Mit Konfigurationsgruppen können Sie kontextsensitiven Zugriff auf Nutzergruppen statt auf Organisationseinheiten anwenden. Für solche Konfigurationsgruppen kommen Nutzer aus allen Organisationseinheiten in Ihrem Unternehmen infrage. Beispiel: Ein Team von Auftragnehmern soll nur in Ihrem Unternehmensnetzwerk auf Gmail zugreifen.
So funktionieren Konfigurationsgruppen
- Konfigurationsgruppen können beliebige Nutzer in Ihrer Organisation enthalten. Sie haben die Möglichkeit, eine Konfigurationsgruppe zu erstellen, die als Container für Zugriffsebenen dient, und anschließend Ihre Nutzergruppen (verschachtelte Gruppen) hinzuzufügen.
- Ein Nutzer kann mehreren Konfigurationsgruppen angehören, jedoch nicht mehreren Organisationseinheiten. Die Priorität der Konfigurationsgruppen legen Sie fest und für Nutzer gilt die Einstellung der Gruppe mit der höchsten Priorität.
- Die Gruppenzugriffsebene eines Nutzers für eine App überschreibt immer die Zugriffsebene der Organisationseinheit.
- Wenn in einer Konfigurationsgruppe keine Zugriffsebene für eine App angegeben ist, wird die von der Organisationseinheit des Nutzers festgelegte verwendet.
Konfigurationsgruppen für kontextsensitiven Zugriff gestalten
Konfigurationsgruppen funktionieren im Hinblick auf den kontextsensitiven Zugriff etwas anders als andere Google Workspace-Einstellungen. Beachten Sie beim Entwerfen Ihrer Gruppen und Richtlinien die folgenden Informationen und Tipps:
Optionen für Konfigurationsgruppen
Normalerweise definieren Sie Zugriffsebenen für Organisationseinheiten und legen dann benutzerdefinierte Zugriffsebenen für Konfigurationsgruppen fest. Sie können beispielsweise Konfigurationsgruppen für „Offener Zugriff“ oder „Sperrzugriff“ haben, um den Zugriff bestimmter Nutzer schnell zu gewähren oder einzuschränken.
In der Regel verwenden Sie eine Kombination aus Konfigurationsgruppen:
Vorhandene Nutzergruppen verwenden
Sie legen die Zugriffsebene für jede App in der Nutzergruppe fest, z. B. für Gmail oder Google Drive. Wenn ein Nutzer mehreren Gruppen angehört, legen Sie fest, welche Gruppe die Einstellungen für ihn bestimmt. Das wird weiter unten im Abschnitt Priorität näher beschrieben.
Zugriffsebenen direkt auf Nutzergruppen anzuwenden, ist eine gute Option, wenn Sie Folgendes tun möchten:
- Kontextbasierten Zugriff testen
- Zugriff für bestimmte Nutzergruppen verwalten, z. B. für IT-Mitarbeiter oder ein Außenteam
- Zugriff für Organisationen mit weniger als 50 Nutzern oder einer geringen Anzahl von Zugriffsebenen verwalten. Sie müssen keine weiteren Gruppen erstellen und können Einstellungen für jede Nutzergruppe genau abstimmen.
Konfigurationsgruppen basierend auf Zugriffsebenen erstellen
Alternativ können Sie Gruppen auch Zugriffsebenen zuweisen. Sie erstellen eine Konfigurationsgruppe und weisen Zugriffsebenen für eine oder mehrere Apps zu. Anschließend fügen Sie ihr Nutzergruppen als Mitglieder hinzu.
Größere Organisationen finden diesen Ansatz möglicherweise nützlich, um Richtlinien und Prioritäten für Zugriffsgruppen zu verwalten (siehe unten).
Priorität in Bezug auf Zugriffsebenen
Wenn ein Nutzer zu mehreren Konfigurationsgruppen gehört, legen Sie fest, welche davon den App-Zugriff des Nutzers bestimmt.
In der Google Admin-Konsole müssen Sie zuerst eine Anwendung auswählen, damit die entsprechende Liste mit Gruppenprioritäten angezeigt wird. Gruppen werden von der höchsten bis zur niedrigsten Priorität aufgelistet. Eine neue Konfigurationsgruppe hat immer die niedrigste Priorität und wird in einer Konfigurationsgruppenliste an unterster Stelle aufgeführt.
