מושגים ב-Policy API
במאמר הזה מוסברים המושגים והאסטרטגיות של Cloud Identity Policy API.
הוזלה
כדי להציג ולקבל כללי מדיניות, עיינו במאמרים הגדרת Policy API והצגה וקבלת כללי מדיניות.
הסברים על המונחים
ערך ההגדרה: ערכי ההגדרות שצוינו במדיניות
ערך ההגדרה המצומצם: ערכי ההגדרה הסופיים שחלים על יעד, כמו משתמש, יחידה ארגונית או קבוצה
צמצום: התהליך של צמצום ערכי ההגדרות במדיניות לערך הגדרה יחיד ליעד, כמו משתמש, יחידה ארגונית או קבוצה.
Reducer: סוג הכללים שקובעים איך ערכי ההגדרות במדיניות מפושטים להגדרה אחת למשתמש
כללי מדיניות של אדמינים: כללי מדיניות שנוצרו על ידי אדמינים במסוף Admin
כללי מדיניות של המערכת: כללי מדיניות ש-Google Workspace מספקת
תהליך ההפחתה
כדי להפחית הגדרה מסוימת למשתמש מסוים:
מסננים את כל כללי המדיניות שלא חלים על המשתמש.
מסננים את כללי המדיניות שלא מכילים את ההגדרה.
מסננים את כללי המדיניות שחלים על היחידה הארגונית שבה המשתמש לא נמצא.
מסננים את כללי המדיניות שחלים על הקבוצה שמשתמש היעד לא נמצא בה.
מסננים את כללי המדיניות שחלים על הרישיון שאין למשתמש היעד. מידע נוסף על רישיונות זמין בקטע רישיונות.
החלת המפחית של ההגדרה הנתונה.
מקסימום: לכל שדה בהגדרה המצומצמת, המפחית "מקסימום" בוחר את הערך מהמדיניות עם ה-sortOrder הגדול ביותר.
מיזוג: בכל שדה בהגדרה המצומצמת, המפחית "מיזוג" בוחר את הערך מהמדיניות עם ה-sortOrder הגבוה ביותר שיש לו ערך בשדה הזה. אם השדה הוא מערך, המפחית Merge משרשר את הערכים מכל כללי המדיניות.
MaxMap: המפחית MaxMap משמש להגדרות שבהן לרשומות המערך יש שדה שמתפקד כמפתח ראשי. הפונקציה MaxMap reducer לא משרשרת את הרשומות במערך עם אותו מפתח ראשי. במקום זאת, הוא מעדכן את הרשומה באמצעות המפחית Max בשדות האחרים ברשומות המערך שחולקות את אותו מפתח ראשי.
MergeMap: המפחית MergeMap משמש להגדרות שבהן לרשומות המערך יש שדה שמתפקד כמפתח ראשי. הפונקציה MergeMap לא משרשרת את הרשומות במערך עם אותו מפתח ראשי. במקום זאת, הוא מעדכן את הרשומה באמצעות המפחית Merge בשדות האחרים ברשומות המערך שחולקות את אותו מפתח ראשי.
רשימה: ההגדרות האלה לא מצטמצמות להגדרה אחת. במקום זאת, כל רצף ההגדרות נשמר ומוחל כרשימה.
מפחיתים להגדרות
| שם ההגדרה | Reducer |
api_controls.custom_user_message
|
מקסימום |
api_controls.google_services
|
MaxMap |
api_controls.internal_apps
|
מקסימום |
api_controls.unconfigured_third_party_apps
|
מזג |
calendar.appointment_schedules
|
מקסימום |
calendar.external_invitations
|
מקסימום |
calendar.interoperability
|
מזג |
calendar.primary_calendar_max_allowed_external_sharing
|
מזג |
calendar.secondary_calendar_max_allowed_external_sharing
|
מזג |
chat.chat_apps_access
|
מקסימום |
chat.chat_file_sharing
|
מקסימום |
chat.chat_history
|
מזג |
chat.external_chat_restriction
|
מזג |
chat.space_history
|
מקסימום |
classroom.api_data_access
|
מקסימום |
classroom.class_membership
|
מקסימום |
classroom.guardian_access
|
מקסימום |
classroom.originality_reports
|
מקסימום |
classroom.roster_import
|
מקסימום |
classroom.student_unenrollment
|
מקסימום |
classroom.teacher_permissions
|
מקסימום |
cloud_sharing_options.cloud_data_sharing
|
מקסימום |
detector.regular_expression
|
רשימה |
detector.word_list
|
רשימה |
drive_and_docs.drive_for_desktop
|
מקסימום |
drive_and_docs.drive_sdk
|
מזג |
drive_and_docs.external_sharing
|
מקסימום |
drive_and_docs.file_security_update
|
מקסימום |
drive_and_docs.general_access_default
