המאמר הזה מיועד לאדמינים ב-IT שצריכים להקצות יותר מ-50,000 חשבונות משתמשים בזמן מוגבל.
כדי להקצות חשבונות במהירות ובקנה מידה גדול, אפשר להשתמש בפתרונות של צד שלישי. לדוגמה, Google Apps Manager (GAM) הוא כלי חינמי שניתן להורדה וקוד המקור שלו פתוח. הוא משתמש ב-SDK לאדמינים Directory API כדי ליצור ולנהל משתמשים וקבוצות ב-Google Workspace.
GAM פועל באינטראקציה עם ממשקי API רבים של Google, שבהם אפשר להשתמש גם כדי לנהל תכונות ומשאבים אחרים בחשבון. מידע נוסף על שילובים עם צדדים שלישיים זמין בדף ההדרכות פתרונות עם Google Cloud.
לפני שמתחילים
הקצאת חשבונות בקנה מידה גדול מחייבת:
- מתקן עם הנחיות בשורת הפקודה
- חשבון Google Workspace בתשלום שהוא:
שלב 1: מניעת התנגשויות בין חשבונות
יכול להיות שלחלק מהמשתמשים שלכם יש חשבון Google אישי, כמו כתובת Gmail, שיכול ליצור התנגשויות כשאתם מקצים להם חשבון חדש ומנוהל ב-Google Workspace או ב-Cloud Identity. כדי למנוע בעיות כאלה:
שלב 2: יוצרים מבנה ארגוני פשוט ושטוח
מומלץ להימנע מיצירה של היררכיה מורכבת של יחידות ארגוניות עם הרבה רמות. אפשר לשנות את ההיררכיה ולהעביר משתמשים בשלב מאוחר יותר. כמה טיפים להגדרת מבנה ארגוני פשוט:
- מתמקדים בשירותים ובתכונות שהמשתמשים שאתם מנהלים צריכים לגשת אליהם.
- הגבלת הזמינות של שירותים ותכונות ביחידה הארגונית ברמה העליונה, ומתן גישה ליחידות בת ארגוניות.
דוגמה לשימוש בתכונה 'השכלה'
בטבלה שלמטה, המבנה בצד ימין מציג את המבנה בפועל של הארגון. יכול להיות שיהיה קשה לנהל את המבנה הזה בהתחלה, למשל אם צריך להעניק למורים שוב ושוב גישה לתכונות מתקדמות של Google Meet עבור יחידות ארגוניות רבות בבית הספר.
המבנה המוצע מתמקד בפונקציונליות. אדמינים יכולים להשבית בקלות שירותים ותכונות לכל התלמידים ביחידה הארגונית /Students. לדוגמה, אפשר להשבית את האפשרות לשחזור סיסמה בשירות עצמי ולהחיל הגבלות על YouTube. אפשר גם להפעיל פונקציות מתקדמות למורים ולחברי צוות אחרים, כמו סטרימינג והקלטה של פגישות ב-Meet ואימות דו-שלבי.
| דוגמה למבנה ארגוני | מבנה ארגוני מומלץ |
|---|---|
|
|
|
דוגמה לארגון גדול
קודם כול, צריך להגדיר אילו שירותים ותכונות המשתמשים צריכים. לאחר מכן צריך:
- ההגדרות האלה חלות על היחידה הארגונית ברמה העליונה.
אלא אם תשנו את ההגדרות האלה, יחידות צאצא ארגוניות יקבלו אותן בירושה. דוגמאות: - כדי להוסיף שכבת אבטחה, אפשר לדרוש מהמחלקות להשתמש באימות דו-שלבי.
| דוגמה למבנה ארגוני | מבנה ארגוני מומלץ |
|---|---|
|
|
|
שלב 3: מכינים מקור נתונים
יוצרים קובץ ערכים מופרדים בפסיקים (CSV) עם הנתונים הדרושים כדי להמשיך בתהליך של יצירת חשבונות משתמשים. שדות חובה:
- FirstName
- שם משפחה
- PrimaryEmail – כתובת האימייל שבאמצעותה המשתמש ייכנס לחשבון
- סיסמה – חייבת לכלול לפחות 8 תווים
OrgUnit – כדי ליצור משתמשים ביחידות הארגוניות המתאימות, תוך התחשבות בהמלצות שלמעלה
הערה: מזינים
/(קו נטוי לפנים) כדי למקם משתמשים ביחידה הארגונית ברמה העליונה (הבסיסית). מפרידים בין יחידות צאצא ארגוניות באמצעות קו נטוי – לדוגמה,/Staff/Teachers.
