طرحت Google إعدادات التحكّم في الوصول إلى التطبيقات لتسهيل عملية التحكّم في كيفية وصول التطبيقات الخارجية إلى بيانات المستخدم على Google Workspace for Education عندما يسجّل المستخدمون الدخول باستخدام حساباتهم على Google Workspace for Education. لا يطلب من مطوّري التطبيقات الخارجية اتّخاذ أي إجراءات، ولكن في ما يلي بعض أفضل الممارسات التي وجدها المطوّرون الآخرون مفيدة.
استخدام OAuth التدريجي
يمكنك استخدام التفويض التدريجي لطلب النطاقات المطلوبة لبدء تطبيقك فقط في البداية، ثم طلب نطاقات إضافية عند الحاجة إلى أذونات جديدة. بعد ذلك، يحدّد سياق التطبيق سبب الطلب للمستخدم.
عند تسجيل الدخول، يطلب تطبيقك نطاقات أساسية، مثل نطاق تسجيل الدخول إلى الملف الشخصي والنطاقات الأولية الأخرى التي يحتاجها تطبيقك للتشغيل. في وقت لاحق، عندما يريد المستخدم تنفيذ إجراء يتطلب نطاقات إضافية، يطلب تطبيقك هذه النطاقات الإضافية ويسمح المستخدم بالنطاقات الجديدة فقط من شاشة الموافقة.
عند إنشاء إضافة في Google Classroom، عليك اتّباع إرشادات Google Workspace Marketplace بشأن تقديم قائمة كاملة بنطاقات OAuth التي يتطلبها تطبيقك. هذا ضروري لكي يفهم المشرف النطاقات التي يُطلب من مستخدم النطاق الموافقة عليها.
التأكّد من التحقّق من جميع تطبيقات OAuth
يجب أن تتحقّق جميع التطبيقات التي تصل إلى Google APIs من أنّها تمثّل هويتها وغرضها بدقة على النحو المحدّد في سياسة بيانات المستخدمين الخاصة بخدمات واجهة برمجة التطبيقات من Google. إذا كنت تحتفظ بتطبيقات متعددة تستخدم Google APIs، تأكّد من التحقّق من كل تطبيق. قد يرى المشرفون جميع معرّفات عملاء OAuth المرتبطة بعلامتك التجارية التي تم التحقّق منها. لمساعدة المشرفين في تجنُّب ضبط معرّفات عملاء OAuth غير صحيحة، استخدِم مشاريع منفصلة على Google Cloud للاختبار والإنتاج ، واحذف جميع معرّفات عملاء OAuth غير المستخدَمة.
التحقّق من واجهة برمجة تطبيقات OAuth هي عملية تستخدمها Google Cloud Platform للتأكّد من أنّ التطبيقات التي تطلب نطاقات حسّاسة أو مقيَّدة آمنة ومتوافقة. تساعد عملية التحقّق في حماية مستخدمي Google Cloud وبياناتهم من الوصول غير المصرّح به.
يجب أن تمتثل التطبيقات التي تطلب نطاقات حسّاسة أو مقيَّدة لسياسة بيانات المستخدمين الخاصة بخدمات واجهة برمجة التطبيقات من Google. تتطلب هذه السياسة من التطبيقات حماية بيانات المستخدمين واستخدام البيانات فقط للأغراض التي أذن بها المستخدم. قد تحتاج التطبيقات أيضًا إلى الخضوع لتقييم أمان مستقل للتحقّق من استيفائها لمتطلبات الأمان في Google Cloud.
يُرجى العِلم أنّ عملية التحقّق من واجهة برمجة تطبيقات OAuth قد تستغرق عدة أسابيع حتى تكتمل. بعد التحقّق من تطبيقك، يمكنك طلب النطاقات الحسّاسة أو المقيَّدة التي تحتاج إليها.
يُرجى الاطّلاع على الأسئلة الشائعة حول التحقّق من واجهة برمجة تطبيقات OAuth لمزيد من التفاصيل.
التعامل مع معرّفات عملاء OAuth المتعددة
قد يتضمّن مشروع Google Cloud معرّفات عملاء OAuth متعددة، ما قد يتطلب من مشرف النطاق ضبط إذن الوصول عدة مرات.
التأكّد من دقة معرّفات عملاء OAuth
تواصل مع فريق التطوير لمعرفة معرّفات عملاء OAuth المستخدَمة للتكامل مع Google OAuth. استخدِم مشروعَين مختلفَين على Google Cloud لـ لاختبار والإنتاج لمساعدة المشرفين في فهم معرّفات عملاء OAuth التي يجب ضبطها. احذف أي معرّفات عملاء تم إيقافها أو أصبحت قديمة من مشاريعك الإنتاجية.
تحميل ملف CSV
إذا كان لديك معرّفات عملاء متعددة، ننصحك بالاستفادة من خيار التحميل المجمّع لملف CSV لمساعدة المشرفين في ضبط جميع تطبيقاتك بسرعة.
الحقول هي:
| الحقل | مطلوب | ملاحظات |
|---|---|---|
| اسم التطبيق | لا | أدخِل اسم التطبيق. لا يتم تطبيق التغييرات التي تجريها على اسم التطبيق في ملف CSV في "وحدة تحكُّم المشرف". |
| النوع | نعم | أحد الخيارات التالية: تطبيق ويب أو Android أو iOS |
| رقم التعريف | نعم | بالنسبة إلى تطبيقات الويب، أدخِل معرّف عميل OAuth الصادر للتطبيق. أمّا تطبيقات Android وiOS، فعليك إدخال معرِّف عميل OAuth أو حزمة التطبيق أو معرِّف الحزمة التي يستخدمها التطبيق في Google Play أو Apple App Store. |
| الوحدة التنظيمية | نعم | يجب أن يملأ العميل هذا الحقل. أدخِل شرطة مائلة للأمام ("/") لتطبيق إعداد الوصول إلى التطبيق على نطاقك بالكامل. لتطبيق إعدادات الوصول على وحدات تنظيمية معيَّنة، أضِف صفًا إلى جدول البيانات لكل وحدة تنظيمية، مع تكرار أعمدة "App name" (اسم التطبيق) و"Type" (النوع) و"ID" (رقم التعريف). (مثلاً، /org_unit_1/sub_unit_1) |
| إذن الوصول | نعم | أحد الخيارات التالية: موثوق به أو محظور أو محدود |
أخطاء OAuth
تم طرح رسالتَي خطأ مع عناصر التحكّم الجديدة هذه للمشرف.
- الخطأ 400: access_not_configured : يتم تلقّيه عند رفض اتصال OAuth لأنّه لم يتم ضبط تطبيقك.
- الخطأ 400: admin_policy_enforced : يتم تلقّيه عند رفض اتصال OAuth لأنّ المشرف حظر تطبيقك.
المستخدمون المصنّفون أصغر من 18 عامًا
يمكن للمشرفين إدارة وصول المستخدمين المصنّفين أصغر من 18 عامًا إلى التطبيقات الخارجية غير المضبوطة بعد. إذا ظهرت للمستخدم رسالة الخطأ "تم حظر إمكانية الوصول: على مشرف مؤسستك مراجعة تطبيق [اسم التطبيق]"، عليه طلب الوصول ضِمن رسالة الخطأ. يسمح ذلك للمشرف بمراجعة التطبيق الخارجي. يمكن للمشرفين تحديد ما إذا كانوا سيسمحون بالتطبيقات الخارجية أو سيحظرونها.