שימוש בבקרת גישה מבוססת-הקשר עם קבוצות הגדרות

בדרך כלל מגדירים רמות גישה ליחידות ארגוניות, ואז קובעים רמות גישה מותאמות אישית לקבוצות הגדרה. לדוגמה, יכול להיות שיש לכם קבוצות הגדרות ל'גישה פתוחה' או ל'גישה מוגבלת', כדי שתוכלו להעניק או להגביל במהירות את הגישה של משתמשים ספציפיים.

בדרך כלל משתמשים בשילוב של קבוצות הגדרות:

שימוש בקבוצות משתמשים קיימות

אתם קובעים את רמת הגישה לכל אפליקציה (לדוגמה, Gmail או Google Drive) בקבוצת המשתמשים. אם משתמש שייך לכמה קבוצות, אתם יכולים להגדיר איזו קבוצה תקבע את ההגדרות של המשתמש (כפי שמתואר בהמשך בקטע עדיפות).

החלת רמות גישה ישירות על קבוצות משתמשים היא אפשרות טובה במקרים הבאים:

• בדיקה של בקרת גישה מבוססת-הקשר.
• ניהול גישה לקבוצות ספציפיות של משתמשים, כמו צוות IT או צוות שמוקצה מרחוק.
• ניהול גישה בארגונים עם פחות מ-50 משתמשים או עם מספר קטן של רמות גישה. אין צורך ליצור עוד קבוצות, ואפשר לשנות את ההגדרות של כל קבוצת משתמשים.

יצירת קבוצות הגדרות על סמך רמות גישה

אפשר גם להקצות רמות גישה לקבוצות. יוצרים קבוצת הגדרות ומקצים רמות גישה לאפליקציה אחת או יותר. לאחר מכן מוסיפים קבוצות משתמשים כחברים בקבוצת ההגדרות.

ארגונים גדולים יכולים להשתמש בגישה הזו כדי לנהל את המדיניות ואת סדרי העדיפויות של קבוצות הגישה (כפי שמתואר בהמשך).

אם משתמש שייך לכמה קבוצות הגדרות, אתם יכולים להגדיר לאיזו קבוצת הגדרות יש עדיפות בקביעת הגישה של המשתמש לאפליקציה.

במסוף Google Admin, קודם צריך לבחור אפליקציה כדי להציג את רשימת העדיפויות של הקבוצות שמתאימות לה. הקבוצות מופיעות בסדר יורד, מהעדיפות הגבוהה ביותר לנמוכה ביותר. לקבוצת הגדרות חדשה תמיד יש את העדיפות הכי נמוכה, והיא מתווספת לתחתית של רשימת קבוצות ההגדרות.

עדיפות לבקרת גישה מבוססת-הקשר

המשתמש מקבל את הגדרות האפליקציה של הקבוצה עם העדיפות הכי גבוהה שהוא שייך אליה. אם לקבוצה אין רמת גישה לאפליקציה מסוימת, המערכת משתמשת ברמת הגישה של הקבוצה הבאה עם העדיפות הכי גבוהה שהמשתמש שייך אליה, וכן הלאה.

במסוף Admin אפשר לבדוק איזו קבוצה או יחידה ארגונית קבעה את רמת הגישה של משתמש לאפליקציה. בדוגמה שלמטה, הגישה של המשתמש ל-Drive מוגדרת על ידי הקבוצה Drive Security.

האפליקציות של המשתמש	רמות הגישה	בהורשה מ:
יומן Google	רשת החברה	יחידה ארגונית: מכירות
Drive	רשת החברה, אבטחת המכשיר	קבוצה: אבטחה ב-Drive
Gmail	אבטחת המכשיר	יחידה ארגונית: מכירות
‫ Google Vault	<none>	<none>

כדי לשלוט ברמת דיוק גבוהה, אתם יכולים להשתמש בקבוצות כדי להתאים אישית את רמות הגישה לכל אפליקציה. לדוגמה:

האפליקציות של המשתמש	רמות הגישה	בהורשה מ:
יומן	רשת החברה	יחידה ארגונית: מכירות
Drive	רשת החברה, אבטחת המכשיר	קבוצה: אבטחה ב-Drive
Gmail	אבטחת המכשיר, קנדה	קבוצה: צפון אמריקה
‫ Vault	המכשיר מוגבל, רשת החברה	קבוצה: חוקר Vault

הגדרת עדיפות לקבוצות משתמשים

• כדאי להגדיר עדיפות גבוהה לקבוצות של הגדרות קריטיות או רגישות. לדוגמה, יכול להיות שהקבוצה בעדיפות הכי גבוהה היא קבוצת 'גישה דחופה' שמבטלת את ההגבלות של קבוצות אחרות.
  

