Ustawianie długości sesji dla usług Google Cloud

Jako administrator masz kontrolę nad tym, jak długo różni użytkownicy mogą korzystać z konsoli Google Cloud i pakietu SDK Cloud bez konieczności ponownego uwierzytelnienia. Możesz na przykład wymagać od użytkowników z podwyższonymi uprawnieniami – takich jak właściciele projektu, administratorzy rozliczeń czy inni użytkownicy pełniący rolę administratora – aby dokonywali ponownego uwierzytelniania częściej niż zwykli użytkownicy. Jeśli ustawisz długość sesji, użytkownicy zostaną poproszeni o ponowne zalogowanie się, aby rozpocząć nową sesję.

Ustawienie długości sesji ma zastosowanie w przypadku tych usług:

Uwaga: ustawienie długości sesji w Google Cloud nie ma zastosowania w przypadku aplikacji mobilnej konsoli i jest ograniczone w konsoli. Zalecamy korzystanie z tej funkcji w połączeniu z kontrolą sesji Google, która stosuje długość sesji do wszystkich usług internetowych Google.

Określanie zasad ponownego uwierzytelniania

  1. W konsoli administracyjnej Google otwórz Menu  a potem Bezpieczeństwo a potem Zarządzanie danymi i dostęp do nich a potem Kontrola sesji Google Cloud.

    Wymaga uprawnień administratora Ustawienia zabezpieczeń.

  2. Po lewej wybierz jednostkę organizacyjną, w której chcesz ustawić długość sesji.

    Aby ustawienia obejmowały wszystkich użytkowników, wybierz jednostkę organizacyjną najwyższego poziomu. Początkowo jednostka organizacyjna dziedziczy ustawienia z jednostki nadrzędnej.

  3. W sekcji Zasady ponownego uwierzytelniania wybierz Wymagaj ponownego uwierzytelniania i wybierz Częstotliwość ponownego uwierzytelniania z listy.

    Minimalna dozwolona częstotliwość to 1 godzina, a maksymalna – 24 godziny. Częstotliwość nie uwzględnia czasu, przez jaki użytkownik był nieaktywny podczas sesji. Jest to ustalony czas, po upływie którego użytkownik musi się ponownie zalogować.

    Możesz też zaznaczyć pole Wyklucz zaufane aplikacje, aby wykluczyć zaufane aplikacje z ponownego uwierzytelniania. (Zaufane aplikacje są oznaczone jako zaufane na stronie Kontrola dostępu do aplikacji. Więcej informacji znajdziesz w sekcji Przygotowanie do szerokiego wdrożenia poniżej. Zobacz też artykuł Określanie, które aplikacje innych firm i aplikacje wewnętrzne mają dostęp do danych Google Workspace).

  4. W sekcji Metoda ponownego uwierzytelniania wybierz Hasło lub Klucz bezpieczeństwa, aby określić, jak użytkownik ma ponownie się uwierzytelnić.

  5. Jeśli konfigurujesz zasady ponownego uwierzytelniania na poziomie jednostki organizacyjnej, kliknij przycisk Zastąp w prawym dolnym rogu, aby ustawienie się nie zmieniało, nawet jeśli ustawienie nadrzędne zostanie zmodyfikowane.

  6. Jeśli stan jednostki organizacyjnej to Zastąpione, wybierz jedną z tych opcji:

    • Odziedzicz – powoduje, że ustawienie jest przywracane do tej samej wartości co ustawienie nadrzędne.
    • Zapisz – powoduje, że ustawienie zostanie zachowane, nawet jeśli ustawienie nadrzędne ulegnie zmianie.
Zastosowanie zmian może potrwać do 24 godzin, ale zwykle dzieje się to znacznie szybciej. Więcej informacji

Przygotowanie do szerokiego wdrożenia

Skonfigurowana tutaj zasada ponownego uwierzytelniania dotyczy wszystkich aplikacji Google i aplikacji innych firm, które uzyskują dostęp do zasobów Google Cloud, wymagając zakresu Google Cloud. Zalecamy dokładne przetestowanie działania zasady w przypadku każdej aplikacji na małej grupie użytkowników – dodaj tych użytkowników do listy zaufanych aplikacji, zanim udostępnisz zasadę większej liczbie osób.

Instrukcje dotyczące sprawdzania aplikacji używanych obecnie przez organizację znajdziesz w artykule Określanie, które aplikacje innych firm i aplikacje wewnętrzne mają dostęp do danych Google Workspace. Pamiętaj, aby filtrować aplikacje, które wymagają usługi Google Cloud.

