Concetti dell'API Policy
Questa documentazione descrive i concetti e le strategie dell'API Cloud Identity Policy.
Riduzione
Per elencare e ottenere le policy, vedi Configurare l'API Policy ed Elencare e ottenere le policy.
Terminologia
Impostazione del valore: impostazione dei valori forniti nel criterio
Valore impostazione ridotto: valori di impostazione finali applicati a una destinazione, ad esempio un utente, un'unità organizzativa o un gruppo
Riduzione: il processo di riduzione dei valori di impostazione dei criteri a un unico valore di impostazione per una destinazione, ad esempio un utente, un'unità organizzativa o un gruppo
Riduttore: il tipo di regole che determinano in che modo i valori delle impostazioni nelle policy vengono semplificati in un'unica impostazione per un utente
Policy di amministrazione: policy create dagli amministratori nella Console di amministrazione
Norme di sistema: norme fornite da Google Workspace
Procedura di riduzione
Per ridurre una determinata impostazione per un determinato utente:
Filtra tutti i criteri che non si applicano all'utente.
Filtra le policy che non contengono l'impostazione.
Filtra i criteri che si applicano all'UO in cui non si trova l'utente di destinazione.
Filtra i criteri che si applicano al gruppo a cui non appartiene l'utente target.
Filtra le policy che si applicano alla licenza che l'utente target non ha. Per saperne di più sulle licenze, consulta la sezione Licenze.
Applica il riduttore dell'impostazione specificata.
Max: per ogni campo dell'impostazione ridotta, il riduttore Max sceglie il valore della policy con il sortOrder maggiore.
Unisci: per ogni campo dell'impostazione ridotta, il riduttore Unisci sceglie il valore del criterio con il sortOrder maggiore che ha un valore per quel campo. Se il campo è un array, il riduttore Unisci concatena invece i valori di tutte le norme.
MaxMap: il riduttore MaxMap viene utilizzato per le impostazioni in cui le voci dell'array hanno un campo che funge da chiave primaria. Il riduttore MaxMap non concatena le voci dell'array con la stessa chiave primaria. Aggiorna invece la voce utilizzando il riduttore Max sugli altri campi delle voci dell'array che condividono la stessa chiave primaria.
MergeMap: il riduttore MergeMap viene utilizzato per le impostazioni in cui le voci dell'array hanno un campo che funge da chiave primaria. Il riduttore MergeMap non concatena le voci dell'array con la stessa chiave primaria. Aggiorna invece la voce utilizzando il riduttore Merge sugli altri campi delle voci dell'array che condividono la stessa chiave primaria.
Elenco: queste impostazioni non sono ridotte a una singola impostazione. Invece, l'intera sequenza di impostazioni viene conservata e applicata come elenco.
Riduttori per le impostazioni
| Nome impostazione | Riduttore |
api_controls.custom_user_message
|
Max |
api_controls.google_services
|
MaxMap |
api_controls.internal_apps
|
Max |
api_controls.unconfigured_third_party_apps
|
Unisci |
calendar.appointment_schedules
|
Max |
calendar.external_invitations
|
Max |
calendar.interoperability
|
Unisci |
calendar.primary_calendar_max_allowed_external_sharing
|
Unisci |
calendar.secondary_calendar_max_allowed_external_sharing
|
Unisci |
chat.chat_apps_access
|
Max |
chat.chat_file_sharing
|
Max |
chat.chat_history
|
Unisci |
chat.external_chat_restriction
|
Unisci |
chat.space_history
|
Max |
classroom.api_data_access
|
Max |
classroom.class_membership
|
Max |
classroom.guardian_access
|
Max |
classroom.originality_reports
|
Max |
classroom.roster_import
|
Max |
classroom.student_unenrollment
|
Max |
classroom.teacher_permissions
