Google ได้เปิดตัวการตั้งค่าการควบคุมการเข้าถึงแอปเพื่อให้ผู้ดูแลระบบ Google Workspace for Education ควบคุมวิธีที่แอปของบุคคลที่สามเข้าถึงข้อมูลใน Google ขององค์กรได้ง่ายขึ้นเมื่อผู้ใช้ลงชื่อเข้าใช้โดยใช้บัญชี Google Workspace for Education แม้ว่านักพัฒนาแอปของบุคคลที่สามจะไม่ต้องดำเนินการใดๆ แต่ด้านล่างนี้คือแนวทางปฏิบัติแนะนำที่นักพัฒนาคนอื่นๆ เห็นว่ามีประโยชน์
ใช้ OAuth แบบเพิ่มทีละน้อย
คุณสามารถใช้ การให้สิทธิ์แบบเพิ่มทีละน้อย เพื่อขอขอบเขตที่จำเป็นในการเริ่มต้นแอปเท่านั้นในตอนแรก จากนั้นจึงขอขอบเขตเพิ่มเติมเมื่อจำเป็นต้องมีสิทธิ์ใหม่ จากนั้นบริบทของแอปจะระบุเหตุผลของคำขอให้ผู้ใช้ทราบ
เมื่อลงชื่อเข้าใช้ แอปจะขอขอบเขตพื้นฐาน เช่น ขอบเขตโปรไฟล์การลงชื่อเข้าใช้และขอบเขตเริ่มต้นอื่นๆ ที่แอปต้องใช้ในการทำงาน ต่อมา เมื่อผู้ใช้ต้องการดำเนินการที่ต้องใช้ขอบเขตเพิ่มเติม แอปจะขอขอบเขตเพิ่มเติมเหล่านั้น และผู้ใช้จะให้สิทธิ์เฉพาะขอบเขตใหม่จากหน้าจอคำยินยอม
เมื่อสร้างส่วนเสริมของ Google Classroom คุณควรปฏิบัติตามคำแนะนำของ Google Workspace Marketplace ในการระบุรายการ ขอบเขต OAuth ทั้งหมดที่แอปต้องใช้ ซึ่งจำเป็นเพื่อให้ผู้ดูแลระบบเข้าใจว่าระบบขอให้ผู้ใช้ในโดเมนให้ความยินยอมในขอบเขตใดบ้าง
ตรวจสอบว่าแอปทั้งหมดได้รับการยืนยัน OAuth แล้ว
แอปทั้งหมดที่เข้าถึง Google API ต้องยืนยันว่าแอปแสดงข้อมูลประจำตัวและเจตนาของตนอย่างถูกต้องตามที่ระบุไว้ในนโยบายข้อมูลผู้ใช้บริการ API ของ Google หากคุณดูแลแอปหลายแอปที่ใช้ Google API โปรดตรวจสอบว่าแอปแต่ละแอปได้รับการยืนยันแล้ว ผู้ดูแลระบบอาจเห็นรหัสไคลเอ็นต์ OAuth ทั้งหมดที่เชื่อมโยงกับแบรนด์ที่ได้รับการยืนยัน ใช้โปรเจ็กต์ Google Cloud แยกกันสำหรับการทดสอบและการใช้งานจริงและลบรหัสไคลเอ็นต์ OAuth ทั้งหมดที่ไม่ได้ใช้ออก เพื่อช่วยให้ผู้ดูแลระบบหลีกเลี่ยงการกำหนดค่ารหัสไคลเอ็นต์ OAuth ที่ไม่ถูกต้อง
การยืนยัน OAuth API เป็นกระบวนการที่ Google Cloud Platform ใช้เพื่อให้มั่นใจว่าแอปที่ขอขอบเขตที่ละเอียดอ่อนหรือขอบเขตที่จำกัดมีความปลอดภัยและเป็นไปตามข้อกำหนด กระบวนการยืนยันจะช่วยปกป้องผู้ใช้และข้อมูล Google Cloud จากการเข้าถึงที่ไม่ได้รับอนุญาต
แอปที่ขอขอบเขตที่ละเอียดอ่อนหรือขอบเขตที่จำกัดต้องเป็นไปตามนโยบายข้อมูลผู้ใช้บริการ Google API นโยบายนี้กำหนดให้แอปต้องปกป้องข้อมูลผู้ใช้และใช้ข้อมูลเพื่อวัตถุประสงค์ที่ผู้ใช้ให้สิทธิ์เท่านั้น นอกจากนี้ แอปอาจต้องผ่านการประเมินความปลอดภัยโดยอิสระเพื่อยืนยันว่าแอปเป็นไปตามข้อกำหนดด้านความปลอดภัยของ Google Cloud
โปรดทราบว่ากระบวนการยืนยัน OAuth API อาจใช้เวลาหลายสัปดาห์จึงจะเสร็จสมบูรณ์ เมื่อแอปได้รับการยืนยันแล้ว คุณจะขอขอบเขตที่ละเอียดอ่อนหรือขอบเขตที่จำกัดที่ต้องการได้
