طرحت Google إعدادات التحكّم في الوصول إلى التطبيقات لتسهيل تحكّم مشرفي Google Workspace for Education في كيفية وصول التطبيقات التابعة لجهات خارجية إلى ข้อมูล Google الخاصة بمؤسساتهم عند تسجيل المستخدمين الدخول باستخدام حساباتهم على Google Workspace for Education. على الرغم من عدم وجود إجراءات مطلوبة من مطوّري التطبيقات التابعين لجهات خارجية، في ما يلي بعض أفضل الممارسات التي وجدها المطوّرون الآخرون مفيدة.
استخدام OAuth التزايدي
يمكنك استخدام التفويض المتزايد لطلب النطاقات المطلوبة لبدء تطبيقك فقط في البداية، ثم طلب نطاقات إضافية عند الحاجة إلى أذونات جديدة. بعد ذلك، يحدِّد سياق التطبيق سبب الطلب للمستخدم.
عند تسجيل الدخول، يطلب تطبيقك نطاقات أساسية، مثل ملف تعريف نطاق تسجيل الدخول و النطاقات الأولية الأخرى التي يتطلبها تطبيقك للعمل. في وقت لاحق، عندما يريد المستخدم تنفيذ إجراء يتطلّب نطاقات إضافية، يطلب تطبيقك تلك النطاقات الإضافية ويفوّض المستخدم النطاقات الجديدة فقط من شاشة الموافقة.
عند إنشاء إضافة Google Classroom، عليك اتّباع إرشادات Google Workspace Marketplace لتقديم قائمة كاملة بحدود oauth التي يتطلبها تطبيقك. هذا الإجراء ضروري لكي يفهم المشرف المهام التي يُطلب من مستخدم النطاق الموافقة عليها.
التأكّد من أنّ جميع التطبيقات قد تم التحقّق منها باستخدام بروتوكول OAuth
على جميع التطبيقات التي تصل إلى Google APIs التحقّق من أنّها تمثّل هويتها ونيّتها بدقة على النحو المحدّد في سياسة بيانات المستخدمين في خدمات واجهة برمجة التطبيقات من Google. إذا كنت تدير تطبيقات متعددة تستخدم واجهات برمجة تطبيقات Google، تأكَّد من أنّه تم إثبات ملكية كل تطبيق. يمكن للمشرفين الاطّلاع على جميع معرّفات عملاء OAuth المرتبطة بعلامتك التجارية التي تم إثبات ملكيتها. لمساعدة المشرفين في تجنُّب ضبط معرّفات خاطئة لمعرّفات عملاء OAuth، استخدِم مشاريع Google Cloud منفصلة للاختبار والإصدار العلني واحذِف جميع معرّفات عملاء OAuth غير المستخدَمة.
عملية التحقّق من واجهة برمجة التطبيقات OAuth هي عملية تستخدمها Google Cloud Platform لضمان أنّ التطبيقات التي تطلب نطاقات حسّاسة أو مشروطة آمنة وممتثلة للسياسات. تساعد عملية إثبات الهوية في حماية مستخدمي Google Cloud وبياناتهم من الوصول غير المصرّح به.
يجب أن تلتزم التطبيقات التي تطلب نطاقًا حسّاسًا أو محظورًا بسياسة بيانات المستخدمين في خدمات Google API. تتطلّب هذه السياسة من التطبيقات حماية بيانات المستخدمين وعدم استخدامها إلا للأغراض التي سمح بها المستخدم. قد تحتاج التطبيقات أيضًا إلى الخضوع لتقييم أمان مستقل للتأكّد من أنّها تستوفي متطلبات الأمان في Google Cloud.
يُرجى العِلم أنّه يمكن أن تستغرق عملية إثبات الملكية في OAuth API مدّة تصل إلى عدة أسابيع. بعد إثبات ملكية تطبيقك، يمكنك طلب النطاقات الحسّاسة أو المحظورة التي تحتاج إليها.