|
Max |
cloud_sharing_options.cloud_data_sharing
|
Max |
detector.regular_expression
|
Elenco |
detector.word_list
|
Elenco |
drive_and_docs.drive_for_desktop
|
Max |
drive_and_docs.drive_sdk
|
Unisci |
drive_and_docs.external_sharing
|
Max |
drive_and_docs.file_security_update
|
Max |
drive_and_docs.general_access_default
|
Max |
drive_and_docs.shared_drive_creation
|
Max |
gmail.attachment_compliance
|
MaxMap |
gmail.auto_forwarding
|
Max |
gmail.blocked_sender_lists
|
MaxMap |
gmail.comprehensive_mail_storage
|
Max |
gmail.confidential_mode
|
Max |
gmail.content_compliance
|
MaxMap |
gmail.email_address_lists
|
MaxMap |
gmail.email_attachment_safety
|
Max |
gmail.email_image_proxy_bypass
|
Unisci |
gmail.email_spam_filter_ip_allowlist
|
Max |
gmail.enhanced_pre_delivery_message_scanning
|
Max |
gmail.enhanced_smime_encryption
|
Max |
gmail.imap_access
|
Unisci |
gmail.links_and_external_images
|
Max |
gmail.mail_delegation
|
Unisci |
gmail.name_format
|
Unisci |
gmail.objectionable_content
|
MaxMap |
gmail.per_user_outbound_gateway
|
Max |
gmail.pop_access
|
Max |
gmail.rule_states
|
MaxMap |
gmail.spam_override_lists
|
MaxMap |
gmail.spoofing_and_authentication
|
Max |
gmail.user_email_uploads
|
Max |
gmail.workspace_sync_for_outlook
|
Max |
groups_for_business.groups_sharing
|
Unisci |
meet.safety_access
|
Max |
meet.safety_domain
|
Max |
meet.safety_external_participants
|
Max |
meet.safety_host_management
|
Max |
meet.video_recording
|
Max |
rule.dlp
|
Elenco |
rule.system_defined_alerts
|
Elenco |
security.advanced_protection_program
|
Max |
security.less_secure_apps
|
Unisci |
security.login_challenges
|
Max |
security.password
|
Max |
security.session_controls
|
Max |
security.super_admin_account_recovery
|
Unisci |
security.two_step_verification_device_trust
|
Max |
security.two_step_verification_enforcement
|
Max |
security.two_step_verification_enforcement_factor
|
Max |
security.two_step_verification_enrollment
|
Max |
security.two_step_verification_grace_period
|
Max |
security.two_step_verification_sign_in_code
|
Max |
security.user_account_recovery
|
Unisci |
SERVICE_STATUS_APP_NAME.service_status
|
Max |
sites.sites_creation_and_modification
|
Max |
user_takeout
|
Max |
workspace_marketplace.apps_access_options
|
Unisci |
workspace_marketplace.apps_allowlist
|
MergeMap (la chiave primaria è: application_id) |
Licenze
Le norme si applicano agli utenti in base alle loro licenze Workspace. La condizione di licenza è fornita in PolicyQuery.
Per un elenco completo di tutti gli ID prodotto e SKU di Workspace, consulta ID prodotto e SKU Google.
I seguenti esempi mostrano come i criteri possono essere applicati a determinati gruppi di utenti in base alle loro licenze.
Esempio 1: solo clausola normale
entity.licenses.exists(license, license in ['/product/Google-Apps/sku/1010020027'])
Le norme si applicano a un utente se dispone di una licenza per almeno uno degli SKU nell'elenco.
Esempio 2: clausola normale e clausola invertita
entity.licenses.exists(license, license in ['/product/Google-Apps/sku/1010020027']) && !entity.licenses.exists(license, license in ['/product/Google-Apps/sku/1010060005'])
La norma si applica a un utente se dispone di una licenza per almeno uno degli SKU nella prima clausola. Tuttavia, se un utente dispone di una licenza per uno degli SKU nella seconda clausola, la policy non si applica all'utente.
Esempio 3: solo clausola invertita
!entity.licenses.exists(license, license in ['/product/Google-Apps/sku/1010060005'])
La policy si applica a un utente se non dispone di una licenza per nessuno degli SKU nell'elenco.
