ในฐานะผู้ดูแลระบบ คุณสามารถอนุญาตให้ผู้ใช้ภายนอกเข้าถึงเนื้อหาที่เข้ารหัสด้วยการเข้ารหัสฝั่งไคลเอ็นต์ (CSE) ของ Google Workspace ได้ โดยวิธีให้สิทธิ์เข้าถึงจากภายนอกทำได้ 2 วิธี ดังนี้
- ตั้งค่าการเข้าถึงสําหรับองค์กรภายนอกที่ใช้ CSE เช่นกัน วิธีนี้จะช่วยให้คุณมอบสิทธิ์เข้าถึงเนื้อหาที่เข้ารหัสแก่องค์กรภายนอกได้หากองค์กรมีคุณสมบัติตรงตามข้อกําหนดของผู้ใช้และ CSE
- กำหนดค่าผู้ให้บริการข้อมูลประจำตัว (IdP) ของผู้เข้าร่วมเพื่ออนุญาตการเข้าถึงสำหรับผู้ใช้ภายนอก วิธีนี้จะช่วยให้ผู้ใช้มอบสิทธิ์เข้าถึงเนื้อหาที่เข้ารหัสฝั่งไคลเอ็นต์แก่ทั้งบัญชี Google และบัญชีที่ไม่ใช่ของ Google ได้ องค์กรภายนอกไม่จำเป็นต้องตั้งค่า CSE และผู้ใช้ขององค์กรภายนอกก็ไม่ต้องใช้ใบอนุญาต Google Workspace หรือ Cloud Identity
ขณะนี้การกำหนดค่า IdP ของผู้มาเยือนจะใช้ได้กับเว็บแอปพลิเคชัน Google Meet, ไดรฟ์, เอกสาร, ชีต และสไลด์เท่านั้น ทั้งนี้การกำหนดค่า IdP ของผู้มาเยือนสำหรับแอปพลิเคชันบนอุปกรณ์เคลื่อนที่ของบริการเหล่านี้จะพร้อมใช้งานในรุ่นที่กำลังจะเปิดตัว
เกี่ยวกับการเข้าถึงอีเมลที่เข้ารหัส: ผู้ใช้สามารถแลกเปลี่ยนข้อความอีเมลที่เข้ารหัสฝั่งไคลเอ็นต์กับผู้ใช้ภายนอกได้หากผู้ใช้ภายนอกใช้ S/MIME โดยไม่จำเป็นต้องตั้งค่าอื่นๆ อีก และผู้ใช้ภายนอกก็ไม่ต้องใช้ใบอนุญาต Google Workspace หรือ Cloud Identity โปรดดูรายละเอียดเกี่ยวกับการรับส่งอีเมลที่เข้ารหัสฝั่งไคลเอ็นต์ที่หัวข้อดูข้อมูลเกี่ยวกับการเข้ารหัสฝั่งไคลเอ็นต์ของ Gmail
ตั้งค่าการเข้าถึงภายนอกสําหรับองค์กรภายนอกที่ใช้ CSE
หากองค์กรภายนอกและองค์กรของคุณมีคุณสมบัติตรงตามข้อกำหนดต่อไปนี้ คุณสามารถให้สิทธิ์เข้าถึงเนื้อหาที่เข้ารหัสฝั่งไคลเอ็นต์ขององค์กรสำหรับไดรฟ์และเอกสาร ปฏิทิน และ Meet แก่บุคคลภายนอกได้
ผู้ใช้ภายนอกต้องมีใบอนุญาต Google Workspace หรือ Cloud Identity จึงจะเข้าถึงข้อมูลที่เข้ารหัสด้วย CSE ได้
หมายเหตุ: วิธีการเข้าถึงจากภายนอกนี้จะช่วยให้ผู้ใช้ที่มีบัญชี Google สำหรับผู้ใช้ทั่วไป (ไม่มีการจัดการ) หรือบัญชีผู้เข้าชมเข้าถึงเนื้อหาที่เข้ารหัสฝั่งไคลเอ็นต์ขององค์กรไม่ได้
- เพิ่มบริการ IdP ขององค์กรภายนอกในรายการที่อนุญาตกับบริการจัดการคีย์การเข้ารหัส โดยปกติแล้ว คุณจะพบบริการ IdP ในไฟล์ .well-known แบบสาธารณะ ในกรณีที่มีการติดตั้งไว้ หรือติดต่อผู้ดูแลระบบ Google Workspace ขององค์กรภายนอกเพื่อขอรายละเอียดเกี่ยวกับ IdP
- ตรวจสอบว่าผู้ดูแลระบบเข้าใจว่าผู้ใช้ขององค์กรนั้นต้องมอบโทเค็นการตรวจสอบสิทธิ์แก่บริการจัดการคีย์ของคุณเพื่อดูหรือแก้ไขเนื้อหาที่เข้ารหัสขององค์กร กระบวนการตรวจสอบสิทธิ์กำหนดให้ผู้ใช้ต้องแชร์ที่อยู่ IP และข้อมูลประจำตัวอื่นๆ โปรดดูรายละเอียดที่หัวข้อโทเค็นการตรวจสอบสิทธิ์ในคู่มืออ้างอิงสำหรับ API การเข้ารหัสฝั่งไคลเอ็นต์
- นอกจากนี้ ผู้ดูแลระบบยังอาจต้องสร้างรหัสไคลเอ็นต์สำหรับเว็บและอุปกรณ์เคลื่อนที่แยกต่างหากสำหรับการเข้าถึงเนื้อหาที่เข้ารหัสขององค์กร ทั้งนี้ขึ้นอยู่กับนโยบายความปลอดภัยของคุณและองค์กรภายนอก คุณจะต้องมีรหัสไคลเอ็นต์ดังกล่าวอยู่ในรายการที่อนุญาตพร้อมกับบริการจัดการคีย์การเข้ารหัส
