گوگل تنظیمات کنترل دسترسی برنامهها را معرفی کرده است تا مدیران Google Workspace for Education بتوانند راحتتر نحوه دسترسی برنامههای شخص ثالث به دادههای گوگل سازمانشان را هنگام ورود کاربران با استفاده از حسابهای Google Workspace for Education خود کنترل کنند . اگرچه هیچ اقدامی از سوی توسعهدهندگان برنامههای شخص ثالث لازم نیست، در زیر برخی از بهترین شیوههایی که سایر توسعهدهندگان مفید دانستهاند، آورده شده است.
از OAuth افزایشی استفاده کنید
شما میتوانید از مجوزدهی افزایشی برای درخواست اولیه فقط محدودههای مورد نیاز برای شروع برنامه خود استفاده کنید، سپس با نیاز به مجوزهای جدید، محدودههای اضافی را درخواست کنید. سپس زمینه برنامه دلیل درخواست را برای کاربر مشخص میکند.
در هنگام ورود به سیستم، برنامه شما محدودههای اولیه مانند نمایه محدوده ورود به سیستم و سایر محدودههای اولیه مورد نیاز برنامه برای عملکرد را درخواست میکند. بعداً، هنگامی که کاربر میخواهد عملی را انجام دهد که به محدودههای اضافی نیاز دارد، برنامه شما آن محدودههای اضافی را درخواست میکند و کاربر فقط محدودههای جدید را از صفحه رضایتنامه تأیید میکند.
هنگام ساخت افزونهی Google Classroom، باید از راهنمای Google Workspace Marketplace در مورد ارائهی فهرست کاملی از محدودههای OAuth مورد نیاز برنامهی خود پیروی کنید. این کار ضروری است تا مدیر متوجه شود که از کاربر دامنه خواسته شده است با کدام محدودهها موافقت کند.
مطمئن شوید که همه برنامهها توسط OAuth تأیید شدهاند
تمام برنامههایی که به APIهای گوگل دسترسی دارند، باید تأیید کنند که هویت و هدف خود را به طور دقیق، همانطور که در سیاست دادههای کاربر سرویسهای API گوگل مشخص شده است، نشان میدهند. اگر چندین برنامه دارید که از APIهای گوگل استفاده میکنند، مطمئن شوید که هر برنامه تأیید شده است. مدیران ممکن است تمام شناسههای کلاینت OAuth مرتبط با برند تأیید شده شما را ببینند. برای کمک به مدیران در جلوگیری از پیکربندی شناسههای کلاینت OAuth نادرست، از پروژههای Google Cloud جداگانه برای آزمایش و تولید استفاده کنید و تمام شناسههای کلاینت OAuth که استفاده نمیشوند را حذف کنید.
تأیید API OAuth فرآیندی است که Google Cloud Platform از آن استفاده میکند تا اطمینان حاصل کند که برنامههایی که درخواست دامنههای حساس یا محدود دارند، ایمن و سازگار هستند. این فرآیند تأیید به محافظت از کاربران و دادههای Google Cloud در برابر دسترسی غیرمجاز کمک میکند.
برنامههایی که درخواست دسترسی به حوزههای حساس یا محدود را دارند، باید از خطمشی دادههای کاربر سرویسهای API گوگل پیروی کنند. این خطمشی، برنامهها را ملزم میکند که از دادههای کاربر محافظت کنند و فقط از دادهها برای اهدافی که کاربر اجازه داده است، استفاده کنند. همچنین ممکن است برنامهها نیاز به ارزیابی امنیتی مستقل داشته باشند تا تأیید شود که الزامات امنیتی Google Cloud را برآورده میکنند.
توجه داشته باشید، فرآیند تأیید API OAuth میتواند تا چند هفته طول بکشد. پس از تأیید برنامه شما، میتوانید محدودههای حساس یا محدود مورد نیاز خود را درخواست کنید.
برای جزئیات بیشتر به سوالات متداول تأیید API OAuth مراجعه کنید.
مدیریت چندین شناسه کلاینت OAuth
یک پروژه Google Cloud ممکن است چندین شناسه کلاینت OAuth داشته باشد، که ممکن است نیاز باشد یک مدیر دامنه چندین بار دسترسی شما را پیکربندی کند.
اطمینان از صحت شناسههای کلاینت OAuth
با تیم توسعه خود مشورت کنید تا بفهمید کدام شناسههای کلاینت OAuth برای ادغام با Google OAuth استفاده میشوند. از دو پروژه مختلف Google Cloud برای آزمایش و تولید استفاده کنید تا به مدیران کمک کنید تا بفهمند کدام شناسههای کلاینت OAuth را پیکربندی کنند. هرگونه شناسه کلاینت منسوخ یا قدیمی را از پروژههای تولید خود حذف کنید.
آپلود CSV
اگر چندین شناسه کلاینت دارید، توصیه میکنیم از گزینه آپلود انبوه CSV استفاده کنید تا به مدیران کمک کنید تا به سرعت همه برنامههای شما را پیکربندی کنند.
فیلدها عبارتند از:
| میدان | مورد نیاز | یادداشتها |
|---|---|---|
| نام برنامه | خیر | نام برنامه را وارد کنید. تغییراتی که در نام برنامه در فایل CSV ایجاد میکنید، در کنسول مدیریت بهروزرسانی نمیشوند. |
| نوع | بله | یکی از برنامههای تحت وب ، اندروید یا iOS . |
| شناسه | بله | برای برنامههای وب، شناسه کلاینت OAuth که به برنامه اختصاص داده شده است را وارد کنید. برای برنامههای اندروید و iOS، شناسه کلاینت OAuth یا شناسه بسته یا باندل مورد استفاده برنامه در گوگل پلی یا اپ استور اپل را وارد کنید. |
| واحد سازمانی | بله | توسط مشتری تکمیل شود. برای اعمال تنظیمات دسترسی برنامه به کل دامنه خود، یک اسلش ('/') وارد کنید. برای اعمال تنظیمات دسترسی به واحدهای سازمانی خاص، برای هر واحد سازمانی یک ردیف به صفحه گسترده اضافه کنید که نام برنامه، نوع و شناسه آن را تکرار کند. (برای مثال، '/org_unit_1/sub_unit_1'). |
| دسترسی | بله | یکی از موارد مورد اعتماد ، مسدود یا محدود . |
خطاهای OAuth
دو پیام خطا با این کنترلهای جدید مدیریتی معرفی شدهاند.
- خطای ۴۰۰: access_not_configured - زمانی دریافت میشود که اتصال OAuth به دلیل پیکربندی نشدن برنامه شما رد میشود.
- خطای ۴۰۰: admin_policy_enforced - زمانی دریافت میشود که اتصال OAuth به دلیل مسدود شدن برنامه توسط مدیر، رد میشود.
کاربران زیر ۱۸ سال
مدیران میتوانند دسترسی به برنامههای شخص ثالث پیکربندی نشده را برای کاربرانی که زیر ۱۸ سال سن دارند، مدیریت کنند. اگر کاربری با خطای "دسترسی مسدود شده است: مدیر موسسه شما باید [نام برنامه] را بررسی کند" مواجه شود، باید از طریق پیام خطا درخواست دسترسی کند. این به مدیر اجازه میدهد تا برنامه شخص ثالث را بررسی کند. مدیران میتوانند تصمیم بگیرند که آیا برنامههای شخص ثالث را مجاز یا مسدود کنند.