Använda kontextkänslig åtkomst med konfigurationsgrupper

Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus, Enterprise Standard och Enterprise Plus, Education Standard och Education Plus, Enterprise Essentials Plus, Cloud Identity Premium. Jämför utgåvor

Med konfigurationsgrupper kan du använda kontextkänsliga åtkomstnivåer för grupper av användare i stället för organisationsenheter. Grupper kan innehålla användare från alla organisationsenheter i ditt företag. Till exempel kan ett entreprenörsteam bara få åtkomst till Gmail i ditt företagsnätverk.

Så här fungerar konfigurationsgrupper

  • Konfigurationsgrupper kan innehålla alla användare i organisationen. Du kan dessutom skapa en konfigurationsgrupp som fungerar som en behållare för åtkomstnivåer och sedan lägga till dina användargrupper (kapslade grupper).
  • En användare kan tillhöra flera konfigurationsgrupper, till skillnad från organisationsenheter. När du ställer in prioritet för konfigurationsgrupper får användaren inställningen för den högsta prioritetsgruppen personen tillhör.
  • En användares gruppåtkomstnivå för en app åsidosätter alltid organisationsenhetens åtkomstnivå.
  • Om en konfigurationsgrupp inte anger en åtkomstnivå för en app använder appen den åtkomstnivå som angetts av användarens organisationsenhet.

Utforma konfigurationsgrupper för kontextkänslig åtkomst

Konfigurationsgrupper fungerar lite annorlunda för kontextkänslig åtkomst jämfört med andra Google Workspace-inställningar. Följ den här informationen och tipsen när du utformar grupper och policyer:

Alternativ för konfigurationsgrupper

Du definierar normalt åtkomstnivåer för organisationsenheter och bestämmer sedan anpassade åtkomstnivåer för konfigurationsgrupper. Du kan till exempel ha konfigurationsgrupper för Öppen åtkomst eller Låsningsåtkomst så att du snabbt kan bevilja eller begränsa specifika användares åtkomst.

Vanligtvis använder du en kombination av konfigurationsgrupper:

Använda dina befintliga användargrupper

Du anger åtkomstnivån för varje app (till exempel Gmail eller Google Drive) i användargruppen. Om en användare tillhör flera grupper ställer du in vilken grupp som avgör användarens inställningar (beskrivs senare i avsnittet Prioritet).

Tillämpning av åtkomstnivåer direkt på användargrupper är ett bra alternativ vid

  • Testning av kontextkänslig åtkomst.
  • hantering av åtkomst för specifika användargrupper, till exempel IT-personal eller ett team som jobbar på distans
  • Hantering av åtkomst för organisationer med färre än 50 användare eller ett litet antal åtkomstnivåer Du behöver inte skapa fler grupper och du kan finjustera inställningarna för varje användargrupp.

Skapa konfigurationsgrupper baserat på åtkomstnivåer

Alternativt kan du tilldela grupper åtkomstnivåer. Du skapar en konfigurationsgrupp och tilldelar åtkomstnivåer för en eller flera appar. Sedan lägger du till användargrupper som medlemmar i konfigurationsgruppen.

Större organisationer kan ha nytta av den här metoden för att hantera policyer och prioriteringar för åtkomstgrupper (beskrivs nedan).

Så fungerar prioritet med åtkomstnivåer

När en användare tillhör flera konfigurationsgrupper anger du vilken konfigurationsgrupp som har prioritet för att avgöra användarens åtkomst till appen.

I Googles administratörskonsol måste du först välja en app för att visa motsvarande grupprioritetslista. Grupperna anges från högsta till lägsta prioritet. En ny konfigurationsgrupp har alltid den lägsta prioriteten och läggs till längst ned i en lista över konfigurationsgrupper.

Prioritet för kontextkänslig åtkomst

En användare får appinställningarna för den högst prioriterade grupp användaren tillhör. Om gruppen inte har någon åtkomstnivå för en viss app används åtkomstnivån för användarens grupp med näst högst prioritet och så vidare.

På administratörskonsolen kan du kontrollera vilken grupp eller organisationsenhet som bestämt en användares åtkomstnivå för appar. I exemplet nedan anger gruppen Drive Security användarens Drive-åtkomst.