|
מקסימום |
drive_and_docs.shared_drive_creation
|
מקסימום |
gmail.attachment_compliance
|
MaxMap |
gmail.auto_forwarding
|
מקסימום |
gmail.blocked_sender_lists
|
MaxMap |
gmail.comprehensive_mail_storage
|
מקסימום |
gmail.confidential_mode
|
מקסימום |
gmail.content_compliance
|
MaxMap |
gmail.email_address_lists
|
MaxMap |
gmail.email_attachment_safety
|
מקסימום |
gmail.email_image_proxy_bypass
|
מזג |
gmail.email_spam_filter_ip_allowlist
|
מקסימום |
gmail.enhanced_pre_delivery_message_scanning
|
מקסימום |
gmail.enhanced_smime_encryption
|
מקסימום |
gmail.imap_access
|
מזג |
gmail.links_and_external_images
|
מקסימום |
gmail.mail_delegation
|
מזג |
gmail.name_format
|
מזג |
gmail.objectionable_content
|
MaxMap |
gmail.per_user_outbound_gateway
|
מקסימום |
gmail.pop_access
|
מקסימום |
gmail.rule_states
|
MaxMap |
gmail.spam_override_lists
|
MaxMap |
gmail.spoofing_and_authentication
|
מקסימום |
gmail.user_email_uploads
|
מקסימום |
gmail.workspace_sync_for_outlook
|
מקסימום |
groups_for_business.groups_sharing
|
מזג |
meet.safety_access
|
מקסימום |
meet.safety_domain
|
מקסימום |
meet.safety_external_participants
|
מקסימום |
meet.safety_host_management
|
מקסימום |
meet.video_recording
|
מקסימום |
rule.dlp
|
רשימה |
rule.system_defined_alerts
|
רשימה |
security.advanced_protection_program
|
מקסימום |
security.less_secure_apps
|
מזג |
security.login_challenges
|
מקסימום |
security.password
|
מקסימום |
security.session_controls
|
מקסימום |
security.super_admin_account_recovery
|
מזג |
security.two_step_verification_device_trust
|
מקסימום |
security.two_step_verification_enforcement
|
מקסימום |
security.two_step_verification_enforcement_factor
|
מקסימום |
security.two_step_verification_enrollment
|
מקסימום |
security.two_step_verification_grace_period
|
מקסימום |
security.two_step_verification_sign_in_code
|
מקסימום |
security.user_account_recovery
|
מזג |
SERVICE_STATUS_APP_NAME.service_status
|
מקסימום |
sites.sites_creation_and_modification
|
מקסימום |
user_takeout
|
מקסימום |
workspace_marketplace.apps_access_options
|
מזג |
workspace_marketplace.apps_allowlist
|
MergeMap (המפתח הראשי הוא: application_id) |
רישיונות
כללי המדיניות חלים על המשתמשים בהתאם לרישיונות שלהם ל-Workspace. תנאי הרישיון מפורטים ב-PolicyQuery.
לרשימה המלאה של כל מזהי המוצרים והמק"טים של Workspace
הדוגמאות הבאות ממחישות איך אפשר להחיל כללי מדיניות על קבוצות מסוימות של משתמשים על סמך הרישיונות של המשתמשים האלה.
דוגמה 1: פסוקית רגילה בלבד
entity.licenses.exists(license, license in ['/product/Google-Apps/sku/1010020027'])
המדיניות חלה על משתמש אם יש לו רישיון לאחד לפחות מהמק"טים שברשימה.
דוגמה 2: פסוקית רגילה ופסוקית הפוכה
entity.licenses.exists(license, license in ['/product/Google-Apps/sku/1010020027']) && !entity.licenses.exists(license, license in ['/product/Google-Apps/sku/1010060005'])
המדיניות חלה על משתמש אם יש לו רישיון לאחד לפחות מהמק"טים בסעיף הראשון. עם זאת, אם למשתמש יש רישיון לאחד מהמקט"ים בסעיף השני, המדיניות לא חלה על המשתמש הזה בכלל.
דוגמה 3: פסוקית הפוכה בלבד
!entity.licenses.exists(license, license in ['/product/Google-Apps/sku/1010060005'])
המדיניות חלה על משתמש אם אין לו רישיון לאף אחד מהמקט"ים שברשימה.