Priorität für kontextsensitiven Zugriff
Ein Nutzer erhält die App-Einstellungen der Gruppe mit der höchsten Priorität, der er angehört. Wenn die Gruppe keine Zugriffsebene für eine bestimmte App hat, wird die Zugriffsebene der Gruppe mit der nächsthöheren Priorität verwendet usw.
In der Admin-Konsole können Sie nachsehen, welche Gruppe oder Organisationseinheit die App-Zugriffsebene eines Nutzers bestimmt hat. Im folgenden Beispiel wird der Drive-Zugriff des Nutzers durch die Gruppe Drive Security festgelegt.
| Apps des Nutzers | Zugriffsebenen | Übernommen von |
|---|---|---|
 Google Kalender |
Unternehmensnetzwerk | Organisationseinheit: Vertrieb |
 Drive |
Unternehmensnetzwerk, Gerätesicherheit | Gruppe: Drive-Sicherheit |
 Gmail |
Gerätesicherheit | Organisationseinheit: Vertrieb |
 Google Vault |
<keine> | <keine> |
Wenn Sie detailliertere Einstellungen brauchen, können Sie die Zugriffsebenen für jede App mithilfe von Gruppen anpassen. Beispiel:
| Apps des Nutzers | Zugriffsebenen | Übernommen von |
|---|---|---|
| Kalender |
Unternehmensnetzwerk | Organisationseinheit: Vertrieb |
| Drive |
Unternehmensnetzwerk, Gerätesicherheit | Gruppe: Drive-Sicherheit |
| Gmail |
Gerätesicherheit, Geografie Kanada | Gruppe: Nordamerika |
| Vault |
Gerät eingeschränkt, Unternehmensnetzwerk | Gruppe: Vault-Prüfer |
Priorität auf Konfigurationsgruppen anwenden
- Sie können kritische oder sensible Konfigurationsgruppen mit hoher Priorität einrichten. Ihre Gruppe mit der höchsten Priorität könnte beispielsweise eine Gruppe mit dem Namen „Dringender Zugriff“ sein, die alle Gruppen überschreibt, die den Zugriff einschränken.
-
Zugriffsebenen werden nicht gruppenübergreifend hinzugefügt. In diesem Beispiel gehört ein Nutzer drei Nutzergruppen an. Seine Zugriffsebene wird jedoch nur durch die Konfigurationsgruppe mit der höchsten Priorität, Gerät, festgelegt.
Konfigurationsgruppen planen und entwerfen
Die Struktur Ihrer Konfigurationsgruppen zu planen, ist zeitaufwendig und muss gut durchdacht sein.
Gruppen benennen und suchen
Mit einer Namenskonvention lassen sich Gruppen leichter suchen, priorisieren und prüfen. Beispielsweise können Sie eine kontextsensitive Konfigurationsgruppe mit einem Präfix wie ksk kennzeichnen. Außerdem sollten Sie Dezimalstellen verwenden, damit Sie vorhandene Gruppennamen nicht umbenennen müssen, wenn Sie eine neue Konfigurationsgruppe einfügen.
 |
|
Nach Gruppenadresse suchen
Liste der Gruppen ansehen- Nach einer Gruppe suchen:Es kann hilfreich sein, einen Standard für die Namensgebung festzulegen, z. B. die Verwendung des Namens für die Einstellung und der Prioritätsnummer. Beispiel:
caa_p0.0_unrestricted_access@example.com
caa_p1.0_lockdown_access@example.com
caa_p3.0_Gmail_IP_Device@example.com
caa_p3.1_Gmail_IP@example.com
- Gruppen ansehen:Im Bereich „Gruppen“ wird der Gruppenname (maximal 37 Zeichen) in der Reihenfolge der Priorität angezeigt. Wenn Sie den Mauszeiger auf eine Gruppe bewegen, ist der vollständige Name zu sehen. Beispiel:
CAA p0.0 – Uneingeschränkter Zugriff auf alle Apps
CAA p1.0 – Gesperrter Zugriff
CAA p3.0 – Gmail-IP-Unternehmens- und Gerätesicherheit
CAA p3.1 – Gmail-IP-Unternehmen
Gruppen sortieren
So behalten Sie den Überblick über Priorität und Einstellungen:
- Gruppen, in denen nur wenige Nutzer Mitglied sind, weiter unten platzieren oder wichtige Richtlinien als höchste Priorität festlegen, z. B. "Sperrzugriff" oder "Gesamtzugriff".
