שימוש בבקרת גישה מבוססת-הקשר עם קבוצות הגדרות

בדרך כלל מגדירים רמות גישה ליחידות ארגוניות, ואז קובעים רמות גישה בהתאמה אישית לקבוצות הגדרה. לדוגמה, יכול להיות שיהיו לכם קבוצות הגדרות בשם 'גישה פתוחה' או 'גישה מוגבלת', כדי שתוכלו להעניק או להגביל במהירות את הגישה של משתמשים ספציפיים.

בדרך כלל משתמשים בשילוב של קבוצות הגדרות:

שימוש בקבוצות משתמשים קיימות

אתם קובעים את רמת הגישה לכל אפליקציה (לדוגמה, Gmail או Google Drive) בקבוצת המשתמשים. אם משתמש שייך לכמה קבוצות, אתם יכולים לקבוע איזו קבוצה תקבע את ההגדרות של המשתמש (כפי שמתואר בהמשך בסעיף עדיפות).

החלת רמות גישה ישירות על קבוצות משתמשים היא אפשרות טובה במקרים הבאים:

• בדיקה של בקרת גישה מבוססת-הקשר.
• ניהול גישה לקבוצות ספציפיות של משתמשים, כמו צוות IT או צוות שמוקצה מרחוק.
• ניהול גישה בארגונים עם פחות מ-50 משתמשים או עם מספר קטן של רמות גישה. אתם לא צריכים ליצור עוד קבוצות, ויכולים לשנות את ההגדרות של כל קבוצת משתמשים.

יצירת קבוצות הגדרות על סמך רמות גישה

אפשר גם להקצות רמות גישה לקבוצות. יוצרים קבוצת הגדרות ומקצים רמות גישה לאפליקציה או לאפליקציות. אחר כך מוסיפים קבוצות משתמשים כחברים בקבוצת ההגדרות.

בארגונים גדולים, הגישה הזו יכולה להיות שימושית לניהול של מדיניות וסדרי עדיפויות של קבוצות גישה (כפי שמתואר בהמשך).

אם משתמש שייך לכמה קבוצות משנה, אתם יכולים להגדיר לאיזו קבוצה משנה יש עדיפות בקביעת הגישה של המשתמש לאפליקציה.

במסוף Google Admin, קודם צריך לבחור אפליקציה כדי להציג את רשימת העדיפויות של הקבוצות שמתאימות לה. הקבוצות מופיעות לפי סדר העדיפות, מהגבוהה ביותר לנמוכה ביותר. לקבוצת הגדרות חדשה תמיד יש את העדיפות הכי נמוכה, והיא מתווספת לתחתית של רשימת קבוצות ההגדרות.

עדיפות לבקרת גישה מבוססת-הקשר

המשתמש מקבל את הגדרות האפליקציה של הקבוצה עם סדר העדיפות הכי גבוה שהוא שייך אליה. אם לקבוצה אין רמת גישה לאפליקציה מסוימת, המערכת משתמשת ברמת הגישה של הקבוצה הבאה עם העדיפות הכי גבוהה שהמשתמש שייך אליה, וכן הלאה.

במסוף Admin אפשר לבדוק איזו קבוצה או יחידה ארגונית קבעה את רמת הגישה של משתמש לאפליקציה. בדוגמה שלמטה, הגישה של המשתמש ל-Drive מוגדרת על ידי הקבוצה Drive Security.

האפליקציות של המשתמש	רמות הגישה	בהורשה מ:
יומן Google	רשת החברה	יחידה ארגונית: מכירות
Drive	רשת החברה, אבטחת המכשיר	Group: Drive Security
Gmail	אבטחת המכשיר	יחידה ארגונית: מכירות
Google Vault	<none>	<none>

כדי לשלוט ברמת דיוק גבוהה, אתם יכולים להשתמש בקבוצות כדי להתאים אישית את רמות הגישה לכל אפליקציה. לדוגמה:

האפליקציות של המשתמש	רמות הגישה	בהורשה מ:
יומן	רשת החברה	יחידה ארגונית: מכירות
Drive	רשת החברה, אבטחת המכשיר	Group: Drive Security
Gmail	אבטחת המכשיר, קנדה	קבוצה: צפון אמריקה
Vault	המכשיר מוגבל, הרשת של החברה	קבוצה: Vault Investigator

הגדרת עדיפות לקבוצות משתמשים

• כדאי להגדיר עדיפות גבוהה לקבוצות משתמשים עם הגדרות קריטיות או רגישות. לדוגמה, יכול להיות שהקבוצה בעדיפות הכי גבוהה היא קבוצת 'גישה דחופה' שמבטלת את ההגבלות של קבוצות אחרות.
  

• רמות הגישה לא מתווספות לקבוצות של משתמש. בדוגמה הזו, משתמש שייך ל-3 קבוצות משתמשים, אבל רק קבוצת ההגדרות עם העדיפות הכי גבוהה, מכשיר, מגדירה את רמת הגישה שלו.
  

