Usa el acceso adaptado al contexto con grupos de configuración

Por lo general, se definen niveles de acceso para las unidades organizativas y, luego, se determinan niveles de acceso personalizados para los grupos de configuración. Por ejemplo, puedes tener grupos de configuración para "Acceso abierto" o "Acceso bloqueado" para otorgar o limitar rápidamente el acceso de usuarios específicos.

Por lo general, usarás una combinación de grupos de configuración:

Usa tus grupos de usuarios existentes

Estableces el nivel de acceso para cada app (Gmail o Google Drive, por ejemplo) en el grupo de usuarios. Si un usuario pertenece a varios grupos, debes establecer qué grupo determina la configuración del usuario (se describe más adelante en la sección Prioridad).

Aplicar niveles de acceso directamente a los grupos de usuarios es una buena opción para lo siguiente:

• Prueba el Acceso adaptado al contexto.
• Administrar el acceso de grupos específicos de usuarios, como el personal de TI o un equipo con asignación remota
• Administrar el acceso de organizaciones con menos de 50 usuarios o una pequeña cantidad de niveles de acceso. No es necesario que crees más grupos y puedes ajustar la configuración de cada grupo de usuarios.

Crear grupos de configuración basados en niveles de acceso

Como alternativa, puedes asignar niveles de acceso a los grupos. Creas un grupo de configuración y asignas niveles de acceso para una o más apps. Luego, agrega grupos de usuarios como miembros del grupo de configuración.

A las organizaciones más grandes, este enfoque les puede resultar útil para administrar las políticas y prioridades de los grupos de acceso (se describe a continuación).

Cuando un usuario pertenece a varios grupos de configuración, puedes establecer qué grupo de configuración tiene prioridad para determinar el acceso del usuario a la app.

En la Consola del administrador de Google, primero debes seleccionar una aplicación para mostrar su lista de prioridades de grupos correspondiente. Los grupos se enumeran de mayor a menor prioridad. Un grupo de configuración nuevo siempre tiene la prioridad más baja y se agrega al final de la lista de grupos de configuración.

Prioridad para el Acceso adaptado al contexto

Un usuario obtiene la configuración de la app del grupo de mayor prioridad al que pertenece. Si el grupo no tiene un nivel de acceso para una app en particular, se usa el nivel de acceso del siguiente grupo de mayor prioridad del usuario, y así sucesivamente.

En la Consola del administrador, puedes verificar qué grupo o unidad organizativa determinó el nivel de acceso de un usuario a la app. En el siguiente ejemplo, el grupo "Drive Security" estableció el acceso del usuario a Drive.

Apps del usuario	Niveles de acceso	Heredado de
Calendario de Google	Red de empresas	Unidad organizativa: Ventas
Drive	Red de empresas, Seguridad del dispositivo	Grupo: Seguridad de Drive
Gmail	Seguridad del dispositivo	Unidad organizativa: Ventas
Google Vault	<none>	<none>

Para tener un control detallado, puedes usar grupos para personalizar los niveles de acceso de cada app. Por ejemplo:

Apps del usuario	Niveles de acceso	Heredado de
Calendario	Red de empresas	Unidad organizativa: Ventas
Drive	Red de empresas, Seguridad del dispositivo	Grupo: Seguridad de Drive
Gmail	Seguridad del dispositivo, ubicación geográfica: Canadá	Grupo: Norteamérica
Vault	Dispositivo restringido, red de la empresa	Grupo: Investigador de Vault

Cómo aplicar prioridad a los grupos de configuración

• Considera colocar los grupos de configuración críticos o sensibles en una prioridad alta. Por ejemplo, tu grupo de prioridad más alta podría ser un grupo de "Acceso urgente" que anule cualquier grupo que limite el acceso.
  

• Los niveles de acceso no se agregan en los grupos de un usuario. En este ejemplo, un usuario pertenece a 3 grupos de usuarios, pero solo su grupo de configuración de mayor prioridad, "Dispositivo", establece su nivel de acceso.
  

Planificar la estructura de tu grupo de configuración probablemente sea el paso que requiera más tiempo y revisión.