يُرجى الاطّلاع على الأسئلة الشائعة حول إثبات ملكية واجهة برمجة تطبيقات OAuth للحصول على مزيد من التفاصيل.
التعامل مع معرّفات عملاء OAuth متعددة
قد يتضمّن مشروع Google Cloud معرّفات عملاء متعددة لبروتوكول OAuth، ما قد يتطلّب من أحد مشرفي النطاق ضبط إذن وصولك عدة مرات.
التأكّد من دقة معرّفات عملاء OAuth
تحقّق من فريق التطوير لمعرفة معرّفات عملاء OAuth التي يتم استخدامها لدمجها مع Google OAuth. استخدِم مشروعَين مختلفَين على Google Cloud لالاختبار والإصدار العلني لمساعدة المشرفين في معرفة أرقام تعريف ملف تعريف العميل في OAuth التي يجب ضبطها. احذِف أي معرّفات عملاء متوقّفة نهائيًا أو قديمة من مشاريعك العلنية.
تحميل ملف CSV
إذا كانت لديك أرقام تعريف عملاء متعددة، ننصحك بالاستفادة من خيار التحميل المجمّع لملفات CSV لمساعدة المشرفين على ضبط إعدادات جميع تطبيقاتك بسرعة.
الحقول هي:
| الحقل | مطلوب | ملاحظات |
|---|---|---|
| اسم التطبيق | لا | أدخِل اسم التطبيق. لا يتم تطبيق التغييرات التي تجريها على اسم التطبيق في ملف CSV في "وحدة تحكّم المشرف". |
| النوع | نعم | أحد تطبيقات الويب أو Android أو iOS |
| Id | نعم | بالنسبة إلى تطبيقات الويب، أدخِل معرِّف عميل OAuth الذي تم إصداره
للتطبيق. بالنسبة إلى تطبيقات Android وiOS، أدخِل معرِّف عميل OAuth أو معرِّف الحزمة التي يستخدمها التطبيق في Google Play أو متجر Apple App Store. |
| الوحدة التنظيمية | نعم | يملؤها العميل. أدخِل شرطة مائلة للأمام ('/') لتطبيق إعدادات الوصول إلى التطبيق على نطاقك بالكامل. لتطبيق إعدادات الوصول على وحدات تنظيمية معيّنة، أضِف صفًا إلى جدول البيانات لكل وحدة تنظيمية، مع تكرار اسم التطبيق والنوع ورقم التعريف. (على سبيل المثال، "/org_unit_1/sub_unit_1") |
| إذن الوصول | نعم | أحد الخيارات التالية: موثوق به أو محظور أو محدود |
أخطاء OAuth
تمّت إضافة رسالتَي خطأ مع عناصر التحكّم الجديدة هذه للمشرفين.
- الخطأ 400: access_not_configured: يتم تلقّيه عند رفض اتصال OAuth لأنّه لم يتم ضبط إعدادات تطبيقك.
- الخطأ 400: admin_policy_enforced: يتم تلقّيه عند رفض اتصال OAuth لأنّ المشرف قد حظر تطبيقك.
المستخدمون الذين تقلّ أعمارهم عن 18 عامًا
يمكن للمشرفين إدارة الوصول إلى التطبيقات التابعة لجهات خارجية التي لم يتم ضبطها للمستخدمين الذين تقلّ أعمارهم عن 18 عامًا. إذا ظهرت لمستخدم رسالة الخطأ "تم حظر إمكانية الوصول: على مشرف مؤسستك مراجعة [اسم التطبيق]"، عليه طلب الوصول من داخل رسالة الخطأ. يتيح ذلك للمشرف مراجعة التطبيق التابع لجهة خارجية. ويمكن للمشرفين تحديد ما إذا كانوا يريدون السماح بالتطبيقات الخارجية أو حظرها.