Als Administrator können Sie festlegen, wie lange verschiedene Nutzer auf die Google Cloud Console und das Cloud SDK zugreifen können, bevor sie sich mit ihrem Passwort erneut authentifizieren müssen. Beispielsweise ist es möglich, für Nutzer mit umfassenderen Berechtigungen wie Projektinhaber, Abrechnungsadministratoren oder andere Administratoren kürzere Intervalle für die Neuanmeldung vorzuschreiben als für normale Nutzer. Wenn Sie eine Sitzungsdauer festlegen, werden die jeweiligen Nutzer aufgefordert, sich noch einmal anzumelden, um eine neue Sitzung zu starten.
Die eingestellte Sitzungsdauer gilt für:
- Die Google Cloud Console
- Das gcloud-Befehlszeilentool (Cloud SDK)
- Alle Anwendungen (einschließlich Ihrer eigenen Anwendungen und Anwendungen von Drittanbietern), die eine Nutzerautorisierung für Google Cloud-Bereiche erfordern Wie Sie über die App-Zugriffssteuerung herausfinden können, welche Anwendungen Google Cloud-Bereiche erfordern, erfahren Sie im Hilfeartikel Zugriff externer und interner Apps auf Google Workspace-Daten verwalten.
Hinweis: Die Einstellung für die Cloud-Sitzungsdauer gilt nicht für die mobile App der Konsole und hat Einschränkungen in der Konsole. Wir empfehlen, diese Funktion mit der Google-Sitzungssteuerung zu verwenden, die eine Sitzungslänge auf alle Google-Web-Properties anwendet.
Richtlinie für die erneute Authentifizierung festlegen
-
Melden Sie sich mit einem Administratorkonto in Google Admin-Konsole an.
Wenn Sie kein Administratorkonto verwenden, können Sie nicht auf die Admin-Konsole zugreifen.
-
Gehen Sie zu „Menü“
Sicherheit > Zugriffs- und Datenkontrolle > Google Cloud-Sitzungssteuerung
Hierfür ist die Administratorberechtigung Sicherheitseinstellungen erforderlich.
- Wählen Sie links die Organisationseinheit aus, für die Sie die Sitzungsdauer festlegen möchten.
Wenn die Einstellungen für alle Nutzer in der Organisation gelten sollen, wählen Sie die oberste Organisationseinheit aus. Dabei gehen Einstellungen erst einmal von der übergeordneten Organisationseinheit auf die anderen über. - Aktivieren Sie unter Richtlinie für die erneute Authentifizierung die Option Erneute Authentifizierung erforderlich und wählen Sie die Häufigkeit der erneuten Authentifizierung aus der Drop-down-Liste aus.
Die Mindestdauer beträgt eine Stunde, die Höchstdauer 24 Stunden. Dabei spielt es keine Rolle, wie lange ein Nutzer in der Sitzung inaktiv ist. Es ist lediglich die Zeit, die verstreicht, bevor sich der Nutzer wieder anmelden muss.
Sie können auch das Häkchen bei Vertrauenswürdige Apps ausgenommen setzen, damit für vertrauenswürdige Apps keine erneute Authentifizierung erfordert wird. Vertrauenswürdige Apps werden auf der Seite App-Zugriffssteuerung als vertrauenswürdig markiert. Weitere Informationen finden Sie unten im Abschnitt Vorbereitung auf die allgemeine Einführung sowie im Hilfeartikel Zugriff externer und interner Apps auf Google Workspace-Daten verwalten.
- Wählen Sie unter Methode zur erneuten Authentifizierung die Option Passwort oder Sicherheitsschlüssel aus, um festzulegen, wie der Nutzer sich erneut authentifizieren muss.
- Wenn Sie die Richtlinie zur erneuten Authentifizierung auf Ebene der Organisationseinheit festlegen, klicken Sie rechts unten auf die Schaltfläche Überschreiben. Somit gilt diese Einstellung auch dann, wenn die übergeordneten Einstellungen geändert werden.
- Wenn der Status der Organisationseinheit bereits Überschrieben lautet, wählen Sie eine der folgenden Optionen aus:
- Übernehmen: Die Einstellung der übergeordneten Organisationseinheit wird übernommen.
- Speichern: Die neue Einstellung wird gespeichert und gilt auch bei geänderter übergeordneter Einstellung weiterhin.
Es kann bis zu 24 Stunden dauern, bis Änderungen wirksam werden, aber normalerweise geschieht dies eher. Weitere Informationen
Vorbereitung auf den allgemeinen Roll-out
Die Richtlinie zur erneuten Authentifizierung, die Sie hier konfigurieren, gilt für alle Apps von Google und Drittanbietern, die für den Zugriff auf Google Cloud-Ressourcen den Bereich „Google Cloud“ erfordern. Wir empfehlen Ihnen, diese Richtlinie zuerst mit einer kleinen Nutzergruppe für jede der Apps zu testen. Fügen sie diese Nutzer der Liste vertrauenswürdiger Apps hinzu, bevor Sie die Richtlinie allgemein einführen.
Wie Sie die aktuell von Ihrer Organisation genutzten Apps einsehen können, erfahren Sie im Hilfeartikel „Zugriff externer und interner Apps auf Google Workspace-Daten verwalten“ im ersten Punkt unter App-Zugriffssteuerung verwenden. Filtern Sie dabei nach Apps, die den Dienst Google Cloud benötigen.
Wenn die konfigurierte Sitzungsdauer abläuft, fordert die Anwendung den Nutzer auf, sich noch einmal zu authentifizieren, um den Vorgang fortzusetzen – analog zu dem, was passieren würde, wenn ein Administrator die Aktualisierungstokens für diese Anwendung entziehen würde.
Einige Anwendungen können die erneute Authentifizierung nicht ordnungsgemäß verarbeiten, was zu verwirrenden Anwendungsabstürzen oder Stacktraces führt. Einige andere Anwendungen werden für Server-zu-Server-Anwendungsfälle mit Nutzer-Anmeldedaten anstelle der empfohlenen Dienstkonto-Anmeldedaten bereitgestellt. In diesem Fall gibt es keinen Nutzer, der sich regelmäßig erneut authentifizieren muss.
Wenn Sie von diesen Szenarien betroffen sind, können Sie diese Apps zu einer vertrauenswürdigen Liste hinzufügen. Dadurch werden die Apps vorübergehend von den Beschränkungen der Sitzungslänge ausgenommen, während Sie Sitzungssteuerungen für alle anderen Google Cloud-Administratoroberflächen implementieren. Setzen Sie die Apps unter App-Zugriffssteuerung auf die Liste der vertrauenswürdigen Apps und machen Sie in der Sitzungssteuerung für Google Cloud das Häkchen bei Vertrauenswürdige Apps ausgenommen.
Wiederherstellung nach Fehler "reauth related error"
Möglicherweise erhalten Sie nach Ablauf einer Sitzung von Drittanbieter-Apps die Antwort reauth related error. Wenn Sie diese Apps weiterhin verwenden möchten, können sich Nutzer wieder in der App anmelden und eine neue Sitzung starten.
Apps, die Standardanmeldedaten für Anwendungen mit Anmeldedaten des Nutzers verwenden, werden als Drittanbieter-Apps eingestuft. Diese Anmeldedaten sind nur für die konfigurierte Sitzungsdauer gültig. Wenn diese Sitzung abläuft, geben Apps, die Standardanmeldedaten für Anwendungen verwenden, möglicherweise auch den Fehler reauth related error zurück. Entwickler können die App mit dem Befehl gcloud auth application-default login noch einmal autorisieren, um neue Anmeldedaten abzurufen.