Concetti dell'API Policy
Questa documentazione descrive i concetti e le strategie dell'API Cloud Identity Policy.
Riduzione
Per elencare e recuperare le policy, consulta Configurazione dell'API Policy ed Elenco e recupero delle policy.
Terminologia
Valore dell'impostazione: valori delle impostazioni forniti nella policy
Valore dell'impostazione ridotto: i valori delle impostazioni finali applicati a un target, ad esempio un utente, un'unità organizzativa o un gruppo
Riduzione: il processo di riduzione dei valori delle impostazioni delle policy a un unico valore per un target, ad esempio un utente, un'unità organizzativa o un gruppo
Riduttore: il tipo di regole che determinano il modo in cui i valori delle impostazioni delle policy vengono semplificati in un'unica impostazione per un utente
Policy degli amministratori: policy create dagli amministratori nella Console di amministrazione
Policy di sistema: policy fornite da Google Workspace
Processo di riduzione
Per ridurre un'impostazione per un determinato utente:
Filtra tutte le policy che non si applicano all'utente.
Filtra le policy che non contengono l'impostazione.
Filtra le policy che si applicano alla UO in cui non si trova l'utente di destinazione.
Filtra le policy che si applicano al gruppo di cui l'utente di destinazione non fa parte.
Filtra le policy che si applicano alla licenza che l'utente di destinazione non ha. Per scoprire di più sulle licenze, consulta la sezione Licenze.
Applica il riduttore dell'impostazione specificata.
Max: per ogni campo nell'impostazione ridotta, il riduttore Max sceglie il valore della policy con il valore sortOrder più alto.
Unisci: per ogni campo dell'impostazione ridotta, il riduttore Unisci sceglie il valore della policy con il valore sortOrder più alto che ha un valore per quel campo. Se il campo è un array, il riduttore Unisci concatena i valori di tutte le policy.
MaxMap: il riduttore MaxMap viene utilizzato per le impostazioni in cui le voci dell'array hanno un campo che funge da chiave primaria. Il riduttore MaxMap non concatena le voci dell'array con la stessa chiave primaria. Aggiorna invece la voce utilizzando il riduttore Max sugli altri campi delle voci dell'array che condividono la stessa chiave primaria.
MergeMap: il riduttore MergeMap viene utilizzato per le impostazioni in cui le voci dell'array hanno un campo che funge da chiave primaria. Il riduttore MergeMap non concatena le voci dell'array con la stessa chiave primaria. Invece, aggiorna la voce utilizzando il riduttore Unisci sugli altri campi delle voci dell'array che condividono la stessa chiave primaria.
Elenco: queste impostazioni non vengono ridotte a una singola impostazione. Invece, l'intera sequenza di impostazioni viene conservata e applicata come elenco.
Reducer per le impostazioni
| Nome impostazione | Reducer |
api_controls.custom_user_message
|
Max |
api_controls.google_services
|
MaxMap |
api_controls.internal_apps
|
Max |
api_controls.unconfigured_third_party_apps
|
Unisci |
calendar.appointment_schedules
|
Max |
calendar.external_invitations
|
Max |
calendar.interoperability
|
Unisci |
calendar.primary_calendar_max_allowed_external_sharing
|
Unisci |
calendar.secondary_calendar_max_allowed_external_sharing
|
Unisci |
chat.chat_apps_access
|
Max |
chat.chat_file_sharing
|
Max |
chat.chat_history
|
Unisci |
chat.external_chat_restriction
|
Unisci |
chat.space_history
|
Max |
classroom.api_data_access
|
Max |
classroom.class_membership
|
Max |
classroom.guardian_access
|
Max |
classroom.originality_reports
|
Max |
classroom.roster_import
|
Max |
classroom.student_unenrollment
|
Max |