โปรดดูรายละเอียดเพิ่มเติมในคำถามที่พบบ่อยเกี่ยวกับการยืนยัน OAuth API
จัดการรหัสไคลเอ็นต์ OAuth หลายรายการ
โปรเจ็กต์ที่อยู่ในระบบคลาวด์ของ Google Cloud อาจมีรหัสไคลเอ็นต์ OAuth หลายรายการ ซึ่งอาจกำหนดให้ผู้ดูแลระบบโดเมนต้องกำหนดค่าการเข้าถึงหลายครั้ง
ตรวจสอบความถูกต้องของรหัสไคลเอ็นต์ OAuth
สอบถามทีมพัฒนาเพื่อทำความเข้าใจว่ามีการใช้รหัสไคลเอ็นต์ OAuth ใดบ้างในการผสานรวมกับ Google OAuth ใช้โปรเจ็กต์ Google Cloud 2 โปรเจ็กต์ที่แตกต่างกันสำหรับ การทดสอบและการใช้งานจริง เพื่อช่วยให้ผู้ดูแลระบบเข้าใจว่าควรกำหนดค่ารหัสไคลเอ็นต์ OAuth ใด ลบรหัสไคลเอ็นต์ที่เลิกใช้งานแล้วหรือล้าสมัยออกจากโปรเจ็กต์ที่ใช้งานจริง
อัปโหลด CSV
หากมีรหัสไคลเอ็นต์หลายรายการ เราขอแนะนำให้ใช้ประโยชน์จากตัวเลือกการอัปโหลด CSV หลายรายการพร้อมกัน เพื่อช่วยให้ผู้ดูแลระบบกำหนดค่าแอปทั้งหมดได้อย่างรวดเร็ว
ช่องต่างๆ มีดังนี้
| ช่อง | ต้องระบุ | หมายเหตุ |
|---|---|---|
| ชื่อแอป | ไม่ | ป้อนชื่อแอป โดยการเปลี่ยนแปลงของชื่อแอปในไฟล์ CSV จะไม่อัปเดตในคอนโซลผู้ดูแลระบบ |
| ประเภท | ใช่ | เลือกตัวเลือกใดตัวเลือกหนึ่งต่อไปนี้ เว็บแอปพลิเคชัน, Android หรือ iOS |
| รหัส | ใช่ | สำหรับเว็บแอป ให้ป้อนรหัสไคลเอ็นต์ OAuth ที่ออกให้กับแอปพลิเคชัน ส่วนสำหรับแอป Android และ iOS ให้ป้อนรหัสไคลเอ็นต์ OAuth หรือรหัสแพ็กเกจหรือรหัสชุดที่แอปใช้ใน Google Play หรือ Apple App Store |
| หน่วยขององค์กร | ใช่ | ลูกค้าต้องเป็นผู้กรอกข้อมูลในช่องนี้ ป้อนเครื่องหมายทับ (/) เพื่อใช้การตั้งค่าการเข้าถึงแอปกับทั้งโดเมน หากต้องการใช้การตั้งค่าการเข้าถึงกับบางหน่วยขององค์กร ให้เพิ่มแถวในสเปรดชีตสำหรับแต่ละหน่วยขององค์กร แล้วทําซ้ำคอลัมน์ชื่อแอป ประเภท และรหัส (เช่น "/org_unit_1/sub_unit_1") |
| การเข้าถึง | ใช่ | เลือกตัวเลือกใดตัวเลือกหนึ่งต่อไปนี้ เชื่อถือได้ , ถูกบล็อก หรือจำกัด |
ข้อผิดพลาด OAuth
เราได้เปิดตัวข้อความแสดงข้อผิดพลาด 2 รายการพร้อมกับการควบคุมใหม่ของผู้ดูแลระบบ
- ข้อผิดพลาด 400: access_not_configured - แสดงขึ้นเมื่อระบบปฏิเสธการเชื่อมต่อ OAuth เนื่องจากคุณไม่ได้กำหนดค่าแอป
- ข้อผิดพลาด 400: admin_policy_enforced - แสดงขึ้นเมื่อระบบปฏิเสธการเชื่อมต่อ OAuth เนื่องจากผู้ดูแลระบบได้บล็อกแอปพลิเคชันของคุณ
ผู้ใช้ที่ได้รับการระบุว่ามีอายุต่ำกว่า 18 ปี
ผู้ดูแลระบบอาจ จัดการการเข้าถึงแอปของบุคคลที่สามที่ไม่ได้กำหนดค่าไว้สำหรับผู้ใช้ ที่ได้รับการระบุว่ามีอายุต่ำกว่า 18 ปี หากผู้ใช้พบข้อผิดพลาด "การเข้าถึงถูกบล็อก: ผู้ดูแลระบบของสถาบันต้องตรวจสอบ [ชื่อแอป]" ผู้ใช้ต้องขอสิทธิ์เข้าถึงจากภายในข้อความแสดงข้อผิดพลาด ซึ่งจะช่วยให้ผู้ดูแลระบบตรวจสอบแอปพลิเคชันของบุคคลที่สามได้ ผู้ดูแลระบบสามารถตัดสินใจว่าจะอนุญาตหรือบล็อกแอปพลิเคชันของบุคคลที่สาม