ערכי ברירת המחדל שבשדות
אם שדה מסוים לא מופיע בהגדרה המצומצמת, ערך ברירת המחדל שלו הוא:
| שם ההגדרה | שדה | ערך ברירת המחדל של השדה |
api_controls.google_services
|
services | [] (רשימה ריקה)
|
calendar.external_invitations
|
warn_on_invite | true
|
calendar.interoperability
|
enable_interoperability | false
|
calendar.primary_calendar_max_allowed_external_sharing
|
max_allowed_external_sharing | EXTERNAL_FREE_BUSY_ONLY
|
calendar.secondary_calendar_max_allowed_external_sharing
|
max_allowed_external_sharing | EXTERNAL_ALL_INFO_READ_ONLY
|
chat.chat_apps_access
|
enable_apps | true במק"טים של EDU, false במק"טים שאינם של EDU. מק"טים של EDU:
|
| enable_webhooks | true במק"טים של EDU, false במק"טים שאינם של EDU. מק"טים של EDU:
|
|
chat.chat_history
|
enable_chat_history | false
|
| history_on_by_default | false
|
|
| allow_user_modification | true
|
|
chat.external_chat_restriction
|
allow_external_chat | false
|
| external_chat_restriction | NO_RESTRICTION
|
|
chat.chat_and_space_restrictions
|
restriction_level | UNRESTRICTED
|
devices.android_available_apps
|
playstore_installable_apps | ALL
|
devices.android_verify_apps
|
turnoff_google_play_protect_allowed | false
|
devices.android_developer_options
|
מותר | false
|
devices.android_work_data_sync
|
מותר | true
|
devices.ios_work_data_sync
|
מותר | true
|
devices.android_work_profile_sharing
|
מותר | false
|
devices.ios_apple_watch
|
no_wrist_detection_usage_allowed | true
|
devices.ios_backup_encryption
|
נדרש | false
|
devices.ios_data_actions
|
external_data_sharing_allowed | true
|
| work_data_operation_type.non_workspace_apps_copy_paste_allowed | true
|
|
| work_data_operation_type.non_workspace_apps_sharing_allowed | true
|
|
| work_data_operation_type.personal_accounts_sharing_allowed | true
|
|
| work_data_operation_type.airdrop_sharing_allowed | true
|
|
| work_data_operation_type.files_printing_allowed | true
|
|
| work_data_operation_type.files_access_allowed | true
|
|
| work_data_operation_type.images_videos_saving_allowed | true
|
|
| work_data_operation_type.contacts_items_assignment_allowed | true
|
|
devices.ios_handoff
|
מותר | true
|
devices.ios_icloud_backup
|
מותר | true
|
devices.ios_lock_screen_control_center
|
מותר | true
|
devices.ios_lock_screen_notifications_view
|
מותר | true
|
devices.ios_safari_secure_browsing
|
fraudulent_website_warning_enforced | true
|
devices.android_google_play_private_apps
|
access_allowed | false
|
| publish_and_update_allowed | false
|
|
devices.android_screen_capture
|
מותר | true
|
devices.compromised_devices
|
compromised_android_devices_blocked | false
|
| jailbroken_ios_devices_blocked | false
|
|
devices.encryption
|
device_encryption_option | NOT_REQUIRED
|
devices.ios_icloud_storage
|
managed_apps_sync_allowed | true
|
devices.ios_screen_capture
|
מותר | true
|
devices.ios_keychain_sync
|
icloud_sync_allowed | true
|
devices.ios_document_sync
|
icloud_data_sync_allowed | true
|
devices.android_location_sharing
|
מותר | true
|
devices.android_apps_settings
|
modification_allowed | true
|
devices.android_trust_agents
|
smart_lock_allowed | true
|
devices.android_lock_screen_notifications
|
מותר | true
|
devices.android_lock_screen_notification_details
|
מותר | true
|
devices.android_unknown_source_apps
|
work_profile_installation_allowed | false
|
| personal_profile_installation_allowed | true
|
|
directory.external_directory_sharing
|
sharing_option | ORGANIZATION_DIRECTORY_DATA
|
drive_and_docs.drive_sdk
|
enable_drive_sdk_api_access | true
|
drive_and_docs.external_sharing
|
external_sharing_mode | ALLOWED
|
| allow_receiving_external_files | true
|
|
| warn_for_sharing_outside_allowlisted_domains | true
|
|
| allow_non_google_invites_in_allowlisted_domains | false
|
|