דוגמה לשימוש בתכונה 'השכלה'
FirstName,LastName,PrimaryEmail,Password,OrgUnit
Jane,Doe,id12345678@students.example.com,Zee+HWdt,/Students
John,Smith,john.smith@example.com,X2Ae+pME,/Staff
דוגמה לארגון גדול
FirstName,LastName,PrimaryEmail,Password,OrgUnit
Jane,Doe,jane.doe@example.co.uk,V8hmj/QE,/
John,Smith,john.smith@example.com,9/t0UHQ6,/Sales
שלב 4: הגדרת GAM
אם אתם רוצים להשתמש ב-GAM, מומלץ לפעול לפי השלבים הבאים:
- ב-GAM בגרסה 5.10 ומעלה, לפני שמריצים את GAM בפעם הראשונה, צריך ליצור קובץ בשם noshorturls.txt באותה תיקייה שבה נמצא GAM.
הפקודה הזו משביתה את כתובות ה-URL הקצרות של gam-shortn.appspot.com. - באתר GAM, מורידים את GAM.
- הגדרת הכלי
- במהלך ההגדרה, כשמוצגת השאלה 'האם אתה מוכן לאשר ל-GAM לנהל את הנתונים וההגדרות של משתמשי Google Workspace?', משיבים N (לא) כדי לדלג על הענקת הרשאות ברמת הדומיין.
הפקודה הזו עוזרת לכם לוודא ש-GAM משויך לחשבון Google Workspace הנכון:
gam info domain
שלב 5: יצירת כמה משתמשים באמצעות GAM
כדי ליצור את המשתמשים, GAM קורא מקובץ ערכים מופרדים בפסיקים (CSV) ושולח את הבקשות הרלוונטיות אל ממשק SDK לאדמינים Directory API.
אם יצרתם קובץ CSV עם השדות שצוינו בשלב 3 למעלה, הפקודה הזו יוצרת את המשתמשים בקובץ ה-CSV:
gam csv users.csv gam create user ~PrimaryEmail firstname ~FirstName lastname ~LastName password ~Password org ~OrgUnit changepassword on
צריך לוודא שביצעתם את הפעולות הבאות:
- יוצרים סיסמה ייחודית לכל משתמש.
- אפשר להשתמש בפרמטר האופציונלי
changepassword onכדי לחייב את המשתמש לשנות את הסיסמה אחרי הכניסה הראשונה.
אפשרות חלופית: מה קורה אם חסרים שדות במקור הנתונים?
אם במקור הנתונים יש רק שם פרטי ושם משפחה וסיסמה אחת לכל משתמש, אפשר ליצור שמות משתמשים בפורמט first.last@example.com. למשתמש בשם Charlie Smith, משתמשים ב-Charlie.Smith@example.com.
הפקודה היא:
gam csv users.csv gam create user ~~FirstName~~.~~LastName~~@example.com password ~Password changepassword on
הגישה הזו מניחה שלאף משתמש אין:
- אותו שם
- השם הפרטי ושם המשפחה עם:
- מרחבים
- תווים אחרים שאסור להשתמש בהם
הנחיות למתן שמות למשתמשים ולקבוצות
שאלות
איפה אפשר למצוא מידע על הגשת בקשה וקבלת אישור ל-Google Workspace for Education?
פרטים על התהליך של Google Workspace for Education מופיעים במאמרים הבאים:
- איך מתחילים לעבוד עם Google Workspace for Education
- שאלות נפוצות על Google Workspace for Education
איפה אפשר למצוא מידע על G Suite לעמותות?
