שימוש בבקרת גישה מבוססת-הקשר עם קבוצות הגדרות

בדרך כלל מגדירים רמות גישה ליחידות ארגוניות, ואז קובעים רמות גישה בהתאמה אישית לקבוצות מוגדרות. לדוגמה, יכול להיות שיש לכם קבוצות מוגדרות ל"גישה פתוחה" או ל"גישה מוגבלת" כדי שתוכלו לתת או להגביל במהירות את הגישה של משתמשים ספציפיים.

בדרך כלל, משתמשים בשילוב של קבוצות הגדרות:

שימוש בקבוצות משתמשים קיימות

אתם מגדירים את רמת הגישה לכל אפליקציה (לדוגמה, Gmail או Google Drive) בקבוצת המשתמשים. אם משתמש שייך לכמה קבוצות, אתם יכולים להגדיר איזו קבוצה תקבע את ההגדרות של המשתמש (הסבר בהמשך בקטע עדיפות).

החלת רמות גישה ישירות על קבוצות משתמשים היא אפשרות טובה במקרים הבאים:

• בדיקת בקרת גישה מבוססת-הקשר.
• ניהול הגישה לקבוצות ספציפיות של משתמשים, כמו צוות IT או צוות שעובד מרחוק.
• ניהול הגישה בארגונים עם פחות מ-50 משתמשים או מספר קטן של רמות גישה. אתם לא צריכים ליצור עוד קבוצות, ואתם יכולים לשנות את ההגדרות של כל קבוצת משתמשים.

יצירת קבוצות של הגדרות אישיות על סמך רמות גישה

לחלופין, אפשר להקצות רמות גישה לקבוצות. אתם יוצרים קבוצת הגדרות ומקצים רמות גישה לאפליקציה אחת או יותר. אחר כך מוסיפים קבוצות משתמשים כחברים בקבוצת ההגדרות.

בארגונים גדולים, הגישה הזו יכולה להיות שימושית לניהול המדיניות וסדרי העדיפויות של קבוצות הגישה (כפי שמתואר בהמשך).

אם משתמש שייך לכמה קבוצות משתמשים, אתם יכולים להגדיר לאיזו קבוצה יש עדיפות בקביעת הגישה של המשתמש לאפליקציה.

במסוף Google Admin, קודם צריך לבחור אפליקציה כדי להציג את רשימת הקבוצות שלה לפי סדר עדיפות. הקבוצות מופיעות לפי סדר העדיפות, מהעדיפות הגבוהה ביותר לעדיפות הנמוכה ביותר. לקבוצת משתמשים חדשה תמיד יש את העדיפות הנמוכה ביותר, והיא מתווספת לתחתית הרשימה של קבוצות המשתמשים.

עדיפות לבקרת גישה מבוססת-הקשר

המשתמש מקבל את הגדרות האפליקציה של הקבוצה עם העדיפות הגבוהה ביותר שהוא שייך אליה. אם לקבוצה אין רמת גישה לאפליקציה מסוימת, המערכת תשתמש ברמת הגישה של הקבוצה הבאה בעדיפות הגבוהה ביותר של המשתמש, וכן הלאה.

במסוף Admin, אתם יכולים לבדוק איזו קבוצה או יחידה ארגונית קבעה את רמת הגישה של המשתמש לאפליקציה. בדוגמה הבאה, הקבוצה "אבטחת Drive" הגדירה את הגישה של המשתמש ל-Drive.

האפליקציות של המשתמש	רמות הגישה	בהורשה מ:
יומן Google	רשת החברה	יחידה ארגונית: מכירות
Drive	רשת החברה, אבטחת המכשיר	קבוצה: אבטחה ב-Drive
Gmail	אבטחת המכשיר	יחידה ארגונית: מכירות
Google Vault	<none>	<none>

כדי לשלוט בגישה בצורה מדויקת, אתם יכולים להשתמש בקבוצות כדי להתאים אישית את רמות הגישה לכל אפליקציה. לדוגמה:

האפליקציות של המשתמש	רמות הגישה	בהורשה מ:
יומן	רשת החברה	יחידה ארגונית: מכירות
Drive	רשת החברה, אבטחת המכשיר	קבוצה: אבטחה ב-Drive
Gmail	אבטחת המכשיר, יחידה גיאוגרפית (geo) קנדה	קבוצה: צפון אמריקה
Vault	המכשיר מוגבל, רשת החברה	קבוצה: חוקר ב-Vault

החלת עדיפות על קבוצות של הגדרות

• כדאי להגדיר קבוצות של הגדרות קריטיות או רגישות בעדיפות גבוהה. לדוגמה, הקבוצה בעדיפות הגבוהה ביותר יכולה להיות קבוצת "גישה דחופה" שמבטלת את כל הקבוצות שמגבילות את הגישה.
  

• רמות הגישה לא מתווספות לקבוצות של המשתמש. בדוגמה הזו, המשתמש שייך ל-3 קבוצות משתמשים, אבל רק קבוצת ההגדרות עם העדיפות הגבוהה ביותר, מכשיר, קובעת את רמת הגישה שלו.
  

