Kontextsensitiven Zugriff mit Konfigurationsgruppen nutzen

Normalerweise definieren Sie Zugriffsebenen für Organisationseinheiten und legen dann benutzerdefinierte Zugriffsebenen für Konfigurationsgruppen fest. Beispiel: Sie haben Konfigurationsgruppen zum „Zugriff öffnen“ oder „Zugriff sperren“, sodass Sie schnell Zugriff für bestimmte Nutzer gewähren oder einschränken können.

In der Regel verwenden Sie eine Kombination aus Konfigurationsgruppen:

Vorhandene Nutzergruppen verwenden

Sie legen die Zugriffsebene für jede App in der Nutzergruppe fest, z. B. für Gmail oder Google Drive. Wenn ein Nutzer mehreren Gruppen angehört, legen Sie fest, welche Gruppe die Einstellungen für ihn bestimmt. Das wird weiter unten im Abschnitt Priorität näher beschrieben.

Zugriffsebenen direkt auf Nutzergruppen anzuwenden, ist eine gute Option, wenn Sie Folgendes tun möchten:

• Kontextsensitiven Zugriff testen
• Zugriff für bestimmte Nutzergruppen verwalten, z. B. für IT-Mitarbeiter oder ein Außenteam
• Zugriff für Organisationen mit weniger als 50 Nutzern oder einer geringen Anzahl von Zugriffsebenen verwalten. Sie müssen keine weiteren Gruppen erstellen und können Einstellungen für jede Nutzergruppe genau abstimmen.

Konfigurationsgruppen basierend auf Zugriffsebenen erstellen

Alternativ können Sie Gruppen auch Zugriffsebenen zuweisen. Sie erstellen eine Konfigurationsgruppe und weisen Zugriffsebenen für eine oder mehrere Apps zu. Anschließend fügen Sie ihr Nutzergruppen als Mitglieder hinzu.

Für größere Organisationen ist dieser Ansatz womöglich hilfreich bei der Verwaltung von Zugriffsgruppenrichtlinien und -prioritäten (wie unten beschrieben).

Wenn ein Nutzer zu mehreren Konfigurationsgruppen gehört, legen Sie fest, welche davon den App-Zugriff des Nutzers bestimmt.

In der Google Admin-Konsole müssen Sie zuerst eine Anwendung auswählen, damit die entsprechende Gruppenprioritätsliste angezeigt wird. Gruppen werden von der höchsten bis zur niedrigsten Priorität aufgelistet. Eine neue Konfigurationsgruppe hat immer die niedrigste Priorität und wird in einer Konfigurationsgruppenliste an unterster Stelle aufgeführt.

Priorität für den kontextsensitiven Zugriff

Ein Nutzer erhält die App-Einstellungen der Gruppe mit der höchsten Priorität, der er angehört. Wenn die Gruppe keine Zugriffsebene für eine bestimmte App hat, wird die Zugriffsebene der Gruppe mit der nächsthöheren Priorität verwendet usw.

In der Admin-Konsole können Sie nachsehen, welche Gruppe oder Organisationseinheit die App-Zugriffsebene eines Nutzers bestimmt hat. Im Beispiel unten wurde mit der Gruppe Drive-Sicherheit der Google Drive-Zugriff des Nutzers festgelegt.

Apps des Nutzers	Zugriffsebenen	Übernommen von
Google Kalender	Unternehmensnetzwerk	Organisationseinheit: Vertrieb
Drive	Unternehmensnetzwerk, Gerätesicherheit	Gruppe: Drive-Sicherheit
Gmail	Gerätesicherheit	Organisationseinheit: Vertrieb
Google Vault	<none>	<none>

Wenn Sie detailliertere Einstellungen brauchen, können Sie die Zugriffsebenen für jede App mithilfe von Gruppen anpassen. Beispiel:

Apps des Nutzers	Zugriffsebenen	Übernommen von
Kalender	Unternehmensnetzwerk	Organisationseinheit: Vertrieb
Drive	Unternehmensnetzwerk, Gerätesicherheit	Gruppe: Drive-Sicherheit
Gmail	Gerätesicherheit, Geografie Kanada	Gruppe: Nordamerika
Vault	Geräteeinschränkung, Unternehmensnetzwerk	Gruppe: Vault-Prüfer

Priorität auf Konfigurationsgruppen anwenden

• Sie können kritische oder sensible Konfigurationsgruppen mit hoher Priorität einrichten. Ihre Gruppe mit der höchsten Priorität ist dann beispielsweise eine Gruppe mit dem Status „Dringender Zugriff“, die alle Gruppen überschreibt, die den Zugriff beschränken.
  

• Zugriffsebenen werden nicht gruppenübergreifend hinzugefügt. In diesem Beispiel gehört ein Nutzer zu drei Nutzergruppen, die Zugriffsebene wird aber nur von der Konfigurationsgruppe mit der höchsten Priorität Gerät festgelegt.
  