Cómo asignar nombres a los grupos y buscarlos

Establece un estándar de nombres de grupos para facilitar la búsqueda, la priorización y la auditoría. Por ejemplo, agrega un prefijo como "caa" para indicar los grupos de configuración adaptados al contexto. Además, usa un decimal para evitar editar los nombres de los grupos existentes cuando agregues un grupo de configuración.

Buscar por dirección de grupo Ver la lista de grupos

• Busca un grupo: Te recomendamos que configures un estándar de nombres que incluya el nombre del parámetro de configuración y el número de prioridad, por ejemplo:

caa_p0.0_unrestricted_access@example.com
caa_p1.0_lockdown_access@example.com
caa_p3.0_Gmail_IP_Device@example.com
caa_p3.1_Gmail_IP@example.com

• Consulta los grupos: En el panel Grupos, se muestra el nombre del grupo (con un máximo de 37 caracteres) en orden de prioridad. Si se señala un grupo, se muestra el nombre completo. Por ejemplo:

CAA p0.0: Acceso sin restricciones a todas las apps
CAA p1.0: Acceso bloqueado
CAA p3.0: Seguridad de IP corporativa y dispositivos de Gmail
CAA p3.1: IP corporativa de Gmail

Ordena grupos

Para hacer un seguimiento de la prioridad y la configuración, haz lo siguiente:

• Puedes colocar los grupos que se aplican a la menor cantidad de usuarios o definir políticas críticas (como "Acceso de bloqueo" o "Acceso ilimitado") con la prioridad más alta.
• Considera la prioridad en la estructura de tus grupos y presta atención a los grupos anidados en profundidad, que pueden ser difíciles de rastrear hasta la configuración.

Cómo crear grupos

Debes usar grupos creados en la Consola del administrador, la API de Directory o Google Cloud Directory Sync. Los grupos creados en Grupos de Google no se pueden usar como grupos de configuración. (La Consola del administrador no muestra si se creó un grupo en Grupos de Google).

Puedes administrar el grupo de configuración en cualquier herramienta. Puedes establecer permisos estrictos para agregar o borrar usuarios, desactivar las publicaciones en el grupo o impedir que los usuarios abandonen el grupo (disponible solo en la API de Groups).

Necesitas privilegios de administrador para los grupos, las unidades organizativas (nivel superior) y la administración de reglas y del nivel de acceso de seguridad de los datos.

1. En la Consola del administrador de Google, ve a Menú Seguridad Control de acceso y datos Acceso adaptado al contexto.

   Ir al Acceso adaptado al contexto

   Se requieren los privilegios de administración de reglas y nivel de acceso de seguridad de los datos y los privilegios de lectura de usuarios y grupos de la API de Admin.

2. Haz clic en Asignar niveles de acceso para ver la lista de apps.
3. En la sección Acceso adaptado al contexto, haz clic en Grupos.
4. Elige una opción:
   • Haz clic en una app. Los grupos de configuración existentes que tengan un nivel de acceso asignado para tu app se mostrarán en orden de prioridad.
   • Haz clic en Buscar un grupo para revisar una lista de todos los grupos, no solo los de configuración. Puedes ingresar texto para filtrar los resultados.
5. Haz clic en el grupo. En la tabla de aplicaciones, se enumeran todas las aplicaciones con sus asignaciones de nivel de acceso.
   
   • Si no encuentras tu grupo, es posible que se haya creado en Grupos de Google. Debes crear grupos de configuración en la Consola del administrador, la API de Directory o Google Cloud Directory Sync.
   • Para comenzar, agrega tus grupos de configuración de la prioridad más alta a la más baja. Cuando agregas una nueva política de grupo para una app, se coloca en la prioridad más baja.
6. Haz clic en una o más apps y, luego, en Asignar.
7. Selecciona los niveles de acceso de la app en el grupo y haz clic en Guardar. De forma predeterminada, un grupo nuevo no tiene niveles de acceso asignados.
   
   
   
   Para organizaciones con varios tipos de licencias de Google Workspace: Los niveles de acceso de grupo se aplican solo a los usuarios que tienen asignada una edición de Google Workspace que incluye el control de acceso adaptado al contexto.

Necesitas privilegios de administrador para los grupos, las unidades organizativas (nivel superior) y la administración de niveles de acceso y de reglas de seguridad de los datos.

