Como administrador, puedes impedir que tus usuarios inicien sesión en los servicios de Google con cuentas que no les has facilitado. Por ejemplo, puede que no quieras que los utilicen con sus cuentas de Gmail personales o con una cuenta de Google gestionada de otro dominio.
Nota: Al bloquear el acceso a cuentas de consumidor, es posible que los usuarios vean el mensaje de error indicando "Esta cuenta no puede iniciar sesión en esta red".
Bloquear cuentas mediante políticas de Chrome
Para permitir que solo los usuarios de ciertos dominios accedan a los servicios de Google, sigue estos pasos:
-
Inicia sesión en la consola de administración de Google.
Debes utilizar tu cuenta de administrador (no termina en @gmail.com).
-
En la página principal de la consola de administración, ve a Dispositivos
Administración de Chrome.
- Haz clic en Configuración de usuario y de navegador.
- Si quieres aplicar la configuración a todos los usuarios, deja seleccionado el nivel organizativo superior. De lo contrario, selecciona una unidad organizativa secundaria.
- Ve a Experiencia de usuario
- Selecciona Permitir que los usuarios solo inicien sesión en los dominios de Google Workspace especificados abajo.
- (Opcional) Para ver la lista de tus dominios, haz clic en dominios de tu organización, debajo del cuadro de la lista de dominios.
- Introduce la lista de todos los dominios de tu organización.
Si no lo haces, es posible que tus usuarios no tengan acceso a los servicios de Google.
Nota: gserviceaccounts.com es un dominio esencial para permitir cuentas de servicio autenticadas. - (Opcional) Si quieres incluir cuentas de consumidor de Google, como las que terminan en @gmail.com o en @googlemail.com, añade el siguiente texto a la lista: consumer_accounts
- Haz clic en Guardar.
- (Opcional) Para impedir que los usuarios naveguen en modo de incógnito:
-
En la página principal de la consola de administración, ve a Dispositivos
- Haz clic en Configuración de usuario y de navegador.
- Ve a Modo de incógnito
Para obtener más información, consulta el apartado Modo de navegación de incógnito. - Haz clic en Guardar.
-
- (Opcional) Te recomendamos que definas estas políticas de dispositivos adicionales:
- Aplica una restricción de inicio de sesión para que solo los usuarios de tu organización puedan iniciar sesión en dispositivos que utilizan Chrome OS. Para obtener más información, consulta el apartado Restricción de inicio de sesión.
- Desactiva la navegación como invitado en los dispositivos. Para ver más información, consulta el apartado Modo invitados.
Aunque los ajustes suelen hacerse efectivos en minutos, pueden tardar hasta una hora en propagarse a todos los usuarios.
Bloquear cuentas mediante un servidor proxy web
Paso 1: Elegir un servidor proxy web
- Añadir un encabezado a todo el tráfico dirigido a google.com: en este encabezado se identifican los dominios desde los que los usuarios pueden acceder a los servicios de Google.
- Permitir la interceptación del tráfico SSL: la mayoría del tráfico de los servicios de Google está cifrado, por lo que el servidor proxy también debe permitir que se intercepte el tráfico SSL.
Consulta instrucciones específicas sobre cómo bloquear servicios de Google a los proveedores de servicios de proxy que se indican a continuación, y selecciona un servidor que se adapte a tus necesidades.
Paso 2: Configurar la red para bloquear determinadas cuentas
- Dirige todo el tráfico de salida a google.com a través de tus servidores proxy web.
- Habilita la interceptación del tráfico SSL en el servidor proxy.
- Configura todos los dispositivos cliente para que confíen en tu proxy SSL:
- Implementa la autoridad de certificación raíz interna que usa el proxy.
- Indica que es de confianza.
- En cada solicitud de google.com:
- Intercepta la solicitud.
- Añade la cabecera HTTP X-GoogApps-Allowed-Domains: seguida de una lista de los nombres de dominio permitidos, separados por comas.
Asegúrate de que en esta lista se incluyan el dominio que has registrado en Google Workspace y los dominios secundarios que hayas añadido.
Ejemplo:X-GoogApps-Allowed-Domains: midominio1.com, midominio2.com
- Para permitir que los usuarios inicien sesión en cuentas concretas, añade los siguientes valores al encabezado:
- domain_name para permitir cuentas de dominios concretos; por ejemplo, altostrat.com y tenorstrat.com si las cuentas acabaran en @altostrat.com y tenorstrat.com.
- consumer_accounts para permitir cuentas de consumidor de Google, como @gmail.com y @googlemail.com.
- Incluye gserviceaccounts.com para permitir cuentas de servicio autenticadas.
- (Opcional) Crea una política de proxy para impedir que los usuarios inserten sus propios encabezados.
Nota: Con este procedimiento se bloquea el acceso de usuarios particulares a los servicios de Google, excepto a la Búsqueda de Google; sin embargo, no se impide que se acceda a estos servicios de forma anónima.
Preguntas frecuentes
¿Qué ocurre si una cuenta no autorizada intenta acceder a los servicios?
- Una descripción del servicio no disponible
- La cuenta no autorizada que está utilizando
- Los dominios en los que está disponible el servicio
- Un mensaje en el que se le sugiere que contacte con un administrador de red para obtener más información y en el que también se le aconseja que cierre sesión en la cuenta no autorizada e inicie sesión con una cuenta autorizada
¿Qué ocurre con los servicios que no necesitan autenticación?
¿Por qué no puedo sencillamente filtrar el tráfico?
Google, Google Workspace, así como las marcas y los logotipos relacionados, son marcas de Google LLC. Todos los demás nombres de empresas y productos son marcas de las empresas con las que están asociadas.