| allow_receiving_files_outside_allowlisted_domains | true
|
|
| warn_for_external_sharing | true
|
|
| allow_non_google_invites | true
|
|
| allow_publishing_files | true
|
|
| access_checker_suggestions | RECIPIENTS_OR_AUDIENCE_OR_PUBLIC
|
|
| allowed_parties_for_distributing_content | ALL_ELIGIBLE_USERS
|
|
drive_and_docs.general_access_default
|
default_file_access | LINK_SHARING_PRIVATE
|
gmail.auto_forwarding
|
enable_auto_forwarding | true
|
gmail.email_image_proxy_bypass
|
image_proxy_bypass_pattern | [] (רשימה ריקה)
|
| enable_image_proxy | true
|
|
gmail.email_spam_filter_ip_allowlist
|
allowed_ip_addresses | [] (רשימה ריקה)
|
gmail.links_and_external_images
|
apply_future_settings_automatically | true
|
| enable_aggressive_warnings_on_untrusted_links | false
|
|
gmail.mail_delegation
|
enable_mail_delegation | false
|
gmail.smime_encryption
|
enable_smime_encryption | STATUS_DISABLED
|
| allow_sha1_globally_in_smime_signature | false
|
|
gmail.spoofing_and_authentication
|
apply_future_settings_automatically | true
|
gmail.user_email_uploads
|
enable_mail_and_contacts_import | false
|
gmail.workspace_sync_for_outlook
|
enable_google_workspace_sync_for_microsoft_outlook | true
|
gmail.external_recipient_warning
|
מופעל | true
|
groups_for_business.groups_sharing
|
collaboration_capability | DOMAIN_USERS_ONLY
|
| create_groups_access_level | USERS_IN_DOMAIN
|
|
| view_topics_default_access_level | DOMAIN_USERS
|
|
| owners_can_allow_external_members | false
|
|
| owners_can_allow_incoming_mail_from_public | true
|
|
| owners_can_hide_groups | false
|
|
| new_groups_are_hidden | false
|
|
security.less_secure_apps
|
allow_less_secure_apps | false
|
security.password
|
allowed_strength | STRONG
|
| minimum_length | 8
|
|
| maximum_length | 100
|
|
| enforce_requirements_at_login | false
|
|
| allow_reuse | false
|
|
| expiration_duration | 0
|
|
security.super_admin_account_recovery
|
enable_account_recovery | false
|
security.two_step_verification_device_trust
|
allow_trusting_device | true
|
security.two_step_verification_enforcement
|
enforced_from | ביטול הגדרות |
security.two_step_verification_enforcement_factor
|
allowed_sign_in_factor_set | ALL
|
security.two_step_verification_enrollment
|
allow_enrollment | true
|
security.two_step_verification_grace_period
|
enrollment_grace_period | 0s
|
security.user_account_recovery
|
enable_account_recovery | false
|
workspace_marketplace.apps_access_options
|
access_level | ללקוחות K12: ALLOW_NONE
אחרת: ALLOW_ALL
|
| allow_all_internal_apps | false
|
|
workspace_marketplace.apps_allowlist
|
אפליקציות | [] (רשימה ריקה)
|
קבוצות מערכת
קבוצות המערכת של Google הן קבוצות שלא מופיעות ב-Groups API ומקושרות למדיניות המערכת. מזהי הקבוצות שלהם לא מתחילים ב-groups/, בניגוד למזהי קבוצות אחרים. בטבלה הבאה מפורטות הקבוצות האלה והמשתמשים ששייכים אליהן.
| GroupId | משתמשים שחברים בקבוצה הזו |
WORKSPACE_ALL_ADMIN_GROUP
|
כל האדמינים. |
UNCONSENTED_CHILD_GROUP
|
משתמשי EDU שהוגדר שלא מלאו להם 18 שנים ואין להם אישור הסכמה מההורים לשירות נוסף אחד או יותר. |
רישיונות למק"טים לא נתמכים
מק"טים שלא נתמכים על ידי ממשק ה-API של מנהל הרישיונות לא מופיעים בפורמט הרגיל:
entity.licenses.exists(license, license in ['/product/{productId}/sku/{skuId}'])
במקום זאת, הם מיוצגים על ידי פלייסהולדר במחרוזת השאילתה:
entity.licenses.exists(license, license in ['{placeholder}'])
לדוגמה:
entity.licenses.exists(license, license in ['CHROMEBOOK-SOFTWARE'])
בטבלה הבאה מפורטים המק"טים האלה והפלייסהולדרים התואמים שלהם.
| שם המוצר | מזהה מוצר | מזהה המק"ט | פלייסהולדר |
| תוכנת Chromebook | Google-Chrome-Device-Management
|
Google-Chrome-Device-Management-Perpetual
|
CHROMEBOOK-SOFTWARE
|
Google-Chrome-Device-Management
|
|||
Chrome-Active-Directory
|
|||
| Cloud Identity | 101001
|
1010010001
|
GOOGLE-IDENTITY
|