กำหนดค่า IdP ของผู้มาเยือนสำหรับผู้ใช้ภายนอก
หากต้องการให้องค์กรภายนอกเข้าถึงเนื้อหาที่เข้ารหัสฝั่งไคลเอ็นต์ได้ คุณสามารถกำหนดค่า IdP ของผู้เข้าร่วมเพื่อตรวจสอบสิทธิ์ผู้ใช้ภายนอก โดยใช้ IdP เดียวกันกับที่คุณใช้หรือรายการอื่น เมื่อใช้ IdP ของผู้มาเยือน ผู้ใช้ของคุณจะแชร์เนื้อหาที่เข้ารหัสกับผู้อื่นในองค์กรภายนอกได้ ไม่ว่าองค์กรเหล่านั้นจะใช้ CSE ด้วยหรือไม่ก็ตาม
หมายเหตุ: หากคุณได้ตั้งค่าการเข้าถึงภายนอกสำหรับองค์กรที่ใช้ CSE เช่นเดียวกันไปแล้ว (ตามที่อธิบายไว้ก่อนหน้าในหน้านี้) ระบบจะไม่สนใจการตั้งค่าดังกล่าวเมื่อคุณกำหนดค่า IdP สำหรับผู้เข้าร่วม
ทำตามวิธีการเพื่อตั้งค่า IdP ในหัวข้อเชื่อมต่อกับผู้ให้บริการข้อมูลประจำตัวสำหรับการเข้ารหัสฝั่งไคลเอ็นต์ ในระหว่างการตั้งค่า คุณจะดำเนินการดังนี้
- เลือก IdP ที่เป็นไปตามข้อกำหนดของ OIDC - สำหรับ Google Meet คุณจะใช้ IdP ของบุคคลที่สามหรือข้อมูลประจำตัวของ Google ก็ได้ แต่สำหรับ Google ไดรฟ์และเครื่องมือแก้ไขเอกสาร คุณจะใช้ IdP ของบุคคลที่สามได้เท่านั้น ข้อจำกัดนี้ช่วยให้มั่นใจได้ว่าผู้มาเยือนจะเข้าถึงการสนับสนุนสำหรับบัญชีผู้เข้าชม โดย IdP ของบุคคลที่สามอาจเป็น IdP เดียวกันกับที่คุณใช้สำหรับผู้ใช้หรือเป็นอย่างอื่นก็ได้
- สร้างรหัสไคลเอ็นต์เพิ่มเติมสำหรับ Google Meet - ในระหว่างขั้นตอนการสร้างรหัสไคลเอ็นต์สำหรับเว็บเซอร์วิส คุณจะต้องสร้างรหัสไคลเอ็นต์เพิ่มเติมสำหรับ Google Meet
ระบบจะใช้รหัสไคลเอ็นต์หลักสำหรับเว็บเซอร์วิสสำหรับบริการเข้ารหัสคีย์และจะไม่แชร์กับระบบของ Google ระบบจะใช้รหัสไคลเอ็นต์เพิ่มเติมสำหรับ Meet เพื่อยืนยันว่าผู้เข้าร่วมที่ไม่ได้ลงชื่อเข้าใช้ Meet ได้รับเชิญให้เข้าร่วมการประชุม
- ใช้คอนโซลผู้ดูแลระบบเพื่อกำหนดค่า IdP ของผู้มาเยือน - คุณต้องใช้คอนโซลผู้ดูแลระบบเพื่อกำหนดค่าการเชื่อมต่อ IdP ของผู้มาเยือน และเลือกตัวเลือกกำหนดค่า IdP ของผู้มาเยือน ทั้งนี้คุณจะกำหนดค่า IdP ของผู้เข้าร่วมโดยใช้ไฟล์ .well-known ไม่ได้
หลังจากกำหนดค่า IdP ในคอนโซลผู้ดูแลระบบเสร็จแล้ว คุณสามารถใช้เครื่องมือของ IdP เพื่อตั้งค่าวิธีตรวจสอบสิทธิ์ผู้ใช้ภายนอกได้ คุณอาจมีตัวเลือกต่อไปนี้ โดยขึ้นอยู่กับการใช้งาน IdP ของผู้มาเยือน
- ตั้งค่าบัญชีแยกต่างหากสำหรับผู้เข้าร่วมและมอบรหัสผ่านของบัญชีให้ผู้เข้าร่วม
- ส่งรหัสแบบใช้ครั้งเดียวให้ผู้มาเยือนเพื่อยืนยันอีเมล
- อนุญาตให้ผู้เข้าร่วมใช้ IdP ที่กำหนดค่าล่วงหน้า เช่น Google, Apple หรือ Microsoft
หมายเหตุ: ผู้ใช้จะลงชื่อเข้าใช้ด้วยบัญชี Google ได้โดยใช้ข้อมูลประจำตัวของ Google หากผู้ใช้ยังไม่มีบัญชี ให้สร้างบัญชี
ไม่ว่าจะเป็นวิธีการตรวจสอบสิทธิ์ใดก็ตาม ผู้เข้าร่วมจะเห็นข้อความป๊อปอัปเพื่อขอให้ลงชื่อเข้าใช้ระบบผู้ให้บริการข้อมูลประจำตัวก่อนที่จะเข้าถึงเนื้อหาที่เข้ารหัสฝั่งไคลเอ็นต์ได้