classroom.teacher_permissions
|
Max |
cloud_sharing_options.cloud_data_sharing
|
Max |
detector.regular_expression
|
Elenco |
detector.word_list
|
Elenco |
drive_and_docs.drive_for_desktop
|
Max |
drive_and_docs.drive_sdk
|
Unisci |
drive_and_docs.external_sharing
|
Max |
drive_and_docs.file_security_update
|
Max |
drive_and_docs.general_access_default
|
Max |
drive_and_docs.shared_drive_creation
|
Max |
gmail.attachment_compliance
|
MaxMap |
gmail.auto_forwarding
|
Max |
gmail.blocked_sender_lists
|
MaxMap |
gmail.comprehensive_mail_storage
|
Max |
gmail.confidential_mode
|
Max |
gmail.content_compliance
|
MaxMap |
gmail.email_address_lists
|
MaxMap |
gmail.email_attachment_safety
|
Max |
gmail.email_image_proxy_bypass
|
Unisci |
gmail.email_spam_filter_ip_allowlist
|
Max |
gmail.enhanced_pre_delivery_message_scanning
|
Max |
gmail.enhanced_smime_encryption
|
Max |
gmail.imap_access
|
Unisci |
gmail.links_and_external_images
|
Max |
gmail.mail_delegation
|
Unisci |
gmail.name_format
|
Unisci |
gmail.objectionable_content
|
MaxMap |
gmail.per_user_outbound_gateway
|
Max |
gmail.pop_access
|
Max |
gmail.rule_states
|
MaxMap |
gmail.spam_override_lists
|
MaxMap |
gmail.spoofing_and_authentication
|
Max |
gmail.user_email_uploads
|
Max |
gmail.workspace_sync_for_outlook
|
Max |
groups_for_business.groups_sharing
|
Unisci |
meet.safety_access
|
Max |
meet.safety_domain
|
Max |
meet.safety_external_participants
|
Max |
meet.safety_host_management
|
Max |
meet.video_recording
|
Max |
rule.dlp
|
Elenco |
rule.system_defined_alerts
|
Elenco |
security.advanced_protection_program
|
Max |
security.less_secure_apps
|
Unisci |
security.login_challenges
|
Max |
security.password
|
Max |
security.session_controls
|
Max |
security.super_admin_account_recovery
|
Unisci |
security.two_step_verification_device_trust
|
Max |
security.two_step_verification_enforcement
|
Max |
security.two_step_verification_enforcement_factor
|
Max |
security.two_step_verification_enrollment
|
Max |
security.two_step_verification_grace_period
|
Max |
security.two_step_verification_sign_in_code
|
Max |
security.user_account_recovery
|
Unisci |
SERVICE_STATUS_APP_NAME.service_status
|
Max |
sites.sites_creation_and_modification
|
Max |
user_takeout
|
Max |
workspace_marketplace.apps_access_options
|
Unisci |
workspace_marketplace.apps_allowlist
|
MergeMap (la chiave primaria è: application_id) |
Licenze
Le policy si applicano agli utenti in base alle loro licenze Workspace. La condizione della licenza è fornita in PolicyQuery.
Per un elenco completo di tutti gli ID prodotto e SKU di Workspace, consulta ID prodotto e SKU Google.
I seguenti esempi mostrano come applicare le policy a determinati gruppi di utenti in base alle loro licenze.
Esempio 1: solo clausola normale
entity.licenses.exists(license, license in ['/product/Google-Apps/sku/1010020027'])
La policy si applica a un utente se dispone di una licenza per almeno uno degli SKU nell'elenco.
Esempio 2: clausola normale e clausola invertita
entity.licenses.exists(license, license in ['/product/Google-Apps/sku/1010020027']) && !entity.licenses.exists(license, license in ['/product/Google-Apps/sku/1010060005'])
La policy si applica a un utente se dispone di una licenza per almeno uno degli SKU nella prima clausola. Tuttavia, se un utente dispone di una licenza per uno degli SKU della seconda clausola, la policy non si applica affatto a quell'utente.
Esempio 3: solo clausola invertita
!entity.licenses.exists(license, license in ['/product/Google-Apps/sku/1010060005'])
La policy si applica a un utente se non dispone di una licenza per nessuno SKU nell'elenco.
