Как управлять доступом сторонних и внутренних приложений к данным Google Workspace

Вы также можете узнать, как настраивать мобильные приложения в организации.

Если ваши пользователи входят в приложения через аккаунты Google, вы можете управлять доступом этих приложений к данным организации. С помощью настроек OAuth 2.0 в консоли администратора Google можно управлять тремя типами приложений:

• принадлежащие Google – приложения, разработанные Google;
• внутренние – приложения, разработанные вашей организацией;
• сторонние – остальные приложения.

Некоторые приложения используют области действия OAuth 2.0 – механизм, который позволяет ограничить доступ к аккаунту пользователя. Также можно изменить сообщение, которое видят пользователи при попытке установить неразрешенное приложение.

Примечание. В Google Workspace for Education для пользователей из начальных и средних школ могут действовать дополнительные ограничения на доступ к некоторым приложениям.

• Подготовка: проверьте приложения в своей организации
• Как разрешить или запретить доступ к сервисам Google
• Как ограничить доступ к областям действия OAuth с высоким риском
• Как настраивать уровень доступа приложений к сервисам Google и добавлять приложения
• Как выбрать параметры для ненастроенных приложений
• Текущие ограничения

Подготовка: проверьте приложения в своей организации

На странице "Управление доступом приложений" вы можете посмотреть:

• Настроенные приложения. Для них задана определенная категория доступа ("Надежные", "Ограниченный набор сервисов", "Определенные данные Google" или "Заблокированные").
• Приложения, получавшие доступ к данным. С их помощью осуществлялся доступ к данным Google.
• Приложения, ожидающие проверки. К ним пользователи запрашивали доступ.

Информация о приложениях обычно появляется в течение 24–48 часов после предоставления разрешения.

1. Войдите в Консоль администратора Google как администратор.

   Войти в консоль администратора можно, только если вы используете аккаунт администратора.

2. Выберите Безопасность > Управление API.

   У вас должны быть права администратора с доступом к настройкам безопасности.

   
3. Нажмите Настроить доступ приложений, чтобы посмотреть настроенные приложения. Если вам нужно отфильтровать список, нажмите Добавить фильтр и выберите нужный вариант.

   В списке приложений указывается название, тип и идентификатор, а также следующие сведения для каждого приложения:

   • Статус проверки. Проверенные приложения – это приложения, которые проверены специалистами Google на соответствие определенным правилам. Обратите внимание, что некоторые известные приложения могут быть не проверены. Более подробная информация приведена в статье Что такое проверенное стороннее приложение?
   • Доступ — список организационных подразделений, у которых есть настроенные правила доступа для приложения. Наведите указатель мыши на приложение и нажмите Подробнее, чтобы посмотреть назначенную ему категорию доступа ("Надежные", "Ограниченный набор сервисов", "Определенные данные Google" или "Заблокированные"). 

     Если вы примените политику доступа к организационному подразделению, а затем примените другую политику ко всей организации, первая политика останется в силе для организационного подразделения.

   • Владелец – кому принадлежит приложение: организации, Google или сторонней компании.
   • Значок "Проверено Google" – показывается для внутренних и сторонних приложений, прошедших проверку OAuth.
4. В разделе Приложения, получавшие доступ к данным можно нажать Посмотреть список, чтобы увидеть такие приложения.

   В разделе Приложения, получавшие доступ к данным также можно посмотреть следующие параметры:

   • Пользователи. Число пользователей приложения.
   • Сервисы, к которым запрошен доступ. API сервисов Google (области действия OAuth2), которые использует каждое приложение, например Gmail, Календарь или Диск. Сторонние сервисы, к которым был запрошен доступ, перечислены в разделе Другое.
5. В списке Настроенные приложения или Приложения, получавшие доступ к данным выберите приложение. Вы можете:
   • Проверить, имеет ли приложение доступ к сервисам Google, и изменить эту настройку с помощью метки "Надежные", "Ограниченный набор сервисов", "Определенные данные Google" или "Заблокированные". Если вы меняете эту настройку, для подтверждения нажмите Сохранить.
   • Изучить сведения о приложении, такие как полный идентификатор клиента OAuth2 для приложения, количество пользователей, политика конфиденциальности и информация о поддержке.
   • Посмотреть API сервисов Google (области действия OAuth), которые использует приложение – на странице сведений о приложении перечислены области действия OAuth, к которым обращается приложение. Чтобы посмотреть все области действия OAuth, разверните строку таблицы или нажмите Развернуть все.
     Примечание. Области действия OAuth не показываются для приложений, принадлежащих Google.
6. Чтобы скачать информацию о приложении в виде файла CSV, вверху списка Настроенные приложения или Приложения, получавшие доступ к данным нажмите Скачать список.
   • Будут скачаны все данные из таблицы, в том числе из скрытых столбцов.
   • Для настроенных приложений CSV-файл содержит дополнительные столбцы: "Статус проверки", "Количество пользователей", "Организационное подразделение", "Сервисы, к которым запрошен доступ" и "Области применения API" для каждого из сервисов. Если к настроенному приложению никто не осуществлял доступ, число пользователей будет равно нулю (0), а два других столбца будут пустыми.
   • Для приложений, получавших доступ к данным, CSV-файл содержит такие дополнительные столбцы: "Статус проверки", "Организационное подразделение" и "Области применения API" для каждого из сервисов.