- Prüfen Sie Ihre Gruppenstruktur auf stark verschachtelte Gruppen. Diese erschweren es nämlich, den Überblick darüber zu behalten, welche Einstellungen für wen gelten.
Gruppen erstellen
Sie können nur Gruppen nutzen, die in der Admin-Konsole, mit der Directory API oder in Google Cloud Directory Sync erstellt wurden. In Google Groups erstellte Gruppen können nicht als Konfigurationsgruppen verwendet werden. In der Admin-Konsole ist nicht zu erkennen, ob eine Gruppe in Google Groups erstellt wurde.
Konfigurationsgruppen lassen sich mit jedem beliebigen Tool verwalten. Sie können strenge Berechtigungen zum Hinzufügen oder Löschen von Nutzern festlegen, das Posten in der Gruppe deaktivieren oder verhindern, dass Nutzer die Gruppe verlassen (nur in der Gruppen-API verfügbar).
Konfigurationsgruppen einrichten
Bevor Sie beginnen:Definieren Sie die kontextsensitiven Zugriffsebenen und erstellen Sie Konfigurationsgruppen, die vorzugsweise ein oder zwei Testkonten enthalten.
Schritt 1: Konfigurationsgruppe anwenden
Sie benötigen Administratorberechtigungen für Gruppen, Organisationseinheiten (oberste Ebene) und auf Dienste > Datensicherheit > Zugriffsebenen- und Regelverwaltung.
-
Öffnen Sie in der Admin-Konsole das Menü
Sicherheit
Zugriffs- und Datenkontrolle
Kontextsensitiver Zugriff.Erfordert die Administratorberechtigung "Dienste > Datensicherheit" mit Regelverwaltung sowie die Berechtigung für die Admin API "Gruppen" mit Leseberechtigung für "Nutzer".
- Klicken Sie auf Zugriffsebenen zuweisen, um die Liste der Apps aufzurufen.
- Klicken Sie im Bereich Kontextsensitiver Zugriff auf Gruppen.
- Wählen Sie eine Option aus:
- Klicken Sie auf eine App. Alle vorhandenen Konfigurationsgruppen, denen eine Zugriffsebene für Ihre App zugewiesen ist, werden nach Priorität geordnet aufgeführt.
- Klicken Sie auf Nach einer Gruppe suchen, um eine Liste aller Gruppen aufzurufen, nicht nur Konfigurationsgruppen. Sie können Text eingeben, um die Ergebnisse zu filtern.
- Klicken Sie auf die Gruppe. In der Anwendungstabelle werden alle Anwendungen samt ihren Zuweisungen von Zugriffsebenen aufgeführt.
- Wenn Sie Ihre Gruppe nicht finden, wurde sie möglicherweise in Google Groups erstellt. Sie müssen Konfigurationsgruppen in der Admin-Konsole, in der Directory API oder in Google Cloud Directory Sync erstellen.
- Fügen Sie zuerst die Konfigurationsgruppen mit der höchsten Priorität hinzu. Wenn Sie eine neue Gruppenrichtlinie für eine App hinzufügen, wird sie mit der niedrigsten Priorität platziert.
- Klicken Sie auf eine oder mehrere Apps und dann auf Zuweisen.
- Wählen Sie die Zugriffsebenen für die App in der Gruppe aus und klicken Sie auf Speichern. Standardmäßig sind einer neuen Gruppe keine Zugriffsebenen zugewiesen.
Für Organisationen mit mehreren Arten von Google Workspace-Lizenzen: Die Zugriffsebenen für Gruppen gelten nur für Nutzer, denen eine Google Workspace-Version mit kontextsensitiver Zugriffssteuerung zugewiesen wurde.
Schritt 2: Zugriffsebenen für einen Nutzer prüfen
Sie benötigen Administratorberechtigungen für Gruppen, Organisationseinheiten (oberste Ebene) und auf Dienste > Datensicherheit > Zugriffsebenen- und Regelverwaltung.
-
Öffnen Sie in der Admin-Konsole das Menü
Sicherheit
Zugriffs- und Datenkontrolle
Kontextsensitiver Zugriff.Erfordert die Administratorberechtigung "Dienste > Datensicherheit" mit Regelverwaltung sowie die Berechtigung für die Admin API "Gruppen" mit Leseberechtigung für "Nutzer".