Valori campo predefiniti
Quando un campo non è presente nell'impostazione ridotta, il suo valore predefinito è il seguente:
| Nome impostazione | Campo | Valore campo predefinito |
api_controls.google_services
|
servizi | [] (elenco vuoto)
|
calendar.external_invitations
|
warn_on_invite | true
|
calendar.interoperability
|
enable_interoperability | false
|
calendar.primary_calendar_max_allowed_external_sharing
|
max_allowed_external_sharing | EXTERNAL_FREE_BUSY_ONLY
|
calendar.secondary_calendar_max_allowed_external_sharing
|
max_allowed_external_sharing | EXTERNAL_ALL_INFO_READ_ONLY
|
chat.chat_apps_access
|
enable_apps | true negli SKU per l'istruzione, false negli SKU non per l'istruzione. SKU per l'istruzione:
|
| enable_webhooks | true negli SKU per l'istruzione, false negli SKU non per l'istruzione. SKU per l'istruzione:
|
|
chat.chat_history
|
enable_chat_history | false
|
| history_on_by_default | false
|
|
| allow_user_modification | true
|
|
chat.external_chat_restriction
|
allow_external_chat | false
|
| external_chat_restriction | NO_RESTRICTION
|
|
chat.chat_and_space_restrictions
|
restriction_level | UNRESTRICTED
|
devices.android_available_apps
|
playstore_installable_apps | ALL
|
devices.android_verify_apps
|
turnoff_google_play_protect_allowed | false
|
devices.android_developer_options
|
consentita | false
|
devices.android_work_data_sync
|
consentita | true
|
devices.android_work_profile_sharing
|
consentita | false
|
devices.ios_apple_watch
|
no_wrist_detection_usage_allowed | true
|
devices.ios_backup_encryption
|
di provisioning. | false
|
devices.ios_data_actions
|
external_data_sharing_allowed | true
|
| work_data_operation_type.non_workspace_apps_copy_paste_allowed | true
|
|
| work_data_operation_type.non_workspace_apps_sharing_allowed | true
|
|
| work_data_operation_type.personal_accounts_sharing_allowed | true
|
|
| work_data_operation_type.airdrop_sharing_allowed | true
|
|
| work_data_operation_type.files_printing_allowed | true
|
|
| work_data_operation_type.files_access_allowed | true
|
|
| work_data_operation_type.images_videos_saving_allowed | true
|
|
| work_data_operation_type.contacts_items_assignment_allowed | true
|
|
devices.ios_handoff
|
consentita | true
|
devices.ios_icloud_backup
|
consentita | true
|
devices.ios_lock_screen_control_center
|
consentita | true
|
devices.ios_lock_screen_notifications_view
|
consentita | true
|
devices.ios_safari_secure_browsing
|
fraudulent_website_warning_enforced | true
|
devices.android_google_play_private_apps
|
access_allowed | false
|
| publish_and_update_allowed | false
|
|
devices.android_screen_capture
|
consentita | true
|
devices.compromised_devices
|
compromised_android_devices_blocked | false
|
| jailbroken_ios_devices_blocked | false
|
|
devices.encryption
|
device_encryption_option | NOT_REQUIRED
|
devices.ios_icloud_storage
|
managed_apps_sync_allowed | true
|
devices.ios_screen_capture
|
consentita | true
|
devices.ios_keychain_sync
|
icloud_sync_allowed | true
|
devices.ios_document_sync
|
icloud_data_sync_allowed | true
|
devices.android_location_sharing
|
consentita | true
|
devices.android_apps_settings
|
modification_allowed | true
|
devices.android_trust_agents
|
smart_lock_allowed | true
|
devices.android_lock_screen_notifications
|
consentita | true
|
devices.android_lock_screen_notification_details
|
consentita | true
|
devices.android_unknown_source_apps
|
work_profile_installation_allowed | false
|
| personal_profile_installation_allowed | true
|
|
directory.external_directory_sharing
|
sharing_option | ORGANIZATION_DIRECTORY_DATA
|
drive_and_docs.drive_sdk
|
enable_drive_sdk_api_access | true
|
drive_and_docs.external_sharing
|
external_sharing_mode | ALLOWED
|
| allow_receiving_external_files | true
|
|
| warn_for_sharing_outside_allowlisted_domains | true
|
|
| allow_non_google_invites_in_allowlisted_domains | false
|
|
| allow_receiving_files_outside_allowlisted_domains | true
