Controlar quais apps internos e de terceiros acessam os dados do Google Workspace

Para gerenciar apps para dispositivos móveis na organização, acesse este link como alternativa.

Quando os usuários fazem login em apps de terceiros com a opção "Fazer login com o Google" (Logon único), você pode controlar como esses apps acessam os dados do Google da sua organização. Use as configurações no Google Admin Console para gerenciar o acesso aos serviços do Google Workspace com o OAuth 2.0. Alguns apps usam os escopos do OAuth 2.0, um mecanismo que limita o acesso à conta de um usuário.

Você também pode personalizar a mensagem que os usuários veem quando tentam instalar um app não autorizado.

Observação: no Google Workspace for Education, outras restrições podem impedir que os usuários em instituições de ensino fundamental e médio acessem determinados apps de terceiros.

Antes de começar: analise os apps de terceiros na organização

No controle de acesso dos apps, você pode analisar os seguintes apps de terceiros:

• Apps configurados: definidos com um tipo de acesso ("Confiável", "Limitado", "Dados específicos do Google" ou "Bloqueado").
• Apps acessados: usados por quem acessou dados do Google.
• Apps com análise pendente (edições do Google Workspace for Education): que tiveram o acesso solicitado por usuários menores de 18 anos.

Os detalhes sobre os apps de terceiros geralmente aparecem de 24 a 48 horas após a autorização.

1. Faça login com uma conta de administrador no Google Admin Console.

   Se você não estiver usando uma conta de administrador, não vai conseguir acessar o Admin Console.

2. Acesse Segurança > Controles de API.

   Exige o privilégio de administrador Configurações de segurança.

   
3. Clique em Gerenciar o acesso de apps de terceiros para ver os apps configurados. Para filtrar a lista de apps, clique em Adicionar um filtro e selecione uma opção.

   A lista mostra o nome, o tipo e o ID do app, além das seguintes informações sobre cada um deles:

   • Status verificado: o Google analisa os apps verificados para garantir compliance com determinadas políticas. Muitos apps conhecidos talvez não sejam verificados dessa forma. Confira mais detalhes em O que é um app de terceiros verificado?
   • Acesso: mostra quais unidades organizacionais têm uma política de acesso configurada para o app. Aponte para um app e clique em Mais detalhes para ver os níveis de acesso ("Confiável", "Limitado", "Dados específicos do Google" ou "Bloqueado"). Clique em Alterar acesso para mudar o nível de acesso aos dados do app. 

     Observação: se você aplicar o nível de acesso A a uma unidade organizacional específica e depois aplicar o nível de acesso B a toda a organização, o nível A vai continuar em vigor para a unidade organizacional.

4. Para conferir os apps acessados, clique em Ver lista na seção Apps acessados.

   Em Apps acessados, também é possível verificar:

   • Usuários: mostra o número de usuários que acessam o app.
   • Serviços solicitados: APIs de Serviços do Google (escopos do OAuth2) que cada app está usando (por exemplo, Gmail, Agenda ou Drive). Serviços solicitados que não são do Google são listados como Outros.
5. Na lista Apps configurados ou Apps acessados, clique em um deles para fazer o seguinte:
   • Gerenciar se o app pode acessar Serviços do Google: mostra se o app está marcado como "Confiável", "Limitado", "Dados específicos do Google" ou "Bloqueado". Se você mudar a configuração de acesso, clique em Salvar.
   • Ver informações do app: mostra o ID completo do cliente OAuth2 do app, o número de usuários, a Política de Privacidade e as informações de suporte.
   • Ver as APIs de Serviço do Google (escopos do OAuth) solicitadas pelo app: mostra uma lista dos escopos do OAuth solicitados por cada app. Para ver cada escopo do OAuth, expanda a linha da tabela ou clique em Expandir tudo. 
6. Opcional: para baixar as informações do app em um arquivo CSV, clique em Fazer download da lista na parte de cima de Apps configurados ou Apps acessados.
   • O download inclui todos os dados da tabela (inclusive os que estavam ocultos).
   • O arquivo CSV dos apps configurados tem estas colunas extras: "Status da verificação", "Número de usuários", "Unidade organizacional", "Serviços solicitados" e "Escopos da API" associados a cada serviço. Se um app configurado não tiver sido acessado, a contagem de usuários será zero (0) e as outras duas colunas vão ficar em branco.
   • O arquivo CSV dos apps acessados tem estas colunas extras: "Status da verificação", "Unidade organizacional" e "Escopos da API" associados a cada serviço.