- Rufen Sie in der Admin-Konsole die Seite mit den Einstellungen für die App auf.
- Klicken Sie links oben auf Nutzer.
- Klicken Sie auf Nutzer auswählen und geben Sie die Adresse des Nutzers ein (nicht den Namen).
- Wählen Sie den Nutzer aus, dessen App-Einstellungen angezeigt werden sollen. In der Spalte Übernommen von sehen Sie die Konfigurationsgruppe oder Organisationseinheit, die die Einstellungen des Nutzers bestimmt hat.
- Bewegen Sie den Mauszeiger auf eine App und klicken Sie auf Anzeigen, um Details zu den Zugriffsebenen des Nutzers abzurufen.
Hinweis: Wenn Sie sich eine Organisationseinheit ansehen, beziehen sich die Angaben der übernommenen Ebenen nur auf die Einstellungen einer Organisationseinheit, nicht auf Konfigurationsgruppen.
Konfigurationsgruppe entfernen
Sie benötigen Administratorberechtigungen für Gruppen, Organisationseinheiten (oberste Ebene) und auf Dienste > Datensicherheit > Zugriffsebenen- und Regelverwaltung.
-
Öffnen Sie in der Admin-Konsole das Menü
Sicherheit
Zugriffs- und Datenkontrolle
Kontextsensitiver Zugriff.Erfordert die Administratorberechtigung "Dienste > Datensicherheit" mit Regelverwaltung sowie die Berechtigung für die Admin API "Gruppen" mit Leseberechtigung für "Nutzer".
- Klicken Sie auf Zugriffsebenen zuweisen, um die Liste der Apps aufzurufen.
- Klicken Sie links auf Gruppen.
- Klicken Sie auf die Gruppe, die Sie entfernen möchten.
- Zuerst heben Sie die Zuweisung der Zugriffsebene für alle Apps aus der Gruppe auf. Prüfen Sie im Bereich Apps der Reihe nach, ob die Zuweisung der Zugriffsebene für alle Anwendungen aufgehoben wurde.
- Klicken Sie auf Zuweisen.
- Klicken Sie auf Alle deaktivieren.
- Klicken Sie auf Speichern.
Konfigurationsgruppe bearbeiten
Sie benötigen Administratorberechtigungen für Gruppen, Organisationseinheiten (oberste Ebene) und auf Dienste > Datensicherheit > Zugriffsebenen- und Regelverwaltung.
-
Öffnen Sie in der Admin-Konsole das Menü
Sicherheit
Zugriffs- und Datenkontrolle
Kontextsensitiver Zugriff.Erfordert die Administratorberechtigung "Dienste > Datensicherheit" mit Regelverwaltung sowie die Berechtigung für die Admin API "Gruppen" mit Leseberechtigung für "Nutzer".
- Klicken Sie auf Zugriffsebenen zuweisen, um die Liste der Apps aufzurufen.
- Klicken Sie links auf Gruppen.
- Suchen Sie nach der Gruppe, die Sie bearbeiten möchten.
- Wählen Sie rechts Apps aus, die bearbeitet, hinzugefügt oder entfernt werden sollen.
- Klicken Sie auf Zuweisen.
- Aktualisieren Sie die Zuweisungen der Stufen für die Gruppe.
- Klicken Sie auf Speichern.
Fehlerbehebung
Ich sehe die Konfigurationsgruppe nicht in der Liste „Gruppen“
- Die Gruppe wurde möglicherweise in Google Groups erstellt. Richten Sie eine Gruppe über die Admin-Konsole ein.
- Suchen Sie nach der E-Mail-Adresse der Gruppe, nicht nach ihrem Namen.
- Aktualisieren Sie die Seite „Einstellungen“. Es kann bis zu 24 Stunden dauern, bis Änderungen wirksam werden. Normalerweise geschieht dies jedoch eher. Weitere Informationen
- Prüfen Sie, ob Sie Administratorberechtigungen für Google Groups haben.