Användarens appar Åtkomstnivåer Ärvd från
Google Kalender Företagets nätverk Organisationsenhet: Försäljning
Drive Företagets nätverk, enhetssäkerhet Grupp: Drive-säkerhet
Gmail Säkerhet för enhet Organisationsenhet: Försäljning
Google Arkiv <ingen> <ingen>

För detaljerad kontroll kan du använda grupper för att anpassa åtkomstnivåerna för varje app. Till exempel:

Användarens appar Åtkomstnivåer Ärvd från
Kalender Företagets nätverk Organisationsenhet: Försäljning
Drive Företagets nätverk, enhetssäkerhet Grupp: Drive-säkerhet
Gmail Enhetssäkerhet, Geo Canada Grupp: Nordamerika
Arkiv Enheten är begränsad, företagsnätverk Grupp: Arkivutredare

Tillämpa prioritet på konfigurationsgrupper

  • Överväg att ge kritiska eller känsliga konfigurationsgrupper hög prioritet. Din högsta prioriterade grupp kan till exempel vara en grupp för brådskande åtkomst som åsidosätter alla grupper som begränsar åtkomsten.

  • Åtkomstnivåer läggs inte till för en användares grupper. I det här exemplet tillhör en användare tre användargrupper, men det är bara konfigurationsgruppen med högst prioritet, Enhet, som anger användarens åtkomstnivå.

Planera och utforma konfigurationsgrupper

Planering av strukturen för din konfigurationsgrupp är troligen det steg som kräver mest tid och granskning.

Namnge och söka efter grupper

Ange en gruppnamnstandard för enklare sökning, prioritering och granskning. Lägg till exempel till ett prefix som ”caa” för att ange en kontextkänslig konfigurationsgrupper. Använd också ett decimaltal för att undvika att redigera dina befintliga gruppnamn när du lägger till en konfigurationsgrupp.

1. Sök efter gruppadress

2. Visa lista över grupper
  • Sök efter en grupp: Du kan skapa en namngivningsstandard som innehåller inställningens namn och prioritetsnummer, till exempel:

caa_p0.0_unrestricted_access@exempel.com
caa_p1.0_lockdown_access@exempel.com
caa_p3.0_Gmail_IP_Device@exempel.com
caa_p3.1_Gmail_IP@exempel.com

  • Visa grupperna: Panelen Grupper visar gruppnamnet (högst 37 tecken) i prioritetsordning. Om du håller muspekaren över en grupp visas hela namnet. Exempel:

CAA p0.0 – obegränsad åtkomst till alla appar
CAA p1.0 – låst åtkomst
CAA p3.0 – Gmail IP corp och enhetssäkerhet
CAA p3.1 – Gmail IP corp

Ordna grupper

Så här spårar du prioritet och inställningar:

  • Du kan ge grupper som tillämpas på det minsta antalet användare eller definierar kritiska policyer (till exempel Låsningsåtkomst eller Full åtkomst) högsta prioritet.
  • Tänk på prioriteten i gruppstrukturen och sök efter djupt kapslade grupper som kan vara svåra att spåra i inställningar.

Skapa grupper

Du måste använda grupper som skapats i administratörskonsolen, Directory API eller Google Cloud Directory Sync. Grupper som har skapats i Google Grupper kan inte användas som konfigurationsgrupper. (Administratörskonsolen visar inte om en grupp har skapats i Google Grupper.)

Du kan hantera konfigurationsgruppen i valfritt verktyg. Du kan ställa in strikta behörigheter för att lägga till eller ta bort användare, inaktivera inlägg i gruppen eller förhindra att användarna lämnar gruppen (endast tillgängligt i Groups API).

Ställ in konfigurationsgrupper

Innan du börjar: Definiera åtkomstnivåerna för kontextkänslighet och skapa konfigurationsgrupper (de ska helst innehålla ett eller två testkonton).

Steg 1. Tillämpa en konfigurationsgrupp

Du behöver administratörsbehörighet för grupper, organisationsenheter (toppnivå) och åtkomstnivå- och regelhantering för datasäkerhet.

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Åtkomst- och datakontroll följt av Kontextkänslig åtkomst.

    Kräver behörighet för hantering av åtkomstnivå datasäkerhet och regelhantering och läsbehörighet för Admin API-grupper och användare.