• רמות הגישה לא מתווספות בין הקבוצות של המשתמש. בדוגמה הזו, משתמש שייך ל-3 קבוצות משתמשים, אבל רק קבוצת ההגדרות עם העדיפות הכי גבוהה, מכשיר, מגדירה את רמת הגישה שלו.
  

תכנון המבנה של קבוצת ההגדרות הוא השלב שדורש הכי הרבה זמן ובדיקה.

מתן שמות לקבוצות וחיפוש קבוצות

הגדרת תקן למתן שמות לקבוצות כדי להקל על החיפוש, על קביעת סדר העדיפויות ועל הביקורת. לדוגמה, מוסיפים קידומת כמו caa כדי לציין קבוצות הגדרות מודעות שמותאמות להקשר. בנוסף, כדאי להשתמש בנקודה עשרונית כדי להימנע מעריכה של שמות הקבוצות הקיימות כשמוסיפים קבוצת הגדרות.

חיפוש לפי כתובת אימייל של הקבוצה הצגת רשימת הקבוצות

• חיפוש קבוצה: כדאי להגדיר תקן למתן שמות שכולל את שם ההגדרה ומספר העדיפות, לדוגמה:

caa_p0.0_unrestricted_access@example.com
caa_p1.0_lockdown_access@example.com
caa_p3.0_Gmail_IP_Device@example.com
caa_p3.1_Gmail_IP@example.com

• הצגת הקבוצות: בחלונית Groups (קבוצות) מוצג שם הקבוצה (עד 37 תווים) לפי סדר העדיפות. כשמצביעים על קבוצה, השם המלא שלה מוצג. לדוגמה:

‫CAA p0.0 – גישה לא מוגבלת לכל האפליקציות
‫CAA p1.0 – גישה מוגבלת
‫CAA p3.0 – אבטחת מכשירים וכתובות IP של Gmail
‫CAA p3.1 – כתובות IP של Gmail

שינוי הסדר של קבוצות

כדי לעקוב אחרי העדיפות וההגדרות:

• אפשר להגדיר את העדיפות הכי גבוהה לקבוצות שחלות על הכי מעט משתמשים או להגדיר מדיניות קריטית (כמו 'נעילת הגישה' או 'גישה מלאה').
• כדאי להביא בחשבון את העדיפות במבנה הקבוצות, ולשים לב לקבוצות עם קינון עמוק, כי יכול להיות שיהיה קשה לעקוב אחרי ההגדרות שלהן.

איך יוצרים קבוצות

אתם צריכים להשתמש בקבוצות שנוצרו במסוף Admin, ב-Directory API או ב-Google Cloud Directory Sync. אי אפשר להשתמש בקבוצות שנוצרו ב-Google Groups בתור הגדרות לקבוצת משתמשים. (במסוף Admin לא מופיע אם קבוצה נוצרה בקבוצות Google).

אפשר לנהל את קבוצת ההגדרות בכל כלי. יכול להיות שתגדירו הרשאות מחמירות כדי להוסיף או למחוק משתמשים, להשבית את האפשרות לפרסם בקבוצה או למנוע ממשתמשים לעזוב את הקבוצה (האפשרות הזו זמינה רק ב-Groups API).

אתם צריכים הרשאות אדמין לקבוצות, ליחידות ארגוניות (ברמה העליונה) ולניהול רמות גישה לאבטחת נתונים וניהול כללים.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   נדרשות הרשאות לניהול כללים ורמת גישה לאבטחת נתונים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.

2. לוחצים על הקצאת רמות גישה כדי לראות את רשימת האפליקציות.
3. בקטע בקרת גישה מבוססת-הקשר, לוחצים על קבוצות.
4. בוחרים אפשרות:
   • לוחצים על אפליקציה. כל ההגדרות של קבוצות משתמשים קיימות שהוקצתה להן רמת גישה לאפליקציה מופיעות לפי סדר העדיפות.
   • לוחצים על חיפוש של קבוצה כדי לעיין ברשימה של כל הקבוצות, לא רק בקבוצות של הגדרות. אפשר להזין טקסט כדי לסנן את התוצאות.
5. לוחצים על הקבוצה. בטבלת האפליקציות מפורטות כל האפליקציות עם הקצאות רמות הגישה שלהן.
   
   • אם אתם לא מוצאים את הקבוצה שחיפשתם, יכול להיות שהיא נוצרה בקבוצות Google. צריך ליצור קבוצות הגדרה במסוף Admin, ב-Directory API או ב-Google Cloud Directory Sync.
   • מתחילים בהוספת קבוצות ההגדרות מהעדיפות הגבוהה ביותר ועד לעדיפות הנמוכה ביותר. כשמוסיפים מדיניות קבוצתית חדשה לאפליקציה, היא ממוקמת בעדיפות הנמוכה ביותר.
6. לוחצים על אפליקציה אחת או יותר ואז על הקצאה.
7. בוחרים את רמות הגישה לאפליקציה בקבוצה ולוחצים על שמירה. כברירת מחדל, לקבוצות חדשות לא מוקצות רמות גישה.
   
