Bloquear el acceso de cuentas de consumidor

Para que los usuarios de tu red solo puedan acceder a los servicios de Google con determinadas cuentas de Google de tu dominio, necesitas un servidor proxy web que pueda hacer lo siguiente:

• Añadir un encabezado a todo el tráfico dirigido a google.com: en este encabezado se identifican los dominios desde los que los usuarios pueden acceder a los servicios de Google.
• Permitir la interceptación del tráfico SSL: la mayoría del tráfico de los servicios de Google está cifrado, por lo que el servidor proxy también debe permitir que se intercepte el tráfico SSL.

Consulta instrucciones específicas sobre cómo bloquear servicios de Google a los proveedores de servicios de proxy que se indican a continuación, y selecciona un servidor que se adapte a tus necesidades.

• Barracuda Networks
• Symantec
• Forcepoint

Para impedir que los usuarios inicien sesión en los servicios de Google con cuentas que no les has indicado explícitamente, sigue estos pasos:

1. Dirige todo el tráfico de salida a google.com a través de tus servidores proxy web.
2. Habilita la interceptación del tráfico SSL en el servidor proxy.
3. Configura todos los dispositivos cliente para que confíen en tu proxy SSL:
   1. Implementa la autoridad de certificación raíz interna que usa el proxy.
   2. Indica que es de confianza.
4. En cada solicitud de google.com:
   1. Intercepta la solicitud.
   2. Añade el encabezado HTTP X-GoogApps-Allowed-Domains: seguido de una lista de los nombres de dominio permitidos, separados por comas.
      Asegúrate de que en esta lista se incluyan el dominio que has registrado en Google Workspace y los dominios secundarios que hayas añadido.
      Ejemplo: X-GoogApps-Allowed-Domains: midominio1.com, midominio2.com
5. Para permitir que los usuarios inicien sesión en cuentas concretas, añade los siguientes valores al encabezado:
   • domain_name para permitir cuentas de dominios concretos; por ejemplo, altostrat.com y tenorstrat.com si las cuentas acabaran en @altostrat.com y tenorstrat.com.
   • consumer_accounts para permitir cuentas de consumidor de Google, como @gmail.com y @googlemail.com.
   • Incluye gserviceaccounts.com para permitir cuentas de servicio autenticadas.
6. (Opcional) Crea una política de proxy para impedir que los usuarios inserten sus propios encabezados.

Nota:

• Con este procedimiento se bloquea el acceso de usuarios particulares a los servicios de Google, excepto a la Búsqueda de Google; sin embargo, no se impide que se acceda a estos servicios de forma anónima.
• Si añades el encabezado HTTP X-GoogApps-Allowed-Domains, los usuarios recibirán mensajes de error al acceder a buzones de correo delegados desde un dominio que no esté incluido en el encabezado.

Si un usuario intenta acceder a los servicios de Google desde una cuenta no autorizada, verá una página web en la que se facilita esta información:

• Una descripción del servicio no disponible
• La cuenta no autorizada que está utilizando
• Los dominios en los que está disponible el servicio
• Un mensaje en el que se le sugiere que contacte con un administrador de red para obtener más información y en el que también se le aconseja que cierre sesión en la cuenta no autorizada e inicie sesión con una cuenta autorizada

Google no mantiene ninguna lista de los servicios bloqueados. Se bloquea el acceso a los servicios en los que se necesite iniciar sesión para utilizarlos. El resto de los servicios, como la Búsqueda de Google y YouTube, no se bloquean.

La forma más habitual de bloquear el acceso a servicios web consiste en filtrar el tráfico que se dirige a determinadas URLs mediante un servidor proxy web. No obstante, este método no funciona en este caso porque el tráfico legítimo de las cuentas de Google gestionadas de los usuarios se dirige a la misma URL que el tráfico que te interesa bloquear.