Jako administrator możesz chcieć uniemożliwić użytkownikom logowanie się w usługach Google przy użyciu kont innych niż te, które zostały im przypisane przez Ciebie. Na przykład możesz nie chcieć, aby użytkownicy w Twojej sieci firmowej używali swoich osobistych kont Gmail lub zarządzanych kont Google z innej domeny.
Uwaga: jeśli zablokujesz dostęp do kont indywidualnych, użytkownicy mogą zobaczyć taki komunikat o błędzie: „W tej sieci nie można zalogować się na to konto”.
Zezwalanie na dostęp tylko z określonych domen
Funkcja dostępna na urządzeniach z ChromeOS.
Aby zezwolić użytkownikom na dostęp do usług Google tylko za pomocą kont z określonych domen Google Workspace:
Zanim zaczniesz: jeśli musisz skonfigurować dział lub zespół dla tego ustawienia, przeczytaj artykuł Dodawanie jednostki organizacyjnej.
-
Zaloguj się na konto administratora w Konsola administracyjna Google.
Jeśli nie używasz konta administratora, nie możesz uzyskać dostępu do konsoli administracyjnej.
-
Kliknij Menu
Urządzenia > Chrome > Ustawienia. Domyślnie otworzy się strona Ustawienia użytkownika i przeglądarki.
Wymaga uprawnień administratora Zarządzanie urządzeniami mobilnymi.
Jeśli korzystasz z zarządzania przeglądarką Chrome w chmurze, kliknij Menu
Przeglądarka Chrome > Ustawienia.
- (Opcjonalnie) Aby zastosować ustawienie do działu lub zespołu, z boku wybierz jednostkę organizacyjną. Pokaż mi, jak to zrobić
- Kliknij Interfejs użytkownika
Logowanie się na kontach pomocniczych.
- Wybierz Zezwalaj użytkownikom na logowanie się tylko w domenach Google Workspace określonych poniżej.
- Wpisz domeny organizacji.
(Jeśli tego nie zrobisz, użytkownicy mogą nie mieć dostępu do usług Google).
Uwaga: strona gserviceaccounts.com jest uwzględniona i ma kluczowe znaczenie w przypadku uwierzytelnionych kont usługi. - (Opcjonalnie) Aby dołączyć konta Google dla użytkowników indywidualnych, na przykład zakończone na @gmail.com i @googlemail.com, wpisz na liście consumer_accounts.
- (Opcjonalnie) Aby dołączyć konta Google dla użytkowników zewnętrznych bez uwzględniania kont Google dla użytkowników indywidualnych, wpisz na liście visitor_accounts i nie wpisuj consumer_accounts.
- Kliknij Zapisz.
Zazwyczaj ustawienia są stosowane po kilku minutach. Może jednak minąć nawet godzina, zanim zaczną działać u wszystkich.
Dalsze kroki
- W ustawieniach dla opcji Użytkownicy i przeglądarki możesz też uniemożliwić użytkownikom przeglądanie w trybie incognito. Wybierz Tryb incognito
- Ustaw ograniczenie logowania, aby na urządzeniach z ChromeOS mogli logować się tylko użytkownicy z Twojej organizacji. Więcej informacji znajdziesz w sekcji Ograniczenie logowania się.
- Wyłącz przeglądanie jako gość na urządzeniach. Więcej informacji na temat trybu gościa znajdziesz tutaj.
Blokowanie kont za pomocą internetowego serwera proxy
Krok 1. Wybierz internetowy serwer proxy
- Będzie dodawał nagłówek do całego ruchu kierowanego na adres *.google.com – nagłówek identyfikuje domeny, z których użytkownicy mogą uzyskiwać dostęp do usług Google.
- Obsługuje przechwytywanie transmisji SSL – w związku z tym, że większość ruchu przesyłanego do i z usługi Google jest szyfrowana, serwer proxy musi też obsługiwać przechwytywanie transmisji SSL.
Przeczytaj szczegółowe instrukcje dostawców usług proxy dotyczące blokowania usług Google i wybierz serwer spełniający Twoje wymagania.
- Kieruj cały ruch wychodzący do google.com przez swoje internetowe serwery proxy.
- Włącz przechwytywanie transmisji SSL na serwerze proxy.
- Skonfiguruj każde urządzenie klienckie w taki sposób, by ufało Twojemu serwerowi proxy SSL:
- Wdróż wewnętrzny główny urząd certyfikacji używany przez serwer proxy.
- Oznacz go jako zaufany.
- Dla każdego żądania związanego z domeną *.google.com:
- Przechwyć żądanie.
- Dodaj nagłówek HTTP X-GoogApps-Allowed-Domains: zawierający listę dozwolonych nazw domen rozdzielonych przecinkami.
Dodaj do listy domenę, która posłużyła do rejestracji konta Google Workspace, i wszelkie domeny dodatkowe.
Przykład:X-GoogApps-Allowed-Domains: mojadomena1.com, mojadomena2.com
- Aby umożliwić użytkownikom logowanie się na określonych kontach, dodaj do nagłówka te wartości:
- nazwa_domeny w przypadku kont w określonych domenach – na przykład altostrat.com i tenorstrat.com dla kont, których nazwa kończy się na @altostrat.com i tenorstrat.com
- consumer_accounts w przypadku kont Google, na przykład w domenach @gmail.com i @googlemail.com
- visitor_accounts w przypadku kont Google dla użytkowników zewnętrznych
Aby zezwolić użytkownikom na logowanie się na konta dla użytkowników zewnętrznych, ale zablokować konta dla użytkowników indywidualnych, dodaj do nagłówka wpis visitor_accounts i wyklucz consumer_accounts. - gserviceaccounts.com w przypadku uwierzytelnionych kont usługi
- (Opcjonalnie) Utwórz zasady proxy, aby użytkownicy nie mogli wstawiać własnych nagłówków.
Uwaga:
- Ta metoda blokuje logowanie się w usługach Google innych niż wyszukiwarka Google, ale nie musi blokować dostępu anonimowego.
- Jeśli dodasz nagłówek HTTP X-GoogApps-Allowed-Domains, użytkownikom uzyskującym dostęp do skrzynek pocztowych z przekazanym dostępem z domeny, która nie znajduje się w nagłówku, będą wyświetlać się komunikaty o błędach.
Najczęstsze pytania
Co się dzieje, gdy nieautoryzowane konta próbują uzyskać dostęp do usług?
- Opisuje niedostępną usługę.
- Wyświetla nieautoryzowane konto, z którego korzysta użytkownik.
- Wyświetla domeny, w których usługa jest dostępna.
- Zawiera sugestię skontaktowania się z administratorem sieci w celu uzyskania dodatkowych informacji oraz prośbę o wylogowanie się z nieautoryzowanego konta i zalogowanie się na konto autoryzowane.
Co się dzieje z usługami, które nie wymagają uwierzytelniania?
Dlaczego nie mogę po prostu filtrować ruchu?
Google, Google Workspace oraz powiązane znaki i logotypy są znakami towarowymi firmy Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi odpowiednich podmiotów.