Po upływie skonfigurowanego czasu trwania sesji aplikacja będzie wymagać od użytkownika ponownego uwierzytelnienia, aby kontynuować działanie – podobnie jak w przypadku, gdy administrator unieważni tokeny odświeżania dla tej aplikacji.

Niektóre aplikacje mogą nie obsługiwać prawidłowo scenariusza ponownego uwierzytelniania, co może powodować nieoczekiwane awarie aplikacji lub zrzuty stosu. Niektóre inne aplikacje są wdrażane w przypadkach użycia serwer-serwer z danymi logowania użytkownika zamiast zalecanych danych logowania konta usługi. W takim przypadku nie ma użytkownika, który mógłby okresowo ponownie się uwierzytelniać.

Jeśli te scenariusze dotyczą Ciebie, możesz dodać te aplikacje do listy zaufanych, tymczasowo wyłączając je z ograniczeń dotyczących długości sesji, jednocześnie wdrażając kontrolę sesji we wszystkich innych interfejsach administratora Google Cloud. Dodaj aplikacje do listy zaufanych w sekcji Kontrola dostępu aplikacji i zaznacz pole Z wyjątkiem aplikacji zaufanych w ustawieniu Kontrola sesji Google Cloud.

Gdy sesja dobiegnie końca, możesz otrzymać komunikat z aplikacji innych firm o błędzie związanym z ponownym uwierzytelnianiem. W takim przypadku użytkownicy mogą zalogować się ponownie w aplikacji, aby rozpocząć nową sesję.

Aplikacje, które używają domyślnych danych logowania aplikacji (ADC) z wykorzystaniem danych logowania użytkownika, są uznawane za aplikacje innych firm. Te dane logowania są ważne tylko przez skonfigurowany czas trwania sesji. Gdy ten czas dobiegnie końca, aplikacje korzystające z domyślnych danych logowania aplikacji mogą również wyświetlać komunikat o błędzie związanym z ponownym uwierzytelnianiem. Deweloperzy mogą ponownie uwierzytelnić aplikację, uruchamiając polecenie gcloud auth application-default login, aby uzyskać nowe dane logowania.

Uwagi

Czas i sposób logowania się użytkowników

Jeśli chcesz, aby niektórzy użytkownicy musieli logować się częściej niż inni, umieść ich w innych jednostkach organizacyjnych. Następnie zastosuj w tych jednostkach inne długości sesji. Dzięki temu wybrani użytkownicy nie będą musieli przerywać swojej pracy, aby się zalogować, jeśli nie jest to konieczne.

Jeśli wymagasz stosowania klucza bezpieczeństwa, użytkownicy, którzy go nie mają, do momentu jego skonfigurowania nie będą mogli korzystać z konsoli ani z pakietu SDK Cloud. Gdy uzyskają już klucz bezpieczeństwa, będą mieli opcję przejścia na korzystanie z hasła zamiast klucza.

Zewnętrzni dostawcy tożsamości

  • Konsola – jeśli wymagasz od użytkownika ponownego uwierzytelnienia przy użyciu hasła, zostanie on przekierowany do dostawcy tożsamości. Dostawca ten może nie wymagać od użytkownika ponownego wpisania hasła w celu rozpoczęcia kolejnej sesji w konsoli. Dzieje się tak, ponieważ w użyciu jest inna aplikacja, która powoduje, że sesja użytkownika jest nadal aktywna u dostawcy tożsamości.

    Jeśli użytkownik musi ponownie uwierzytelnić się przez dotknięcie klucza bezpieczeństwa, może to zrobić w konsoli. Nie zostanie przekierowany do dostawcy tożsamości.

  • Pakiet SDK Cloud – jeśli do ponownego uwierzytelnienia konieczne jest hasło, gcloud będzie wymagać od użytkownika wykonania polecenia gcloud auth login w celu odnowienia sesji. Spowoduje to otwarcie okna przeglądarki i przekierowanie użytkownika do dostawcy tożsamości, gdzie może zostać poproszony o podanie danych logowania, jeśli nie ma aktywnej sesji u dostawcy tożsamości.

    Jeśli użytkownik musi ponownie uwierzytelnić się przez dotknięcie klucza bezpieczeństwa, może to zrobić w pakiecie Cloud SDK. Nie zostanie przekierowany do dostawcy tożsamości.