A verificação de apps é um programa do Google para que apps de terceiros que acessam dados sensíveis de clientes passem por verificações de segurança e privacidade. Os usuários podem ser impedidos de ativar apps não verificados e identificados como não confiáveis. Confira mais adiante o que fazer para marcar apps como confiáveis. Confira mais informações em Autorizar apps de terceiros não verificados.

Restringir ou não restringir o acesso aos Serviços do Google

Você pode restringir ou não restringir o acesso à maioria dos serviços do Google Workspace, inclusive aos serviços do Google Cloud, como o aprendizado de máquina. Veja detalhes de cada opção:

• Restrito: só os apps com a configuração "Confiável" podem acessar dados.
• Não restrito: só os apps com a configuração "Confiável", "Limitado" ou "Dados específicos do Google" podem acessar os escopos definidos por um administrador, não importando se o acesso aos dados é restrito ou não.

Por exemplo, se você definir o acesso ao Google Agenda como "Restrito", só os apps definidos como "Confiável" vão poder acessar os dados do Google Agenda. Os apps definidos como "Limitado" não vão ter acesso aos dados. 

Observação: no Gmail, Google Drive e Google Chat, você pode impedir o acesso especificamente aos serviços de alto risco, como enviar e-mails ou excluir arquivos no Drive. 

1. Faça login com uma conta de administrador no Google Admin Console.

   Se você não estiver usando uma conta de administrador, não vai conseguir acessar o Admin Console.

2. Acesse Segurança > Controles de API.

   Exige o privilégio de administrador Configurações de segurança.

3. Clique em Gerenciar serviços do Google.
4. Na lista, marque as caixas ao lado dos serviços que você quer gerenciar. Para selecionar todos os serviços, marque a caixa Serviço. 
5. Opcional: para filtrar essa lista, clique em Adicionar um filtro e escolha um destes critérios:
   • Serviços do Google: selecione uma opção na lista de serviços e clique em Aplicar.
   • Acesso aos Serviços do Google: selecione Não restrito ou Restrito e clique em Aplicar.
   • Apps permitidos: defina um intervalo para o número de apps permitidos e clique em Aplicar.
   • Usuários: defina um intervalo para o número de usuários e clique em Aplicar.
6. Na parte de cima, clique em Alterar acesso e escolha Não restrito ou Restrito.
   Se você mudar o acesso para "Restrito", os apps já instalados que não forem marcados como confiáveis vão parar de funcionar, e os tokens serão revogados. Se um usuário tentar instalar ou fazer login em um app não definido como confiável que acessa um serviço restrito, vai receber uma notificação de que o app está bloqueado. Restringir o acesso ao serviço do Drive também restringe o acesso à API Google Forms.
   Observação: a lista dos apps acessados é atualizada 48 horas após um token ser concedido ou revogado.
7. Opcional: se você escolheu "Restrito", para permitir o acesso a escopos OAuth não classificados como de alto risco (por exemplo, os que permitem que os apps acessem arquivos selecionados pelo usuário no Drive), marque a caixa Para apps não confiáveis, permitir que os usuários concedam acesso a escopos OAuth não classificados como de alto risco. Essa caixa não aparece para todos os apps, mas só para apps como o Gmail e o Drive.
8. Clique em Alterar e confirme, se necessário.
9. Opcional: para analisar quais apps têm acesso a um serviço: 
   1. Na parte de cima, em Apps acessados, clique em Ver lista.
   2. Clique em Adicionar um filtro Serviços solicitados.
   3. Selecione os serviços que você está verificando e clique em Aplicar.

Restringir o acesso a escopos do OAuth de alto risco

Abrir seção  |  Recolher tudo e voltar ao início

Os apps Gmail, Drive, Documentos e Chat também podem restringir o acesso a uma lista predefinida de escopos do OAuth de alto risco.

Gerenciar o acesso de apps de terceiros aos Serviços do Google e adicionar apps

Para gerenciar o acesso a determinados apps, você pode bloquear ou marcar esses apps como "Confiável", "Dados específicos do Google" ou "Limitado":

• Confiável: apps confiáveis têm acesso a todos os serviços do Google Workspace (escopos do OAuth), inclusive aos restritos. Você pode colocar apps configurados na lista de permissões usando IDs do cliente OAuth para manter o acesso da interface de programação do aplicativo (API) aos serviços do Google Workspace, mesmo quando esses serviços têm políticas de acesso baseado no contexto aplicáveis ao acesso da API.
• Dados específicos do Google: o app só pode solicitar acesso aos dados dos escopos que você especificou na configuração dele.
• Limitado: o app só pode acessar serviços não restritos. Você pode mudar a configuração de acesso aos dados na lista de apps ou na página de informações do app.

Abrir seção  |  Recolher tudo e voltar ao início