  2. Klicka på Tilldela åtkomstnivåer om du vill visa listan över appar.
  3. Klicka på Grupper i avsnittet Kontextkänslig åtkomst.
  4. Välj ett alternativ:
    • Klicka på en app. Alla befintliga konfigurationsgrupper som har en åtkomstnivå tilldelad för appen anges i prioritetsordning.
    • Klicka på Sök efter en grupp för att se en lista över alla grupper, inte bara konfigurationsgrupper. Du kan skriva text för att filtrera resultaten.
  5. Klicka på gruppen. I apptabellen visas alla appar med tilldelade åtkomstnivåer.
    • Om du inte hittar din grupp kan den ha skapats i Google Grupper. Du måste skapa dessa grupper i administratörskonsolen, Directory API eller Google Cloud Directory Sync.
    • Börja med att lägga till konfigurationsgrupperna från högsta till lägsta prioritet. När du lägger till en ny gruppolicy för en app placeras den med lägsta prioritet.
  6. Klicka på en eller flera appar och sedan på Tilldela.
  7. Välj åtkomstnivåer för appen i gruppen och klicka på Spara. Som standard har en ny grupp inga tilldelade åtkomstnivåer.



    För organisationer med flera typer av Google Workspace-licenser: Gruppåtkomstnivåerna gäller endast för användare som tilldelats en Google Workspace-utgåva som innehåller kontextkänslig åtkomstkontroll.

Steg 2. Kontrollera åtkomstnivåerna för en användare

Du behöver administratörsbehörighet för grupper, organisationsenheter (toppnivå) och åtkomstnivå- och regelhantering för datasäkerhet.

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Åtkomst- och datakontroll följt av Kontextkänslig åtkomst.

    Kräver behörighet för hantering av åtkomstnivå datasäkerhet och regelhantering och läsbehörighet för Admin API-grupper och användare.

  2. Öppna sidan Inställningar för appen i administratörskonsolen.
  3. Klicka på Användare längst upp till vänster.
  4. Klicka på Välj en användare och ange användarens adress (inte namn).
  5. Välj användaren för att visa appens inställningar. I kolumnen Ärvd från visas den konfigurationsgrupp eller organisationsenhet som bestämde användarens inställningar.
  6. Peka på en app och klicka på Visa om du vill veta mer om användarens åtkomstnivåer.

Obs! När du visar en organisationsenhet baseras de ärvda nivåerna bara på en organisationsenhets inställning, inte på konfigurationsgrupper.

Ta bort en konfigurationsgrupp

Du behöver administratörsbehörighet för grupper, organisationsenheter (toppnivå) och åtkomstnivå- och regelhantering för datasäkerhet.

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Åtkomst- och datakontroll följt av Kontextkänslig åtkomst.

    Kräver behörighet för hantering av åtkomstnivå datasäkerhet och regelhantering och läsbehörighet för Admin API-grupper och användare.

  2. Klicka på Tilldela åtkomstnivåer om du vill visa listan över appar.
  3. Klicka på Grupper till vänster.
  4. Klicka på gruppen som du vill ta bort.
  5. Först tar du bort tilldelningen av alla åtkomstnivåer från alla appar i gruppen. På panelen Appar behöver du kontrollera en app i taget för att säkerställa att alla åtkomstnivåer är otilldelade.

  6. Klicka på Tilldela.
  7. Klicka på Avmarkera alla.
  8. Klicka på Spara.
Konfigurationsgruppen visas inte längre i listan Grupper. Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer

Redigera en konfigurationsgrupp

Du behöver administratörsbehörighet för grupper, organisationsenheter (toppnivå) och åtkomstnivå- och regelhantering för datasäkerhet.

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Åtkomst- och datakontroll följt av Kontextkänslig åtkomst.

    Kräver behörighet för hantering av åtkomstnivå datasäkerhet och regelhantering och läsbehörighet för Admin API-grupper och användare.

  2. Klicka på Tilldela åtkomstnivåer om du vill visa listan över appar.
  3. Klicka på Grupper till vänster.
  4. Sök efter gruppen du vill redigera.
  5. Välj appar som du vill redigera, lägga till eller ta bort.
  6. Klicka på Tilldela.
  7. Uppdatera nivåtilldelningarna för gruppen.
  8. Klicka på Spara.
Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer

Felsökning

Jag ser inte konfigurationsgruppen i grupplistan

  • Gruppen kan ha skapats i Google Grupper. Testa att skapa en grupp i administratörskonsolen.
  • Sök efter gruppens e-postadress i stället för gruppens namn.
  • Testa att uppdatera inställningssidan. Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer
  • Kontrollera att du har administratörsbehörigheter för grupper.