1. En la Consola del administrador de Google, ve a Menú Seguridad Control de acceso y datos Acceso adaptado al contexto.

   Ir al Acceso adaptado al contexto

   Se requieren los privilegios de administración de reglas y nivel de acceso de seguridad de los datos y los privilegios de lectura de usuarios y grupos de la API de Admin.

2. En la Consola del administrador, ve a la página de configuración de la app.
3. En la esquina superior izquierda, haz clic en Usuarios.
4. Haz clic en Seleccionar un usuario y, luego, ingresa la dirección del usuario (no el nombre).
5. Selecciona el usuario para ver la configuración de su app. En la columna Heredado de, se muestra el grupo de configuración o la unidad organizativa que determinó la configuración del usuario.
6. Señala una app y haz clic en Ver para obtener detalles sobre los niveles de acceso del usuario.

Nota: Cuando ves una unidad organizativa, los niveles Heredados se basan solo en el parámetro de configuración de una unidad organizativa, no en los grupos de configuración.

Necesitas privilegios de administrador para los grupos, las unidades organizativas (nivel superior) y la administración de niveles de acceso y de reglas de seguridad de los datos.

1. En la Consola del administrador de Google, ve a Menú Seguridad Control de acceso y datos Acceso adaptado al contexto.

   Ir al Acceso adaptado al contexto

   Se requieren los privilegios de administración de reglas y nivel de acceso de seguridad de los datos y los privilegios de lectura de usuarios y grupos de la API de Admin.

2. Haz clic en Asignar niveles de acceso para ver la lista de apps.
3. A la izquierda, haz clic en Grupos.
4. Haz clic en el grupo que quieras quitar.
5. Primero, anulas la asignación de todos los niveles de acceso de todas las apps del grupo. En el panel Apps, verifica cada aplicación una por una para asegurarte de que no se hayan asignado niveles de acceso.
   
   
6. Haz clic en Asignar.
7. Haz clic en Desmarcar todo.
8. Haz clic en Guardar.

Necesitas privilegios de administrador para los grupos, las unidades organizativas (nivel superior) y la administración de niveles de acceso y de reglas de seguridad de los datos.

1. En la Consola del administrador de Google, ve a Menú Seguridad Control de acceso y datos Acceso adaptado al contexto.

   Ir al Acceso adaptado al contexto

   Se requieren los privilegios de administración de reglas y nivel de acceso de seguridad de los datos y los privilegios de lectura de usuarios y grupos de la API de Admin.

2. Haz clic en Asignar niveles de acceso para ver la lista de apps.
3. A la izquierda, haz clic en Grupos.
4. Busca el grupo que quieres editar.
5. A la derecha, selecciona las apps que quieras editar, agregar o quitar.
6. Haz clic en Asignar.
7. Actualiza las asignaciones de nivel para el grupo.
8. Haz clic en Guardar.

No veo el grupo de configuración en la lista de grupos

• Es posible que el grupo se haya creado en Grupos de Google. Intenta crear un grupo en la Consola del administrador.
• Busca la dirección de correo electrónico del grupo en lugar de su nombre.
• Intenta actualizar la página de configuración. Los cambios pueden tardar hasta 24 horas en aplicarse, aunque suelen ocurrir antes. Más información
• Comprueba que tienes privilegios de administrador para Grupos.

Un usuario no tiene el nivel de acceso correcto

• Verifica la pertenencia de un usuario a un grupo. Los cambios pueden tardar hasta 24 horas en aplicarse, aunque suelen ocurrir antes. Más información
• Busca el grupo de configuración que determina los parámetros de configuración del usuario. Si el usuario pertenece a varios grupos de configuración, es posible que debas cambiar la prioridad del grupo o la membresía del usuario.
• Es posible que el usuario no tenga la licencia del producto para la función. El Acceso adaptado al contexto está disponible en ediciones específicas de Google Workspace.
• Si el usuario no puede acceder a una app, es posible que se le haya asignado un nivel de acceso borrado. Consulta Cómo quitar un nivel de acceso borrado.

Revisa estos eventos en el registro de auditoría del administrador para ver los cambios en la configuración del grupo de configuración:

EVENTO: Cambio en las asignaciones específicas de la app para el nivel de acceso adaptado al contexto