|
|
| warn_for_external_sharing | true
|
|
| allow_non_google_invites | true
|
|
| allow_publishing_files | true
|
|
| access_checker_suggestions | RECIPIENTS_OR_AUDIENCE_OR_PUBLIC
|
|
| allowed_parties_for_distributing_content | ALL_ELIGIBLE_USERS
|
|
drive_and_docs.general_access_default
|
default_file_access | LINK_SHARING_PRIVATE
|
gmail.auto_forwarding
|
enable_auto_forwarding | true
|
gmail.email_image_proxy_bypass
|
image_proxy_bypass_pattern | [] (elenco vuoto)
|
| enable_image_proxy | true
|
|
gmail.email_spam_filter_ip_allowlist
|
allowed_ip_addresses | [] (elenco vuoto)
|
gmail.links_and_external_images
|
apply_future_settings_automatically | true
|
| enable_aggressive_warnings_on_untrusted_links | false
|
|
gmail.mail_delegation
|
enable_mail_delegation | false
|
gmail.smime_encryption
|
enable_smime_encryption | STATUS_DISABLED
|
| allow_sha1_globally_in_smime_signature | false
|
|
gmail.spoofing_and_authentication
|
apply_future_settings_automatically | true
|
gmail.user_email_uploads
|
enable_mail_and_contacts_import | false
|
gmail.workspace_sync_for_outlook
|
enable_google_workspace_sync_for_microsoft_outlook | true
|
gmail.external_recipient_warning
|
abilitato | true
|
groups_for_business.groups_sharing
|
collaboration_capability | DOMAIN_USERS_ONLY
|
| create_groups_access_level | USERS_IN_DOMAIN
|
|
| view_topics_default_access_level | DOMAIN_USERS
|
|
| owners_can_allow_external_members | false
|
|
| owners_can_allow_incoming_mail_from_public | true
|
|
| owners_can_hide_groups | false
|
|
| new_groups_are_hidden | false
|
|
security.less_secure_apps
|
allow_less_secure_apps | false
|
security.password
|
allowed_strength | STRONG
|
| minimum_length | 8
|
|
| maximum_length | 100
|
|
| enforce_requirements_at_login | false
|
|
| allow_reuse | false
|
|
| expiration_duration | 0
|
|
security.super_admin_account_recovery
|
enable_account_recovery | false
|
security.two_step_verification_device_trust
|
allow_trusting_device | true
|
security.two_step_verification_enforcement
|
enforced_from | Non impostato |
security.two_step_verification_enforcement_factor
|
allowed_sign_in_factor_set | ALL
|
security.two_step_verification_enrollment
|
allow_enrollment | true
|
security.two_step_verification_grace_period
|
enrollment_grace_period | 0s
|
security.user_account_recovery
|
enable_account_recovery | false
|
workspace_marketplace.apps_access_options
|
access_level | Per i clienti K12: ALLOW_NONE
In caso contrario: ALLOW_ALL
|
| allow_all_internal_apps | false
|
|
workspace_marketplace.apps_allowlist
|
app | [] (elenco vuoto)
|
Gruppi di sistemi
I gruppi di sistema di Google sono gruppi che non vengono visualizzati nell'API Groups e sono collegati alle policy di sistema. A differenza di altri ID gruppo, i loro ID gruppo non hanno il prefisso groups/. La tabella seguente elenca questi gruppi e gli utenti che ne fanno parte.
| GroupId | Utenti che fanno parte di questo gruppo |
WORKSPACE_ALL_ADMIN_GROUP
|
Tutti gli amministratori. |
UNCONSENTED_CHILD_GROUP
|
Utenti EDU identificati come minori di 18 anni privi della conferma del consenso parentale per uno o più servizi aggiuntivi. |
Licenze SKU non supportate
Gli SKU non supportati dall'API License Manager non sono presenti nel formato standard:
entity.licenses.exists(license, license in ['/product/{productId}/sku/{skuId}'])
ma sono rappresentati da un segnaposto nella stringa di query:
entity.licenses.exists(license, license in ['{placeholder}'])
Ad esempio:
entity.licenses.exists(license, license in ['CHROMEBOOK-SOFTWARE'])
La tabella seguente elenca questi SKU e i relativi segnaposto.
| Nome prodotto | ID prodotto | ID SKU | Placeholder |
| Software Chromebook | Google-Chrome-Device-Management
|
Google-Chrome-Device-Management-Perpetual
|
CHROMEBOOK-SOFTWARE
|
Google-Chrome-Device-Management
|
|||
Chrome-Active-Directory
|
|||
| Cloud Identity | 101001
|
1010010001
|
GOOGLE-IDENTITY
|