   
   
   בארגונים עם כמה סוגים של רישיונות ל-Google Workspace: רמות הגישה לקבוצות חלות רק על משתמשים שהוקצתה להם מהדורת Google Workspace שכוללת בקרת גישה מודעת-הקשר.

אתם צריכים הרשאות אדמין לקבוצות, ליחידות ארגוניות (ברמה העליונה) ולניהול רמות גישה לאבטחת נתונים וניהול כללים.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   נדרשות הרשאות לניהול כללים ורמת גישה לאבטחת נתונים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.

2. במסוף Admin, עוברים לדף ההגדרות של האפליקציה.
3. בצד ימין למעלה, לוחצים על משתמשים.
4. לוחצים על בחירת משתמש ומזינים את הכתובת של המשתמש (לא את השם שלו).
5. בוחרים את המשתמש כדי לראות את הגדרות האפליקציה שלו. בעמודה התקבל בירושה מ מוצגת קבוצת המשתמשים או היחידה הארגונית שקבעו את ההגדרות של המשתמש.
6. מצביעים על אפליקציה ולוחצים על הצגה כדי לראות פרטים על רמות הגישה של המשתמש.

הערה: כשמציגים יחידה ארגונית, הרמות עברו בירושה מבוססות רק על ההגדרה של היחידה הארגונית, ולא על קבוצות הגדרה.

אתם צריכים הרשאות אדמין לקבוצות, ליחידות ארגוניות (ברמה העליונה) ולניהול רמות גישה לאבטחת נתונים וניהול כללים.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   נדרשות הרשאות לניהול כללים ורמת גישה לאבטחת נתונים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.

2. לוחצים על הקצאת רמות גישה כדי לראות את רשימת האפליקציות.
3. מימין, לוחצים על קבוצות.
4. לוחצים על הקבוצה שרוצים להסיר.
5. קודם מבטלים את ההקצאה של כל רמות הגישה מכל האפליקציות בקבוצה. בחלונית אפליקציות, בודקים כל אפליקציה בנפרד כדי לוודא שכל רמות הגישה לא הוקצו.
   
   
6. לוחצים על הקצאה.
7. לוחצים על ביטול הסימון של הכול.
8. לוחצים על שמירה.

אתם צריכים הרשאות אדמין לקבוצות, ליחידות ארגוניות (ברמה העליונה) ולניהול רמות גישה לאבטחת נתונים וניהול כללים.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   נדרשות הרשאות לניהול כללים ורמת גישה לאבטחת נתונים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.

2. לוחצים על הקצאת רמות גישה כדי לראות את רשימת האפליקציות.
3. מימין, לוחצים על קבוצות.
4. מחפשים את הקבוצה שרוצים לערוך.
5. בצד שמאל, בוחרים את האפליקציות שרוצים לערוך, להוסיף או להסיר.
6. לוחצים על הקצאה.
7. מעדכנים את הקצאות הרמה לקבוצה.
8. לוחצים על שמירה.

הגדרות לקבוצת משתמשים לא מופיעות ברשימת הקבוצות

• יכול להיות שהקבוצה נוצרה בקבוצות Google. כדאי לנסות ליצור קבוצה במסוף Admin.
• מחפשים את כתובת האימייל של הקבוצה ולא את השם שלה.
• מנסים לרענן את דף ההגדרות. השינויים ייכנסו לתוקף תוך 24 שעות, ובדרך כלל תוך זמן קצר בהרבה. מידע נוסף
• צריכות להיות לכם הרשאות אדמין ב-Groups.

למשתמש אין את רמת הגישה הנכונה

• בודקים את חברי הקבוצה של משתמש. השינויים ייכנסו לתוקף תוך 24 שעות, ובדרך כלל תוך זמן קצר בהרבה. מידע נוסף
• מוצאים את קבוצת ההגדרות שקובעת את ההגדרות של המשתמש. אם המשתמש שייך לכמה קבוצות משתמשים, יכול להיות שתצטרכו לשנות את סדר העדיפויות של הקבוצות או את החברות של המשתמש בקבוצה.
• יכול להיות שלמשתמש אין רישיון למוצר שכולל את התכונה. בקרת גישה מבוססת-הקשר זמינה במהדורות מסוימות של Google Workspace.
• אם המשתמש לא יכול לגשת לאפליקציה, יכול להיות שהוקצתה לאפליקציה רמת גישה שנמחקה. כדאי לעיין במאמר בנושא הסרת רמת גישה שנמחקה.

כדי לראות שינויים בהגדרות של קבוצת תצורה, בודקים את האירועים האלה ביומן הביקורת של האדמין:

אירוע: שינוי בהקצאות ספציפיות לאפליקציות ברמה של בקרת גישה מבוססת הקשר