroll.

Du kan få ett felmeddelande om autentisering från appar från tredje part när en session löper ut. Om användarna vill fortsätta använda apparna kan de logga in i appen igen för att starta en ny session.

Appar som använder standarduppgifter för appar (ADC) med användaruppgifter betraktas som appar från tredje part. Användaruppgifterna är endast giltiga under den konfigurerade sessionslängden. När sessionen löper ut kan appar som använder ADC även returnera ett felmeddelande som rör återautentisering. Utvecklare kan auktorisera appen på nytt genom att köra kommandot gcloud auth application-default login för att få nya användaruppgifter.

Tänk på följande

När och hur användarna loggar in

Om du har vissa användare som behöver logga in oftare än andra placerar du dem i olika organisationsenheter. Använd sedan olika sessionslängder för dem. Då avbryts vissa användare inte för att logga in när det inte är nödvändigt.

Om du behöver en säkerhetsnyckel kan användare som inte har någon inte använda konsolen eller Cloud SDK förrän de har konfigurerat den. När de har en säkerhetsnyckel kan de gå över till att använda sitt lösenord istället om de vill.

Externa identitetsleverantörer

  • Med konsolen – om du kräver att en användare ska autentisera om med sitt lösenord omdirigeras personen till IdP. IdP kräver kanske inte att användaren anger sitt lösenord på nytt för att starta ytterligare en konsolsession, om användaren redan har en aktiv session med IdP – eftersom de använder en annan app som gjort att sessionen förblivit aktiv.

    Om en användare måste autentisera om genom att trycka på sin säkerhetsnyckel kan han eller hon göra det i konsolen. Användaren omdirigeras inte till IdP.

  • Med Cloud SDK – om ett lösenord krävs för omautentisering kräver gcloud att användaren kör kommandot gcloud auth login för att förnya sessionen. Ett webbläsarfönster öppnas och användaren tas till IdP, där hen kan bli ombedd att ange användaruppgifter om det inte finns någon aktiv session med IdP.

    Om en användare måste autentisera om genom att trycka på sin säkerhetsnyckel kan han eller hon göra det i Cloud SDK. Användaren omdirigeras inte till IdP.