Som administratör kan du styra hur länge olika användare kan komma åt Google Cloud Console och Cloud SDK utan att behöva autentisera om. Exempelvis vill du kanske att användare med utökade behörigheter, som projektägare, faktureringsadministratörer eller andra med administratörsroller, autentiserar om oftare än vanliga användare. Om du ställer in en sessionslängd uppmanas de att logga in igen för att starta en ny session.
Inställningen för sessionslängd gäller för:
- Google Cloud Console
- kommandoradsverktyget gcloud (Cloud SDK)
- alla appar (inklusive appar från tredje part eller dina egna appar) som kräver användarauktorisering för Google Cloud-omfattningar. Om du vill granska appar som kräver Google Cloud-omfattningar i gränssnittet för styrning av appåtkomst läser du Styr vilka externa och interna appar som får åtkomst till Google Workspace-data.
Obs! Inställningen för sessionslängd i Cloud gäller inte för konsolens mobilapp och har begränsningar i konsolen. Vi rekommenderar att du använder den här funktionen med Googles sessionskontroll. Då tillämpas en sessionslängd på alla Googles webbegendomar.
Ställ in policyn för förnyad autentisering
-
Logga in på Googles administratörskonsol.
Logga in med ditt administratörskonto (slutar inte på @gmail.com).
-
På administratörskonsolen går du till menyn
Säkerhet
Åtkomst- och datakontroll
- Till vänster väljer du den organisationsenhet du vill ange sessionslängd för.
Välj organisationsenheten på toppnivå för alla användare. Inledningsvis ärver en organisationsenhet inställningarna från sin överordnade. - Under Policy för förnyad autentisering väljer du Kräv förnyad autentisering och väljer Frekvens för förnyad autentisering på rullgardinsmenyn.
Den kortaste tillåtna frekvensen är en timme och den maximala är 24 timmar. Frekvensen inkluderar inte hur länge en användare har varit inaktiv i sessionen. Det är den fasta tiden som förlöper innan användaren måste logga in igen.
Du kan även markera rutan Undanta betrodda appar om du vill utesluta betrodda appar från förnyad autentisering. (Betrodda appar markeras som betrodda på sidan Åtkomstkontroll för app. Mer information finns i Förbereda för bred lansering nedan. Se även Styr vilka externa och interna appar som får åtkomst till Google Workspace-data.)
- Under Metod för förnyad autentisering väljer du Lösenord eller Säkerhetsnyckel för att ange hur användaren måste förnya autentiseringen.
- Om du ställer in policyn för förnyad autentisering på organisationsnivå klickar du på knappen Åsidosätt nere till höger för att låta inställningen vara densamma även om den överordnade inställningen ändras.
- Om organisationsenhetens status redan är Åsidosatt väljer du ett alternativ:
- Om du väljer Ärv återställs inställningen så att den stämmer överens med den överordnade.
- Om du väljer Spara sparas din nya inställning (även om den överordnade inställningen ändras).
Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer
Förberedelse för bred lansering
Den policy för förnyad autentisering som du konfigurerar här gäller för alla Google-appar och appar från tredje part som har åtkomst till Google Cloud-resurser genom att kräva Google Cloud-omfattning. Vi rekommenderar att du testar grundligt hur policyn fungerar för var och en av apparna med ett fåtal användare. Lägg till användarna på listan över betrodda användare innan du går vidare till en bredare lansering.
Anvisningar om hur du granskar de appar som används för närvarande finns i organisationen: Kontrollera vilka externa och interna appar som får åtkomst till Google Workspace-data. Filtrera efter appar som kräver tjänsten Google Cloud.
När den inställda sessionlängden löper ut kräver appen att användaren autentiserar på nytt för fortsatt användning. Detta motsvarar att en administratör har återkallat uppdateringstoken för appen.
Vissa appar hanterar kanske inte omatentiseringen korrekt, vilket kan leda till förvirrande appkrascher eller stackspårning. Vissa appar implementeras för användning mellan servrar med användaruppgifter istället för det rekommenderade tjänstkontot. I dessa fall finns det ingen användare som ska förnya autentiseringen regelbundet.
Om du berörs av dessa scenarier kan du lägga till apparna på en betrodd lista, vilket gör att de tillfälligt undantas från begränsningarna för sessionlängd, samtidigt som sessionskontroller tillämpas för alla andra Google Cloud-administrationsytor. Lägg till apparna på listan Betrodda appar i Åtkomstkontroll för appar och markera kryssrutan Undanta betrodda appar i inställningen Cloud-sessionskontroll.
Återställ efter auktoriseringsfel
Du kan få ett fel som rör autentisering igen från appar från tredje part efter att en session har löpt ut. Användarna kan fortsätta att använda dessa appar genom att logga in på appen igen och starta en ny session.
Appar som använder Application Default Credentials (ADC) med användaruppgifter betraktas som appar från tredje part. Dessa användaruppgifter är endast giltiga för den konfigurerade sessionslängden. När sessionen löper ut kan appar som använder ADC även returnera ett svar om verifieringsfel. Utvecklare kan auktorisera om appen genom att köra kommandot gcloud auth application-default login för att få nya användaruppgifter.
Tänk på följande
När och hur användarna loggar in
Om du har vissa användare som behöver logga in oftare än andra placerar du dem i olika organisationsenheter. Använd sedan olika sessionslängder för dem. Då avbryts vissa användare inte för att logga in när det inte är nödvändigt.
Om du behöver en säkerhetsnyckel kan användare som inte har någon inte använda konsolen eller Cloud SDK förrän de har konfigurerat den. När de har en säkerhetsnyckel kan de gå över till att använda sitt lösenord istället om de vill.
Externa identitetsleverantörer
- Med konsolen – om du kräver att en användare ska autentisera om med sitt lösenord omdirigeras personen till IdP. IdP kräver kanske inte att användaren anger sitt lösenord på nytt för att starta ytterligare en konsolsession, om användaren redan har en aktiv session med IdP – eftersom de använder en annan app som gjort att sessionen förblivit aktiv.
Om en användare måste autentisera om genom att trycka på sin säkerhetsnyckel kan han eller hon göra det i konsolen. Användaren omdirigeras inte till IdP.
- Med Cloud SDK – om ett lösenord krävs för omautentisering kräver gcloud att användaren kör kommandot gcloud auth login för att förnya sessionen. Då öppnas ett webbläsarfönster och användaren förflyttas till IdP där de kan uppmanas att ange användaruppgifter om det inte finns någon aktiv session med IdP.
Om en användare måste autentisera om genom att trycka på sin säkerhetsnyckel kan han eller hon göra det i Cloud SDK. Användaren omdirigeras inte till IdP.