תכנון המבנה של קבוצת ההגדרות הוא כנראה השלב שדורש הכי הרבה זמן ובדיקה.

איך נותנים שמות לקבוצות ומחפשים אותן

הגדירו תקן למתן שמות לקבוצות כדי שיהיה קל יותר לחפש, לתעדף ולבצע ביקורת. לדוגמה, אפשר להוסיף קידומת כמו caa כדי לציין קבוצות של הגדרות שמותאמות להקשר. בנוסף, כדאי להשתמש בנקודה עשרונית כדי להימנע מעריכת השמות של הקבוצות הקיימות כשמוסיפים קבוצת הגדרות.

חיפוש לפי כתובת הקבוצה הצגת רשימת הקבוצות

• חיפוש קבוצה: כדאי להגדיר תקן למתן שמות שכולל את שם ההגדרה ומספר העדיפות, לדוגמה:

caa_p0.0_unrestricted_access@example.com
caa_p1.0_lockdown_access@example.com
caa_p3.0_Gmail_IP_Device@example.com
caa_p3.1_Gmail_IP@example.com

• צפייה בקבוצות: בחלונית "קבוצות" מוצג שם הקבוצה (עד 37 תווים) לפי סדר העדיפות. כדי לראות את השם המלא של הקבוצה, אפשר להציב את הסמן מעל השם המקוצר. לדוגמה:

‫CAA p0.0 – גישה בלתי מוגבלת לכל האפליקציות
‫CAA p1.0 – גישה מוגבלת
‫CAA p3.0 – אבטחת מכשירים וכתובות IP של Gmail בארגון
‫CAA p3.1 – כתובות IP של Gmail בארגון

קבוצות הזמנה

כדי לעקוב אחרי העדיפות וההגדרות:

• אפשר להגדיר את הקבוצות שחלות על הכי מעט משתמשים או להגדיר כללי מדיניות קריטיים (כמו "גישה מוגבלת" או "גישה מלאה") בעדיפות הגבוהה ביותר.
• כדאי להביא בחשבון את העדיפות במבנה הקבוצה ולשים לב לקבוצות שמוגדרות עמוק בתוך קבוצות אחרות, כי יכול להיות שיהיה קשה לאתר את ההגדרות שלהן.

איך יוצרים קבוצות

אתם צריכים להשתמש בקבוצות שנוצרו במסוף Admin, ב-Directory API או ב-Google Cloud Directory Sync. אי אפשר להשתמש בקבוצות שנוצרו בקבוצות Google כקבוצות להגדרות. (במסוף Admin לא מוצג אם קבוצה נוצרה בקבוצות Google).

אפשר לנהל את קבוצת ההגדרות בכל כלי. אתם יכולים להגדיר הרשאות מחמירות להוספה או למחיקה של משתמשים, להשבית את האפשרות לפרסם בקבוצה או למנוע ממשתמשים לעזוב את הקבוצה (זמין רק ב-Groups API).

אתם צריכים הרשאות אדמין לקבוצות, ליחידות ארגוניות (ברמה העליונה) ולניהול רמות גישה וכללים של אבטחת מידע.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   צריך את הרשאות הניהול של כללים ורמות גישה לאבטחת מידע ואת הרשאות הקריאה של משתמשים וקבוצות ב-Admin API.

2. לוחצים על הקצאת רמות גישה כדי לראות את רשימת האפליקציות.
3. בקטע בקרת גישה מבוססת-הקשר, לוחצים על קבוצות.
4. בוחרים אפשרות:
   • לוחצים על אפליקציה. כל ההגדרות של קבוצות משתמשים קיימות שהוקצתה להן רמת גישה לאפליקציה מופיעות לפי סדר העדיפות.
   • לוחצים על חיפוש קבוצה כדי לראות רשימה של כל הקבוצות, לא רק קבוצות של הגדרות. אתם יכולים להזין טקסט כדי לסנן את התוצאות.
5. לוחצים על הקבוצה. בטבלת האפליקציות מפורטות כל האפליקציות עם הקצאות רמות הגישה שלהן.
   
   • אם אתם לא מוצאים את הקבוצה שחיפשתם, יכול להיות שהיא נוצרה בקבוצות Google. אתם צריכים ליצור קבוצות של הגדרות במסוף Admin, ב-Directory API או ב-Google Cloud Directory Sync.
   • מתחילים בהוספת קבוצות ההגדרות מהעדיפות הגבוהה ביותר לנמוכה ביותר. כשמוסיפים מדיניות קבוצתית חדשה לאפליקציה, היא ממוקמת בעדיפות הנמוכה ביותר.
6. לוחצים על אפליקציה אחת או יותר, ואז על הקצאה.
7. בוחרים את רמות הגישה לאפליקציה בקבוצה ולוחצים על שמירה. כברירת מחדל, לקבוצות חדשות לא מוקצות רמות גישה.
   
