Ställ in sessionslängd för Google Cloud-tjänster

Som administratör kan du styra hur länge olika användare kan komma åt Google Cloud Console och Cloud SDK utan att behöva autentisera om. Exempelvis vill du kanske att användare med utökade behörigheter, som projektägare, faktureringsadministratörer eller andra med administratörsroller, autentiserar om oftare än vanliga användare. Om du anger en sessionslängd uppmanas användarna att logga in igen för att starta en ny session.

Inställningen för sessionslängd gäller för:

Obs! Inställningen för sessionslängd i Cloud gäller inte för konsolens mobilapp och har begränsningar i konsolen. Vi rekommenderar att du använder den här funktionen med Googles sessionskontroll. Då tillämpas en sessionslängd på alla Googles webbegendomar.

Ställ in policyn för förnyad autentisering

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Åtkomst- och datakontroll följt av Sessionskontroll från Google Cloud.

    Administratörsbehörigheten Säkerhetsinställningar krävs.

  2. Välj den organisationsenhet där du vill ange sessionslängd till vänster.

    Välj organisationsenheten på toppnivå för alla användare. Inledningsvis ärver en organisationsenhet inställningarna från sin överordnade.

  3. Välj Kräv förnyad autentisering under Policy för förnyad autentisering och välj Frekvens för förnyad autentisering i rullgardinsmenyn.

    Den lägsta tillåtna frekvensen är en timme och den högsta är 24 timmar. Frekvensen inkluderar inte hur länge en användare har varit inaktiv under sessionen. Det är den fasta tiden som förlöper innan användaren måste logga in igen.

    Du kan även markera rutan Undanta betrodda appar för att undanta betrodda appar från ny autentisering. (Betrodda appar markeras som Betrodda på sidan Appåtkomstkontroll. Mer information finns i Förberedelse för bred lansering nedan. Mer information finns i Styra vilka externa och interna appar som får åtkomst till Google Workspace-data.)

  4. Välj Lösenord eller Säkerhetsnyckel under Metod för ny autentisering för att ange hur användaren ska autentisera sig igen.

  5. Om du anger policyn för ny autentisering på organisationsenhetsnivå klickar du på knappen Åsidosätt nere till höger för att behålla inställningen även om den överordnade inställningen ändras.

  6. Om organisationsenhetens status redan är Åsidosatt väljer du ett alternativ:

    • Om du väljer Ärv återställs inställningen så att den stämmer överens med den överordnade.
    • Om du väljer Spara sparas din nya inställning (även om den överordnade inställningen ändras).
Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer

Förberedelse för bred lansering

Den policy för ny autentisering som du konfigurerar här gäller alla appar från Google och tredje part som får åtkomst till Google Cloud-resurser genom att kräva Google Cloud-omfånget. Vi rekommenderar att du noggrant testar hur policyn fungerar för var och en av apparna med en liten grupp användare genom att lägga till dessa användare på listan över betrodda appar innan du går vidare till en bredare lansering.

Anvisningar om hur du granskar vilka appar som för närvarande används av organisationen finns i Kontrollera vilka externa och interna appar som får åtkomst till Google Workspace-data. Se till att du filtrerar efter appar som kräver tjänsten Google Cloud.

När den konfigurerade sessionslängden löper ut måste användaren autentisera sig igen för att kunna fortsätta använda appen. Detta är analogt med vad som skulle hända om en administratör återkallade uppdateringstoken för appen.

Vissa program kanske inte hanterar omautentiseringsscenariot på ett smidigt sätt, vilket kan leda till förvirrande appkrascher eller stackspårningar. Vissa andra program implementeras för användningsfall från server till server med användaruppgifter i stället för de rekommenderade tjänstkontouppgifterna. I sådana fall finns det ingen användare som periodiskt kan autentisera sig på nytt.

Om du påverkas av dessa scenarier kan du lägga till apparna på en betrodd lista och tillfälligt undanta dem från begränsningar av sessionslängden samtidigt som du implementerar sessionskontroller för alla andra Google Cloud-administratörsgränssnitt. Lägg till apparna på listan Betrodda appar i Åtkomstkontroll för appar och markera kryssrutan Undanta betrodda appar i inställningen Cloud-sessionskontroll.

Du kan få ett svar med ett fel som rör ny autentisering från appar från tredje part när en session löper ut. Om användarna vill fortsätta använda apparna kan de logga in i appen igen för att starta en ny session.

Appar som använder Application Default Credentials (ADC) med användaruppgifter betraktas som appar från tredje part. Dessa användaruppgifter är endast giltiga under den konfigurerade sessionslängden. När sessionen löper ut kan appar som använder ADC även returnera ett svar med ett fel som är relaterat till ny autentisering. Utvecklare kan återauktorisera appen genom att köra kommandot gcloud auth application-default login för att hämta nya användaruppgifter.

Tänk på följande

När och hur användarna loggar in

Om du har vissa användare som behöver logga in oftare än andra placerar du dem i olika organisationsenheter. Använd sedan olika sessionslängder för dem. Då avbryts vissa användare inte för att logga in när det inte är nödvändigt.

Om du behöver en säkerhetsnyckel kan användare som inte har någon inte använda konsolen eller Cloud SDK förrän de har konfigurerat den. När de har en säkerhetsnyckel kan de gå över till att använda sitt lösenord istället om de vill.

Externa identitetsleverantörer

  • Med konsolen – om du kräver att en användare ska autentisera om med sitt lösenord omdirigeras personen till IdP. IdP kräver kanske inte att användaren anger sitt lösenord på nytt för att starta ytterligare en konsolsession, om användaren redan har en aktiv session med IdP – eftersom de använder en annan app som gjort att sessionen förblivit aktiv.

    Om en användare måste autentisera om genom att trycka på sin säkerhetsnyckel kan hen göra det i konsolen. Användaren omdirigeras inte till IdP.

  • Med Cloud SDK – om ett lösenord krävs för omautentisering kräver gcloud att användaren kör kommandot gcloud auth login för att förnya sessionen. Ett webbläsarfönster öppnas och användaren omdirigeras till IdP:n där hen kan bli ombedd att ange användaruppgifter om det inte finns någon aktiv session med IdP:n.

    Om en användare måste autentisera om genom att trycka på sin säkerhetsnyckel kan hen göra det i Cloud SDK. Användaren omdirigeras inte till IdP.