Die Struktur Ihrer Konfigurationsgruppen zu planen, ist zeitaufwendig und muss gut durchdacht sein.

Gruppen benennen und suchen

Mit einer Namenskonvention lassen sich Gruppen leichter suchen, priorisieren und prüfen. Beispielsweise können Sie eine kontextsensitive Konfigurationsgruppe mit einem Präfix wie ksk kennzeichnen. Außerdem sollten Sie Dezimalstellen verwenden, damit Sie vorhandene Gruppennamen nicht umbenennen müssen, wenn Sie eine neue Konfigurationsgruppe einfügen.

			Nach Gruppenadresse suchen
			Liste der Gruppen ansehen

<ul>
  <li><b>Search for a group:</b> You might want to set up a naming standard that includes the setting name and priority number, for example:</li>

<blockquote>
<p>caa_p0.0_unrestricted_access@example.com<br>
  caa_p1.0_lockdown_access@example.com<br>
  caa_p3.0_Gmail_IP_Device@example.com<br>
  caa_p3.1_Gmail_IP@example.com</p>

<ul>
  <li><b>View the groups:</b> The Groups panel displays the <b>group name</b> (maximum of 37 characters) in the priority order. Pointing to a group shows the full name. For example:</li>

<blockquote>
<p>CAA p0.0 - Unrestricted access all apps<br>
  CAA p1.0 - Lockdown access<br>
  CAA p3.0 - Gmail IP corp &amp; device security<br>
  CAA p3.1 - Gmail IP corp</p>

<p><b>Ordering groups</b></p>

<p>To keep track of priority and settings:</p>

<ul>
  <li>You might place groups that apply to the fewest users or define critical policies (such as "Lockdown access" or "All access") at the highest priority.</li>
  <li>Consider priority in your group structure and watch for deeply nested groups, which might be challenging to trace to settings.</li>

<p><b>Creating groups</b></p>

<p>You must use groups created in the Admin console, Directory API, or Google Cloud Directory Sync. Groups created in Google Groups can't be used as configuration groups. (The Admin console doesn't show whether a group was created in Google Groups.)</p>

<p>You can manage the configuration group in any tool. You might set strict permissions to add or delete users, turn off posting to the group, or prevent users from leaving the group (available only in the Groups API).</p>

Sie benötigen Administratorberechtigungen für Gruppen, Organisationseinheiten (oberste Ebene) und auf Dienste > Datensicherheit > Zugriffsebenen- und Regelverwaltung.

1. Gehen Sie in der Admin-Konsole zu „Menü“  SicherheitZugriffs- und DatenkontrolleKontextsensitiver Zugriff.

   Zu „Kontextsensitiver Zugriff“

   Erfordert die Administratorberechtigung "Dienste > Datensicherheit" mit Regelverwaltung sowie die Berechtigung für die Admin API "Gruppen" mit Leseberechtigung für "Nutzer".

2. Klicken Sie auf Zugriffsebenen zuweisen, um die Liste der Apps aufzurufen.
3. Klicken Sie im Bereich Kontextsensitiver Zugriff auf Gruppen.
4. Wählen Sie eine Option aus:
   • Klicken Sie auf eine App. Alle vorhandenen Konfigurationsgruppen, denen eine Zugriffsebene für Ihre App zugewiesen ist, werden nach Priorität geordnet aufgeführt.
   • Klicken Sie auf Nach einer Gruppe suchen, um eine Liste aller Gruppen aufzurufen, nicht nur Konfigurationsgruppen. Sie können Text eingeben, um die Ergebnisse zu filtern.
5. Klicken Sie auf die Gruppe. In der Anwendungstabelle werden alle Anwendungen samt ihren Zuweisungen von Zugriffsebenen aufgeführt.
   
   • Wenn Sie Ihre Gruppe nicht finden, wurde sie möglicherweise in Google Groups erstellt. Sie müssen Konfigurationsgruppen in der Admin-Konsole, in der Directory API oder in Google Cloud Directory Sync erstellen.
   • Fügen Sie zuerst die Konfigurationsgruppen nach absteigender Priorität hinzu. Wenn Sie eine neue Gruppenrichtlinie für eine App hinzufügen, erhält sie die niedrigste Priorität.
6. Klicken Sie auf eine oder mehrere Apps und dann auf Zuweisen.
7. Wählen Sie die Zugriffsebenen für die App in der Gruppe aus und klicken Sie auf Speichern. Standardmäßig sind einer neuen Gruppe keine Zugriffsebenen zugewiesen.
   
   
   
   Für Organisationen mit mehreren Arten von Google Workspace-Lizenzen: Die Zugriffsebenen für Gruppen gelten nur für Nutzer, denen eine Google Workspace-Version mit kontextbezogener Zugriffssteuerung zugewiesen wurde.