   
   
   בארגונים עם כמה סוגים של רישיונות Google Workspace: רמות הגישה של הקבוצה חלות רק על משתמשים שהוקצתה להם מהדורת Google Workspace שכוללת בקרת גישה מבוססת-הקשר.

אתם צריכים הרשאות אדמין לקבוצות, ליחידות ארגוניות (ברמה העליונה) ולניהול רמות גישה וכללים של אבטחת מידע.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   צריך את הרשאות הניהול של כללים ורמות גישה לאבטחת מידע ואת הרשאות הקריאה של משתמשים וקבוצות ב-Admin API.

2. במסוף Admin, נכנסים לדף ההגדרות של האפליקציה.
3. בצד ימין למעלה, לוחצים על משתמשים.
4. לוחצים על בחירת משתמש ומזינים את כתובת האימייל של המשתמש (לא את השם שלו).
5. בוחרים את המשתמש כדי לראות את הגדרות האפליקציה שלו. בעמודה הועבר בירושה מ- מוצגת קבוצת ההגדרות או היחידה הארגונית שקבעו את ההגדרות של המשתמש.
6. מצביעים על אפליקציה ולוחצים על הצגה כדי לראות פרטים על רמות הגישה של המשתמש.

הערה: כשמציגים יחידה ארגונית, הרמות עבר בירושה מבוססות רק על ההגדרה של היחידה הארגונית, ולא על קבוצות ההגדרות.

אתם צריכים הרשאות אדמין לקבוצות, ליחידות ארגוניות (ברמה העליונה) ולניהול רמות גישה וכללים של אבטחת מידע.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   צריך את הרשאות הניהול של כללים ורמות גישה לאבטחת מידע ואת הרשאות הקריאה של משתמשים וקבוצות ב-Admin API.

2. לוחצים על הקצאת רמות גישה כדי לראות את רשימת האפליקציות.
3. בצד ימין, לוחצים על קבוצות.
4. לוחצים על הקבוצה שרוצים להסיר.
5. קודם, מבטלים את ההקצאה של כל רמות הגישה מכל האפליקציות בקבוצה. בחלונית אפליקציות, בודקים כל אפליקציה בנפרד כדי לוודא שכל רמות הגישה לא מוקצות.
   
   
6. לוחצים על הקצאה.
7. לוחצים על ביטול הסימון של כל התיבות.
8. לוחצים על שמירה.

אתם צריכים הרשאות אדמין לקבוצות, ליחידות ארגוניות (ברמה העליונה) ולניהול רמות גישה וכללים של אבטחת מידע.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   צריך את הרשאות הניהול של כללים ורמות גישה לאבטחת מידע ואת הרשאות הקריאה של משתמשים וקבוצות ב-Admin API.

2. לוחצים על הקצאת רמות גישה כדי לראות את רשימת האפליקציות.
3. בצד ימין, לוחצים על קבוצות.
4. מחפשים את הקבוצה שרוצים לערוך.
5. בצד שמאל, בוחרים את האפליקציות שרוצים לערוך, להוסיף או להסיר.
6. לוחצים על הקצאה.
7. מעדכנים את הקצאות הרמות של הקבוצה.
8. לוחצים על שמירה.

הקבוצה להגדרות לא מופיעה ברשימת הקבוצות

• יכול להיות שהקבוצה נוצרה בקבוצות Google. נסו ליצור קבוצה במסוף Admin.
• חפשו את כתובת האימייל של הקבוצה במקום את השם שלה.
• נסו לרענן את דף ההגדרות. השינויים ייכנסו לתוקף תוך 24 שעות, ובדרך כלל תוך זמן קצר בהרבה. מידע נוסף
• מוודאים שיש לכם הרשאות אדמין לקבוצות Google.

למשתמש אין את רמת הגישה המתאימה

• לבדוק את החברות של המשתמש בקבוצה. השינויים ייכנסו לתוקף תוך 24 שעות, ובדרך כלל תוך זמן קצר בהרבה. מידע נוסף
• מוצאים את קבוצת ההגדרות שקובעת את ההגדרות של המשתמש. אם המשתמש שייך לכמה קבוצות משתמשים, יכול להיות שתצטרכו לשנות את העדיפות של הקבוצה או את החברות של המשתמש בקבוצה.
• יכול להיות שלמשתמש אין רישיון למוצר שכולל את התכונה. בקרת גישה מבוססת-הקשר זמינה במהדורות ספציפיות של Google Workspace.
• אם המשתמש לא יכול לגשת לאפליקציה, יכול להיות שהאפליקציה הוקצתה לרמת גישה שנמחקה. איך מסירים רמת גישה שנמחקה

כדי לראות שינויים בהגדרות של קבוצת ההגדרות, צריך לבדוק את האירועים הבאים ביומן הביקורת של האדמין:

אירוע: שינוי בהקצאות ספציפיות לאפליקציה ברמה של בקרת גישה מבוססת-הקשר