תכנון המבנה של קבוצת ההגדרות הוא השלב שסביר להניח ייקח הכי הרבה זמן וידרוש הכי הרבה בדיקות.

מתן שמות לקבוצות וחיפוש קבוצות

כדאי להגדיר תקן למתן שמות לקבוצות כדי שיהיה קל יותר לחפש, לתעדף ולבדוק אותן. לדוגמה, מוסיפים קידומת כמו caa כדי לציין קבוצות הגדרות שמותאמות להקשר. בנוסף, כדאי להשתמש במקום עשרוני כדי להימנע מעריכה של שמות הקבוצות הקיימות כשמוסיפים קבוצת הגדרות.

חיפוש לפי כתובת האימייל של הקבוצה הצגת רשימת הקבוצות

• חיפוש קבוצה: כדאי להגדיר תקן למתן שמות שכולל את שם ההגדרה ומספר העדיפות, לדוגמה:

caa_p0.0_unrestricted_access@example.com
caa_p1.0_lockdown_access@example.com
caa_p3.0_Gmail_IP_Device@example.com
caa_p3.1_Gmail_IP@example.com

• הצגת הקבוצות: בחלונית Groups (קבוצות) מוצג שם הקבוצה (עד 37 תווים) לפי סדר העדיפות. כשמצביעים על קבוצה, השם המלא שלה מוצג. לדוגמה:

‫CAA p0.0 – גישה לא מוגבלת לכל האפליקציות
‫CAA p1.0 – גישה מוגבלת
‫CAA p3.0 – אבטחת מכשירים וכתובות IP של Gmail
‫CAA p3.1 – כתובות IP של Gmail

שינוי הסדר של קבוצות

כדי לעקוב אחרי העדיפות וההגדרות:

• אפשר להגדיר את הקבוצות שחלות על הכי מעט משתמשים או להגדיר מדיניות קריטית (כמו 'נעילת הגישה' או 'גישה מלאה') בעדיפות הכי גבוהה.
• כדאי להביא בחשבון את העדיפות במבנה הקבוצות, ולשים לב לקבוצות שהן מרכיב בקבוצות אחרות, כי יכול להיות שיהיה קשה לעקוב אחרי ההגדרות שלהן.

איך יוצרים קבוצות

חובה להשתמש בקבוצות שנוצרו במסוף Admin, ב-Directory API או ב-Google Cloud Directory Sync. אי אפשר להשתמש בקבוצות שנוצרו ב-Google Groups בתור הגדרות לקבוצת משתמשים. (במסוף Admin לא מוצג אם קבוצה נוצרה בקבוצות Google).

אפשר לנהל את קבוצת ההגדרות בכל כלי. אתם יכולים להגדיר הרשאות מחמירות כדי להוסיף או למחוק משתמשים, להשבית את האפשרות לפרסם בקבוצה או למנוע ממשתמשים לעזוב את הקבוצה (האפשרות הזו זמינה רק ב-Groups API).

אתם צריכים הרשאות אדמין לקבוצות, ליחידות ארגוניות (ברמה העליונה) ולניהול רמות גישה לאבטחת נתונים ולניהול כללים.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   כדי לעשות את זה, צריך הרשאות גישה לאבטחת נתונים וניהול כללים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.

2. לוחצים על הקצאת רמות גישה כדי לראות את רשימת האפליקציות.
3. בקטע בקרת גישה מבוססת-הקשר, לוחצים על קבוצות.
4. בוחרים אפשרות:
   • לוחצים על אפליקציה. כל ההגדרות של קבוצות משתמשים קיימות שהוקצתה להן רמת גישה לאפליקציה מופיעות לפי סדר העדיפות.
   • לוחצים על חיפוש קבוצה כדי לעיין ברשימה של כל הקבוצות, לא רק בקבוצות של הגדרות. אפשר להזין טקסט כדי לסנן את התוצאות.
5. לוחצים על הקבוצה. בטבלת האפליקציות מפורטות כל האפליקציות עם הקצאות רמות הגישה שלהן.
   
   • אם אתם לא מוצאים את הקבוצה שחיפשתם, יכול להיות שהיא נוצרה בקבוצות Google. צריך ליצור קבוצות הגדרות במסוף Admin, ב-Directory API או ב-Google Cloud Directory Sync.
   • מתחילים בהוספת קבוצות ההגדרות מהעדיפות הגבוהה ביותר לנמוכה ביותר. כשמוסיפים מדיניות קבוצתית חדשה לאפליקציה, היא מקבלת את העדיפות הכי נמוכה.
6. לוחצים על אפליקציה אחת או יותר ואז על הקצאה.
7. בוחרים את רמות הגישה לאפליקציה בקבוצה ולוחצים על שמירה. כברירת מחדל, לקבוצות חדשות לא מוקצות רמות גישה.
   
