Jako administrator możesz chcieć uniemożliwić użytkownikom logowanie się w usługach Google przy użyciu kont innych niż te, które zostały im przypisane przez Ciebie. Na przykład możesz nie chcieć, aby użytkownicy w Twojej sieci firmowej używali swoich osobistych kont Gmail lub zarządzanych kont Google z innej domeny.
Uwaga: jeśli zablokujesz dostęp do kont indywidualnych, użytkownicy mogą zobaczyć taki komunikat o błędzie: „W tej sieci nie można zalogować się na to konto”.
Zezwalanie na dostęp tylko z określonych domen
Aby zezwolić użytkownikom na dostęp do usług Google tylko za pomocą kont z określonych domen Google Workspace:
-
Zaloguj się w usłudze konsoli administracyjnej Google.
Użyj swojego konta administratora (jego adres nie kończy się na @gmail.com).
-
W konsoli administracyjnej kliknij Menu
Urządzenia
Chrome
Jeśli korzystasz z zarządzania przeglądarką Chrome w chmurze, kliknij Menu
Przeglądarka Chrome
- Aby zastosować to ustawienie do wszystkich użytkowników, pozostaw wybraną jednostkę organizacyjną najwyższego poziomu. W przeciwnym razie wybierz podrzędną jednostkę organizacyjną.
- Kliknij Interfejs użytkownika
- Wybierz Zezwalaj użytkownikom na logowanie się tylko w domenach określonych poniżej.
- Wpisz domeny organizacji.
(Jeśli tego nie zrobisz, użytkownicy mogą nie mieć dostępu do usług Google).
Uwaga: strona gserviceaccounts.com jest uwzględniona i ma kluczowe znaczenie w przypadku uwierzytelnionych kont usługi. - (Opcjonalnie) Aby dołączyć konta Google dla użytkowników indywidualnych, na przykład zakończone na @gmail.com i @googlemail.com, wpisz na liście consumer_accounts.
- Kliknij Zapisz.
Zazwyczaj ustawienia są stosowane po kilku minutach. Może jednak minąć nawet godzina, zanim zaczną działać u wszystkich.
Dalsze kroki
- W ustawieniach Użytkownicy i przeglądarki możesz też uniemożliwić użytkownikom przeglądanie w trybie incognito. Wybierz Tryb incognito
- Ustaw ograniczenie logowania, aby na urządzeniach z Chrome OS mogli logować się tylko użytkownicy z Twojej organizacji. Więcej informacji znajdziesz w sekcji Ograniczenie logowania się.
- Wyłącz przeglądanie jako gość na urządzeniach. Więcej informacji znajdziesz w sekcji Tryb gościa.
Blokowanie kont za pomocą internetowego serwera proxy
Krok 1. Wybierz internetowy serwer proxy
Aby zezwolić użytkownikom w Twojej sieci na uzyskiwanie dostępu do usług Google tylko przy użyciu określonych kont Google z Twojej domeny, potrzebujesz internetowego serwera proxy, który:
- Będzie dodawał nagłówek do całego ruchu kierowanego na adres google.com – nagłówek identyfikuje domeny, z których użytkownicy mogą uzyskiwać dostęp do usług Google.
- Obsługuje przechwytywanie transmisji SSL – w związku z tym, że większość ruchu przesyłanego do i z usługi Google jest szyfrowana, serwer proxy musi też obsługiwać przechwytywanie transmisji SSL.
Przeczytaj szczegółowe instrukcje dostawców usług proxy dotyczące blokowania usług Google i wybierz serwer spełniający Twoje wymagania.
Krok 2. Skonfiguruj sieć, aby blokować określone konta
Aby uniemożliwić użytkownikom logowanie się w usługach Google przy użyciu innych kont niż te, które wyraźnie określisz:
- Kieruj cały ruch wychodzący do google.com przez swoje internetowe serwery proxy.
- Włącz przechwytywanie transmisji szyfrowanych na serwerze proxy.
- Skonfiguruj każde urządzenie klienckie w taki sposób, by ufało Twojemu serwerowi proxy SSL:
- Wdróż wewnętrzny główny urząd certyfikacji używany przez serwer proxy.
- Oznacz go jako zaufany.
- Dla każdego żądania związanego z domeną google.com:
- Przechwyć żądanie.
- Dodaj nagłówek HTTP X-GoogApps-Allowed-Domains: zawierający listę dozwolonych nazw domen rozdzielonych przecinkami.
Dodaj do listy domenę, która posłużyła do rejestracji konta Google Workspace, i wszelkie domeny dodatkowe.
Przykład:X-GoogApps-Allowed-Domains: moja_domena_1.com, moja_domena_2.com
- Aby umożliwić użytkownikom logowanie się na określonych kontach, dodaj do nagłówka te wartości:
- nazwa_domeny w przypadku kont w określonych domenach – na przykład altostrat.com i tenorstrat.com dla kont, których nazwa kończy się na @altostrat.com i tenorstrat.com
- consumer_accounts w przypadku kont Google, na przykład w domenach @gmail.com i @googlemail.com
- gserviceaccounts.com w przypadku uwierzytelnionych kont usługi
- (Opcjonalnie) Utwórz zasady proxy, aby użytkownicy nie mogli wstawiać własnych nagłówków.
Uwaga:
- Ta metoda blokuje logowanie się w usługach Google innych niż wyszukiwarka Google, ale nie musi blokować dostępu anonimowego.
- Jeśli dodasz nagłówek HTTP X-GoogApps-Allowed-Domains, użytkownikom uzyskującym dostęp do skrzynek pocztowych z przekazanym dostępem z domeny, która nie znajduje się w nagłówku, będą wyświetlać się komunikaty o błędach.
Częste pytania
Co się dzieje, gdy nieautoryzowane konta próbują uzyskać dostęp do usług?
Jeśli użytkownik spróbuje uzyskać dostęp do usług Google z nieautoryzowanego konta, zobaczy stronę internetową, która:
- Opisuje niedostępną usługę.
- Wyświetla nieautoryzowane konto, z którego korzysta użytkownik.
- Wyświetla domeny, w których usługa jest dostępna.
- Zawiera sugestię skontaktowania się z administratorem w celu uzyskania dodatkowych informacji oraz prośbę o wylogowanie się z nieautoryzowanego konta i zalogowanie się na konto autoryzowane.
Co się dzieje z usługami, które nie wymagają uwierzytelniania?
Google nie prowadzi listy zablokowanych usług. Jeśli dana usługa wymaga zalogowania się na konto, dostęp do niej zostanie zablokowany. Usługi, z których można korzystać bez uwierzytelniania, takie jak wyszukiwarka Google i YouTube, nie zostaną zablokowane.
Dlaczego nie mogę po prostu filtrować ruchu?
Typowym środkiem umożliwiającym zablokowanie dostępu do usług internetowych jest użycie internetowego serwera proxy do filtrowania ruchu skierowanego pod określone adresy URL. Takie rozwiązanie w tym przypadku nie zadziała, bo uprawniony ruch z zarządzanego konta Google użytkownika jest kierowany pod ten sam adres URL co ruch, który chcesz zablokować.
Google, Google Workspace oraz powiązane znaki i logotypy są znakami towarowymi firmy Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi odpowiednich podmiotów.