En användare har inte rätt åtkomstnivå

  • Kontrollera en användares gruppmedlemskap. Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer
  • Hitta konfigurationsgruppen som avgör användarens inställningar. Om användaren tillhör flera konfigurationsgrupper kan du behöva ändra gruppprioritet eller användarens gruppmedlemskap.
  • Användaren kanske inte har produktlicensen för funktionen. Kontextkänslig åtkomst är tillgänglig i vissa utgåvor av Google Workspace.
  • Om användaren inte kan komma åt en app kan appen ha tilldelats en raderad åtkomstnivå. Markera Ta bort en raderad åtkomstnivå.

Kontrollera ändringar i granskningsloggen

Granska dessa händelser i administratörsgranskningsloggen med avseende på ändringar av inställningarna för konfigurationsgruppen:

HÄNDELSE: Ändring av apptilldelning för kontextkänslig åtkomstnivå

Loggar när du tillämpar eller tar bort en konfigurationsgrupp. Händelsen använder gruppnamnet, så du kan använda en liknande namngivningsstandard för både gruppnamnet och adressen.

Uppgifterna i en grupphändelse:

Tilldelningar av åtkomstnivå har ändrats från []
till [åtkomstnivåer]. (application_name: {app}, group_name: {configuration group})

Du tillämpar till exempel konfigurationsgruppen CAA.02 lokal åtkomst på en app:

Åtkomstnivåtilldelningar har ändrats från [] till [Företagets IP, enhet].
(application_name: {GMAIL}, group_name: {CAA.02 local access}

När du tar bort konfigurationsgruppen från en app:

Tilldelningar av åtkomstnivå har ändrats från [Företagets IP, enhet] till [].
(application_name: {GMAIL}, group_name: {CAA.02 Local Access}

Förstå organisationsenheter, grupparv och konfigurationsgrupper

Om du gör ändringar av en lokal åtkomstnivå i en underordnad organisationsenhet eller grupp har den bara de lokalt tillämpade åtkomstnivåerna och ärver inga åtkomstnivåer från den överordnade organisationen.

Om du tar bort alla lokalt tilldelade åtkomstnivåer för att återställa de ursprungliga ärvda åtkomstnivåerna har den underordnade organisationen enbart de ärvda åtkomstnivåerna.

Om till exempel tre åtkomstnivåer har tilldelats en app i organisationen på toppnivå, tilldelas samma åtkomstnivåer via arv appen i en underordnad organisation om den underordnade organisationsenheten inte har lokal tilldelning. Om du sedan lägger till en åtkomstnivå enbart i den underordnade organisationsenheten är det den enda åtkomstnivå som tillämpas på den underordnade organisationsenheten.

Åsidosätt ärvda tilldelningar av åtkomstnivå med en null-policy

Låt säga att du inte vill blockera någon användaråtkomst i en underordnad organisation – inga åtkomstnivåtilldelningar. Du kan skapa en åtkomstnivå med det avancerade uttrycket true. Mer information finns i Definiera åtkomstnivåer – avancerat läge.

Åsidosätt tilldelningar av åtkomstnivåer med konfigurationsgrupper

Du kan använda konfigurationsgrupper för att tilldela användargrupper åtkomstnivåer, i stället för organisationsenheter. En användares gruppåtkomstnivå åsidosätter alltid användarens åtkomstnivå för organisationsenheter. Grupperna kan innehålla användare från alla organisationsenheter i ditt konto.

Ett exempel: En användare tillhör en organisationsenhet och Grupp1. Organisationsenheten är ÖverordnadOE, som har åtkomstnivå X tilldelad för både Gmail och Kalender. Det finns ingen åtkomstnivåtilldelning för Grupp1 för Gmail. Åtkomstnivå Y är tilldelad för Grupp1 för Kalender. I det här fallet har användaren tilldelats åtkomstnivå X för Gmail (genom arv) och Y har tilldelats Kalender (genom åsidosättning av den lokala policyn).