   
   
   בארגונים עם כמה סוגים של רישיונות ל-Google Workspace: רמות הגישה לקבוצות חלות רק על משתמשים שהוקצתה להם מהדורת Google Workspace שכוללת בקרת גישה מודעת-הקשר.

אתם צריכים הרשאות אדמין לקבוצות, ליחידות ארגוניות (ברמה העליונה) ולניהול רמות גישה לאבטחת נתונים וניהול כללים.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   כדי לעשות את זה, צריך הרשאות גישה לאבטחת נתונים וניהול כללים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.

2. במסוף Admin, עוברים לדף ההגדרות של האפליקציה.
3. בצד ימין למעלה, לוחצים על משתמשים.
4. לוחצים על בחירת משתמש ומזינים את הכתובת של המשתמש (לא את השם שלו).
5. בוחרים את המשתמש כדי לראות את הגדרות האפליקציה שלו. בעמודה התקבל בירושה מ מוצגת קבוצת המשתמשים או היחידה הארגונית שקבעו את ההגדרות של המשתמש.
6. מצביעים על אפליקציה ולוחצים על הצגה כדי לראות פרטים על רמות הגישה של המשתמש.

הערה: כשמציגים יחידה ארגונית, הרמות עברו בירושה מבוססות רק על ההגדרה של היחידה הארגונית, ולא על קבוצות הגדרה.

אתם צריכים הרשאות אדמין לקבוצות, ליחידות ארגוניות (ברמה העליונה) ולניהול רמות גישה לאבטחת נתונים וניהול כללים.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   כדי לעשות את זה, צריך הרשאות גישה לאבטחת נתונים וניהול כללים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.

2. לוחצים על הקצאת רמות גישה כדי לראות את רשימת האפליקציות.
3. מימין, לוחצים על קבוצות.
4. לוחצים על הקבוצה שרוצים להסיר.
5. קודם מבטלים את ההקצאה של כל רמות הגישה מכל האפליקציות בקבוצה. בחלונית אפליקציות, בודקים כל אפליקציה בנפרד כדי לוודא שכל רמות הגישה לא הוקצו.
   
   
6. לוחצים על הקצאה.
7. לוחצים על ביטול הסימון של הכול.
8. לוחצים על שמירה.

אתם צריכים הרשאות אדמין לקבוצות, ליחידות ארגוניות (ברמה העליונה) ולניהול רמות גישה לאבטחת נתונים וניהול כללים.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים בקרת גישה מבוססת-הקשר.

   אל בקרת גישה מבוססת-הקשר

   כדי לעשות את זה, צריך הרשאות גישה לאבטחת נתונים וניהול כללים והרשאות קריאה של קבוצות משתמשים ומשתמשים ב-Admin API.

2. לוחצים על הקצאת רמות גישה כדי לראות את רשימת האפליקציות.
3. מימין, לוחצים על קבוצות.
4. מחפשים את הקבוצה שרוצים לערוך.
5. בצד שמאל, בוחרים את האפליקציות שרוצים לערוך, להוסיף או להסיר.
6. לוחצים על הקצאה.
7. מעדכנים את הקצאות הרמות לקבוצה.
8. לוחצים על שמירה.

ההגדרה לקבוצת משתמשים לא מופיעה ברשימת הקבוצות

• יכול להיות שהקבוצה נוצרה בקבוצות Google. נסו ליצור קבוצה במסוף Admin.
• מחפשים את כתובת האימייל של הקבוצה ולא את השם שלה.
• כדאי לנסות לרענן את דף ההגדרות. השינויים ייכנסו לתוקף תוך 24 שעות (בדרך כלל מהר יותר). מידע נוסף
• צריכות להיות לכם הרשאות אדמין בקבוצות.

למשתמש אין את רמת הגישה הנכונה

• בודקים את חברי הקבוצה של משתמש. השינויים ייכנסו לתוקף תוך 24 שעות (בדרך כלל מהר יותר). מידע נוסף
• מוצאים את קבוצת ההגדרות שקובעת את ההגדרות של המשתמש. אם המשתמש שייך לכמה קבוצות משתמשים, יכול להיות שתצטרכו לשנות את סדר העדיפויות של הקבוצות או את החברות של המשתמש בקבוצה.
• יכול להיות שלמשתמש אין רישיון למוצר שכולל את התכונה. בקרת גישה מבוססת-הקשר זמינה במהדורות מסוימות של Google Workspace.
• אם המשתמש לא יכול לגשת לאפליקציה, יכול להיות שהוקצתה לאפליקציה רמת גישה שנמחקה. מסמנים את האפשרות הסרת רמת גישה שנמחקה.

כדי לראות שינויים בהגדרות של קבוצת תצורה, אפשר לבדוק את האירועים האלה ביומן הביקורת של האדמין:

אירוע: שינוי בהקצאות ספציפיות לאפליקציה של רמת גישה מבוססת-הקשר