מידע נוסף על ההטבות של התוכנית, הנחיות התאמה לתוכנית ועוד זמין במרכז העזרה של Google לעמותות.
אין לי גישה למסוף Admin או לחשבון האדמין שלי. מה לעשות?
עוברים אל דף הכניסה, מזינים את שם המשתמש ולוחצים על שכחת את הסיסמה?
אם פעלתם לפי ההנחיות אבל עדיין לא הצלחתם לשחזר את הגישה, תוכלו לפנות לתמיכה של Google Cloud. תצטרכו לספק הוכחה לבעלות על הדומיין ולענות על כמה שאלות אבטחה.
איך אפשר לוודא שהדומיין שלי אומת?
אחרי שיוצרים חשבון Google Workspace, מתבקשים לאמת את הבעלות על הדומיין. אם אתם לא זוכרים שעשיתם את זה, אתם יכולים להיכנס למסוף Admin, לעבור לקטע 'דומיינים' וללחוץ על ניהול דומיינים.
הדומיין הראשון שמופיע הוא הדומיין הראשי. בעמודה 'סטטוס' אפשר לראות אם נדרש אימות של הדומיין.
האם צוות התמיכה של Google Cloud יכול לעזור לי בשאלות לגבי GAM?
צוות התמיכה של Google Cloud לא תומך בפתרונות האלה או בפתרונות אחרים של צד שלישי, אלא רק ב-Admin SDK Directory API שבו הכלים האלה משתמשים. אנחנו לא יכולים לעזור בשימוש בכלי GAM עצמו, אבל אנחנו יכולים לעזור אם ממשקי ה-API הבסיסיים מחזירים שגיאות, במיוחד Admin SDK Directory API. מידע נוסף על פקודות וטכניקות של GAM זמין ב-GAM Wiki.
צריך עזרה ב-GAM? אפשר לפנות לקהילת האדמינים של Google Workspace שמוכנים להציע תמיכה בקבוצת הדיון של GAM.
אם לדעתכם יש בעיה ב-Admin SDK Directory API, עליכם לספק לתמיכה של Google Cloud את הפרטים הבאים:
- ה-method של ה-HTTP ונקודת הקצה (endpoint) שהפתרון של הצד השלישי קורא להם (לדוגמה,
POST /admin/directory/v1/users?fields=primaryEmail) -
קוד התגובה וההודעה (לדוגמה, 403: אין לך הרשאה לגשת למשאב או ל-API הזה – אסור)
- תאריך בכותרת HTTP של התגובה (לדוגמה, Date: Wed, 22 Jun 2020 17:48:48 GMT)
- הישות שמבצעת את הקריאה: שם משתמש, חשבון שירות או מזהה פרויקט ב-Google Cloud
הסירו מידע כמו שמות, סיסמאות, כותרות של בקשות אימות, כתובות IP, ערכים של סכימות מותאמות אישית או כל מידע אחר שאתם מחשיבים כרגיש.
המכסה של הפרויקט שלי עומדת להיגמר. מה לעשות?
המכסות שמוגדרות כברירת מחדל אמורות להספיק לרוב הלקוחות. מידע נוסף על מגבלות API זמין במאמר Directory API: Limits and Quotas.
אם אתם עדיין רוצים להגדיל את המכסה בפרויקט, תוכלו לעיין בדרישות שבקטע המכסות במסוף Google Cloud:
- פותחים את מסוף Google Cloud.
- בוחרים את הפרויקט שנוצר ב-GAM בחלק העליון.
- בצד ימין, לוחצים על תפריט הניווט
> IAM & Admin > Quotas. - בקטע שירות, מסננים לפי SDK לאדמינים (רלוונטי להקצאת הרשאות למשתמשים).
- בוחרים את הפריטים שרוצים לבקש להגדיל את המכסה שלהם.
- למעלה, לוחצים על עריכת מכסות.
כדי להפעיל את החיוב בפרויקט בענן של Google שנוצר על ידי GAM, עוברים אל איך מפעילים את החיוב בפרויקטים הנוכחיים.