В рамках программы проверки приложений Google все сторонние приложения, которые получают доступ к конфиденциальным данным клиентов, должны пройти проверки безопасности и конфиденциальности. Вы можете заблокировать для пользователей возможность активировать небезопасные и непроверенные приложения. Информация о том, как включить приложение в число надежных, приведена ниже. Подробнее об авторизации непроверенных сторонних приложений…

Как разрешить или запретить доступ к сервисам Google

Вы можете ограничить (или оставить неограниченным) доступ внутренних или сторонних приложений к большинству сервисов Google Workspace (в числе которых и сервисы Google Cloud, например машинное обучение). Ниже мы опишем все варианты.

• Ограниченный доступ – данные могут использоваться только внутренними и сторонними приложениями с категорией доступа "Надежные" или "Определенные данные Google".
• Неограниченный доступ – доступ к настроенным администратором областям действия есть у внутренних и сторонних приложений из категорий "Надежные", "Ограниченный набор сервисов" или "Определенные данные Google", независимо от ограничений на доступ к данным, установленным в области действия.

Например, если вы ограничите доступ к Календарю, его данные смогут использовать только внутренние и сторонние приложения из категории "Надежные" или "Определенные данные Google", но не приложения из категории "Ограниченный набор сервисов".

Примечание. Для Gmail, Google Диска и Google Chat можно отдельно ограничить доступ к областям действия с высоким уровнем риска (например, к отправке почты или удалению файлов на Диске).

1. Войдите в Консоль администратора Google как администратор.

   Войти в консоль администратора можно, только если вы используете аккаунт администратора.

2. Выберите Безопасность > Управление API.

   У вас должны быть права администратора с доступом к настройкам безопасности.

3. Нажмите Управление сервисами Google.
4. В списке установите флажки для требуемых сервисов. Чтобы установить все флажки, установите флажок Сервис.
5. Чтобы отфильтровать список, нажмите Добавить фильтр и выберите условие:
   • Сервисы Google – выберите нужные сервисы и нажмите Применить.
   • Доступ к сервисам Google – выберите Неограниченный доступ или Доступ ограничен и нажмите Применить.
   • Разрешенные приложения – укажите диапазон для числа разрешенных приложений и нажмите Применить.
   • Пользователи – укажите диапазон для числа пользователей и нажмите Применить.
6. В верхней части страницы нажмите Изменить настройки доступа и выберите Неограниченный доступ или Доступ ограничен.
   Если вы измените настройку на "Доступ ограничен", все ранее установленные приложения, которые не включены в список надежных, перестанут работать, а их токены будут отозваны. Если пользователь попытается установить недоверенное приложение, которое обращается к сервису с ограниченным доступом, или войти в него, он получит уведомление о том, что приложение заблокировано. Если ограничить доступ к Диску, также будет ограничен доступ к Google Forms API.
   Примечание. Список приложений, получавших доступ к данным, обновляется через 48 часов после предоставления или отзыва токена.
7. Если вы выбрали вариант "Доступ ограничен", то, чтобы разрешить доступ к областям действия OAuth, не относящимся к областям с высоким риском (например, для доступа к хранящимся на Диске файлам, выбранным пользователями), установите флажок Разрешить пользователям предоставлять приложениям, которые не помечены как надежные, доступ ко всем областям действия OAuth, за исключением областей с высоким риском. Этот флажок показывается только для некоторых приложений, таких как Gmail и Диск.
8. Нажмите Изменить и при необходимости подтвердите.
9. Чтобы проверить, у каких приложений есть доступ к сервису:
   1. В разделе Приложения, получавшие доступ к данным нажмите Посмотреть список.
   2. Нажмите Добавить фильтрСервисы, к которым запрошен доступ.
   3. Выберите нужные сервисы и нажмите Применить.

Как ограничить доступ к областям действия OAuth с высоким риском

Развернуть раздел  |  Свернуть все и перейти к началу

Gmail, Google Диск, Документы и Chat также могут ограничивать доступ к предварительно заданному списку областей действия OAuth с высоким уровнем риска.

Как настраивать уровень доступа приложений к сервисам Google и добавлять приложения

Вы можете управлять доступом к определенным приложениям. Для этого можно заблокировать доступ к приложению или назначить ему метку "Надежные", "Определенные данные Google", "Ограниченный набор сервисов" или "Заблокированные".

• Надежные. Приложение получает доступ ко всем сервисам Google Workspace (областям действия OAuth), в том числе к тем, доступ к которым ограничен. Вы можете добавлять в белый список приложения, настроенные с использованием идентификаторов клиентов OAuth, чтобы сохранить доступ через API к сервисам Google Workspace даже в том случае, если для сервисов действуют правила контекстно-зависимого доступа, которые применяются к доступу через API.
• Определенные данные Google. Приложение может запросить доступ к данным только в областях действия, заданных вами при его настройке.
• Ограниченный набор сервисов. Приложение может работать только с сервисами с неограниченным доступом. Вы можете изменить параметр доступа к данным из списка приложений или на странице сведений о приложении.
• Заблокированные. Приложение не может получать доступ к данным в аккаунте Google.

Приложения, принадлежащие Google, которые не являются приложениями Workspace, могут относиться к категории "Надежные", "Заблокированные" или "Исключенные". По умолчанию большинство приложений, принадлежащих Google, относятся к категории "Надежные". Но если выбрать и сторонние приложения, и приложения, принадлежащие Google, останется только два варианта доступа – "Надежные" и "Заблокированные".

Когда вы настраиваете или изменяете уровень доступа приложения, в списке областей действия OAuth отображаются все области, которые когда-либо запрашивало приложение. Он может не отражать текущую конфигурацию вашей организации. Чтобы точно определить, какие области действия настроены для приложения, наведите указатель мыши на приложение и нажмите Подробнее.

Развернуть раздел  |  Свернуть все и перейти к началу