Как администратор, вы можете запретить доступ к сервисам Google пользователям в вашей корпоративной сети, если они пытаются войти в эти сервисы с помощью личных аккаунтов Gmail или управляемых аккаунтов Google другого домена.
Примечание. Если вы заблокируете доступ для обычных пользователей, они могут получать следующее сообщение об ошибке: "В этот аккаунт нельзя входить в сети, к которой вы подключены".
Как разрешить доступ только из определенных доменов
Доступно для устройств с ChromeOS.
Чтобы пользователи могли работать с сервисами Google только в аккаунтах, относящихся к указанным вами доменам Google Workspace, выполните следующие действия:
Подготовка. Если вам нужно подготовить отдел или группу для этого параметра, ознакомьтесь со статьей Как добавить организационное подразделение.
-
Войдите в Консоль администратора Google как администратор.
Войти в консоль администратора можно, только если вы используете аккаунт администратора.
-
Нажмите на значок меню
Устройства > Chrome > Настройки. По умолчанию откроется страница Настройки пользователей и браузеров.
У вас должны быть права администратора на управление мобильными устройствами.
Если вы зарегистрировались в системе облачного управления браузером Chrome, нажмите на значок меню
Браузер Chrome > Настройки.
- Чтобы применить параметр к отделу или команде, выберите сбоку организационное подразделение. Инструкции
- Выберите Взаимодействие пользователей с системой
Вход в дополнительные аккаунты.
- Выберите Разрешить пользователям входить только в перечисленные ниже домены Google Workspace.
- Введите домены вашей организации.
В противном случае сервисы Google могут быть недоступны для пользователей.
Примечание. В список уже включен gserviceaccounts.com – важный домен для аутентифицированных сервисных аккаунтов. - Если вы хотите включить обычные аккаунты Google, такие как @gmail.com и @googlemail.com, введите в списке следующий текст: consumer_accounts.
- Если нужно включить аккаунты Google посетителей, не включая обычные аккаунты Google, введите visitor_accounts в списке и не вводите consumer_accounts.
- Нажмите Сохранить.
Обычно настройки вступают в силу через несколько минут, но иногда этот процесс может занимать до часа.
Дальнейшие действия
- В разделе "Пользователи и браузеры" можно отключить режим инкогнито. Для этого выберите Режим инкогнито
- Чтобы в аккаунт на устройстве с ChromeOS могли войти только пользователи организации, задайте правило "Ограничение доступа". Подробнее об ограничении входа…
- Отключите гостевой режим на устройствах. Подробнее о гостевом режиме…
Как ограничить доступ к сервисам с помощью прокси-сервера
Шаг 1. Выберите прокси-сервер
- Добавляет заголовки во все запросы, поступающие на адрес *.google.com. В заголовках указываются домены, из которых доступ к сервисам Google разрешен.
- Поддерживает функции перехвата SSL-трафика. Это необходимо, поскольку основная часть трафика сервисов Google шифруется.
Выберите подходящий прокси-сервер и ознакомьтесь с инструкциями о том, как с помощью него заблокировать сервисы Google.
- Направьте весь трафик на адрес *.google.com через ваши прокси-серверы.
- Включите SSL-перехват на прокси-сервере.
- Настройте клиентские устройства как доверенные для прокси-сервера SSL.
- Разверните внутренний корневой сертификат, используемый прокси-сервером.
- Сделайте этот сертификат доверенным.
- Убедитесь, что при отправке запроса на адрес *.google.com выполняются перечисленные ниже действия.
- Запрос перехватывается.
- К нему добавляется HTTP-заголовок X-GoogApps-Allowed-Domains:, за которым следует список разрешенных доменных имен, разделенных запятой.
Включите в этот список свой домен, зарегистрированный в Google Workspace, а также все добавленные вами дополнительные домены.
Пример:X-GoogApps-Allowed-Domains: mydomain1.com, mydomain2.com
- Чтобы разрешить пользователям входить в определенные аккаунты, добавьте к заголовку следующие значения:
- domain_name: для аккаунтов определенных доменов, например altostrat.com и tenorstrat.com для аккаунтов, оканчивающихся на @altostrat.com и @tenorstrat.com.
- consumer_accounts – для обычных аккаунтов Google, таких как @gmail.com и @googlemail.com.
- visitor_accounts – для аккаунтов Google посетителей.
Чтобы разрешить пользователям входить в аккаунты посетителей, но не в обычные аккаунты, добавьте в заголовок visitor_accounts и исключите consumer_accounts. - gserviceaccounts.com – для аутентифицированных сервисных аккаунтов.
- Чтобы запретить пользователям вставлять собственные заголовки, создайте соответствующее правило для прокси-сервера.
Примечания
- Этот способ позволяет блокировать вход в аккаунты всех пользовательских сервисов Google, кроме Поиска, но не предотвращает анонимный доступ к ним.
- Если добавить HTTP-заголовок X-GoogApps-Allowed-Domains, пользователи не смогут получить доступ к делегированным почтовым ящикам из доменов, которые не указаны в заголовке.
Часто задаваемые вопросы
Что произойдет, если неавторизованные аккаунты попытаются получить доступ к сервисам?
- описанием недоступного сервиса;
- именем используемого неавторизованного аккаунта;
- списком доменов, для которых сервис доступен;
- предложением обратиться к администратору за дополнительной информацией, выйти из неавторизованного аккаунта и снова войти с помощью авторизованного.
Что произойдет с сервисами, которые не требуют аутентификации?
Почему я не могу фильтровать трафик?
Google, Google Workspace, а также другие связанные знаки и логотипы являются товарными знаками компании Google LLC. Все другие названия компаний и продуктов являются товарными знаками соответствующих компаний.