Ein Nutzer hat nicht die richtige Zugriffsebene
- Überprüfen Sie die Gruppenmitgliedschaften des Nutzers. Es kann bis zu 24 Stunden dauern, bis Änderungen wirksam werden. Normalerweise geschieht dies jedoch eher. Weitere Informationen
- Suchen Sie die Konfigurationsgruppe, die die Einstellungen des Nutzers bestimmt. Wenn der Nutzer mehreren Konfigurationsgruppen angehört, müssen Sie unter Umständen dessen Gruppenpriorität oder Gruppenmitgliedschaft ändern.
- Möglicherweise hat der Nutzer keine Produktlizenz für die Funktion. Der kontextsensitive Zugriff ist nur für bestimmte Versionen von Google Workspace verfügbar.
- Wenn der Nutzer nicht auf eine App zugreifen kann, wurde ihr möglicherweise eine gelöschte Zugriffsebene zugewiesen. Klicken Sie das Kästchen Gelöschte Zugriffsebene entfernen an.
Änderungen im Audit-Log nachvollziehen
Prüfen Sie die folgenden Ereignisse im Audit-Log für Administratoren auf Änderungen an den Einstellungen der Konfigurationsgruppe:
EREIGNIS: Änderung der App-spezifischen Zuweisung der kontextsensitiven Zugriffsebene
|
Protokolliert, wenn Sie eine Konfigurationsgruppe übernehmen oder entfernen. Für das Ereignis wird der Gruppenname verwendet. Sie können also einen ähnlichen Namensstandard für den Gruppennamen und die Adresse verwenden. In einem Gruppenereignis enthaltene Daten:
Beispiel: Sie wenden die Konfigurationsgruppe CAA.02 – Lokaler Zugriff auf eine App an:
Wenn Sie die Konfigurationsgruppe aus einer App entfernen, passiert Folgendes:
|
Informationen zu Organisationseinheiten, Gruppenübernahme und Konfigurationsgruppen
Wenn Sie Änderungen an lokalen Zugriffsebenen einer untergeordneten Organisationseinheit oder Gruppe vornehmen, gelten nur die lokal angewendeten Zugriffsebenen. Es werden keine Zugriffsebenen von der übergeordneten Organisation übernommen.
Wenn Sie alle lokal zugewiesenen Zugriffsebenen entfernen, um die ursprünglich übernommenen Zugriffsebenen wiederherzustellen, hat die untergeordnete Organisationseinheit nur die übernommenen Zugriffsebenen.
Beispiel für Organisationseinheiten: Wenn einer App der obersten Organisationseinheit 3 Zugriffsebenen zugewiesen sind, werden diese Zugriffsebenen durch Übernahme auch der App einer untergeordneten Organisationseinheit zugewiesen, sofern die untergeordnete Organisationseinheit keine lokale Zuweisung hat. Wenn Sie dann nur in der untergeordneten Organisationseinheit eine Zugriffsebene hinzufügen, ist das die einzige Zugriffsebene, die auf die untergeordnete Organisationseinheit angewendet wird.
Übernommene Zuweisungen für Zugriffsebenen mit einer Nullrichtlinie überschreiben
Ein Beispiel: Sie möchten in einer untergeordneten Organisationseinheit keinen Nutzerzugriff blockieren – also keine Zugriffsebenen zuweisen. Sie können eine Zugriffsebene mit dem erweiterten Ausdruck true erstellen. Weitere Informationen finden Sie unter Zugriffsebenen definieren – erweiterter Modus.
Zuweisungen für Zugriffsebenen mit Konfigurationsgruppen überschreiben
Über Konfigurationsgruppen können Sie Zugriffsebenen auf Nutzergruppen statt auf Organisationseinheiten anwenden. Die Gruppenzugriffsebene eines Nutzers hat dabei immer Vorrang vor der Zugriffsebene der Organisationseinheit des Nutzers. Die Gruppen können Nutzer aus jeder Organisationseinheit in Ihrem Konto enthalten.
Beispiel: Ein Nutzer gehört zu einer Organisationseinheit und zu Gruppe1. Der übergeordneten Organisationseinheit ParentOU wurde für Gmail wie für Google Kalender die Zugriffsebene X zugewiesen. Für Gmail gibt es für Gruppe1 keine zugewiesene Zugriffsebene. Für Google Kalender erhält Gruppe1 die Zugriffsebene Y. In diesem Fall hat der Nutzer die Zugriffsebene X für Gmail (übernommen) und die Zugriffsebene Y für Google Kalender (durch Überschreiben der lokalen Richtlinie).