Valori campo predefiniti
Quando un campo non è presente nell'impostazione ridotta, il suo valore predefinito è il seguente:
| Nome impostazione | Campo | Valore predefinito del campo |
api_controls.google_services
|
servizi | [] (elenco vuoto)
|
calendar.external_invitations
|
warn_on_invite | true
|
calendar.interoperability
|
enable_interoperability | false
|
calendar.primary_calendar_max_allowed_external_sharing
|
max_allowed_external_sharing | EXTERNAL_FREE_BUSY_ONLY
|
calendar.secondary_calendar_max_allowed_external_sharing
|
max_allowed_external_sharing | EXTERNAL_ALL_INFO_READ_ONLY
|
chat.chat_apps_access
|
enable_apps | true nelle SKU EDU, false nelle SKU non EDU. SKU per l'istruzione:
|
| enable_webhooks | true nelle SKU EDU, false nelle SKU non EDU. SKU per l'istruzione:
|
|
chat.chat_history
|
enable_chat_history | false
|
| history_on_by_default | false
|
|
| allow_user_modification | true
|
|
chat.external_chat_restriction
|
allow_external_chat | false
|
| external_chat_restriction | NO_RESTRICTION
|
|
chat.chat_and_space_restrictions
|
restriction_level | UNRESTRICTED
|
devices.android_available_apps
|
playstore_installable_apps | ALL
|
devices.android_verify_apps
|
turnoff_google_play_protect_allowed | false
|
devices.android_developer_options
|
consentita | false
|
devices.android_work_data_sync
|
consentita | true
|
devices.android_work_profile_sharing
|
consentita | false
|
devices.ios_apple_watch
|
no_wrist_detection_usage_allowed | true
|
devices.ios_backup_encryption
|
di provisioning. | false
|
devices.ios_data_actions
|
external_data_sharing_allowed | true
|
| work_data_operation_type.non_workspace_apps_copy_paste_allowed | true
|
|
| work_data_operation_type.non_workspace_apps_sharing_allowed | true
|
|
| work_data_operation_type.personal_accounts_sharing_allowed | true
|
|
| work_data_operation_type.airdrop_sharing_allowed | true
|
|
| work_data_operation_type.files_printing_allowed | true
|
|
| work_data_operation_type.files_access_allowed | true
|
|
| work_data_operation_type.images_videos_saving_allowed | true
|
|
| work_data_operation_type.contacts_items_assignment_allowed | true
|
|
devices.ios_handoff
|
consentita | true
|
devices.ios_icloud_backup
|
consentita | true
|
devices.ios_lock_screen_control_center
|
consentita | true
|
devices.ios_lock_screen_notifications_view
|
consentita | true
|
devices.ios_safari_secure_browsing
|
fraudulent_website_warning_enforced | true
|
devices.android_google_play_private_apps
|
access_allowed | false
|
| publish_and_update_allowed | false
|
|
devices.android_screen_capture
|
consentita | true
|
devices.compromised_devices
|
compromised_android_devices_blocked | false
|
| jailbroken_ios_devices_blocked | false
|
|
devices.encryption
|
device_encryption_option | NOT_REQUIRED
|
devices.ios_icloud_storage
|
managed_apps_sync_allowed | true
|
devices.ios_screen_capture
|
consentita | true
|
devices.ios_keychain_sync
|
icloud_sync_allowed | true
|
devices.ios_document_sync
|
icloud_data_sync_allowed | true
|
devices.android_location_sharing
|
consentita | true
|
devices.android_apps_settings
|
modification_allowed | true
|
devices.android_trust_agents
|
smart_lock_allowed | true
|
devices.android_lock_screen_notifications
|
consentita | true
|
devices.android_lock_screen_notification_details
|
consentita | true
|
devices.android_unknown_source_apps
|
work_profile_installation_allowed | false
|
| personal_profile_installation_allowed | true
|
|
directory.external_directory_setting
|
sharing_option | ORGANIZATION_DIRECTORY_DATA
|
drive_and_docs.drive_sdk
|
enable_drive_sdk_api_access | true
|
drive_and_docs.external_sharing
|
external_sharing_mode | ALLOWED
|
| allow_receiving_external_files | true
|
|
| warn_for_sharing_outside_allowlisted_domains | true
|
|
| allow_non_google_invites_in_allowlisted_domains | false
|
|
| allow_receiving_files_outside_allowlisted_domains | true
|
|
| warn_for_external_sharing | true
|
|
| allow_non_google_invites | true
|
|
| allow_publishing_files | true
|
|
| access_checker_suggestions | RECIPIENTS_OR_AUDIENCE_OR_PUBLIC
|
|
| allowed_parties_for_distributing_content | ALL_ELIGIBLE_USERS
|
|
drive_and_docs.general_access_default
|
default_file_access | LINK_SHARING_PRIVATE
|
gmail.auto_forwarding
|
enable_auto_forwarding | true
|
gmail.email_image_proxy_bypass
|
image_proxy_bypass_pattern | [] (elenco vuoto)
|
| enable_image_proxy | true
|
|
gmail.email_spam_filter_ip_allowlist
|
allowed_ip_addresses | [] (elenco vuoto)
|
gmail.links_and_external_images
|
apply_future_settings_automatically | true
|
| enable_aggressive_warnings_on_untrusted_links | false
|
|
gmail.mail_delegation
|
enable_mail_delegation | false
|
gmail.smime_encryption
|
enable_smime_encryption | STATUS_DISABLED
|
| allow_sha1_globally_in_smime_signature | false
|
|
gmail.spoofing_and_authentication
|
apply_future_settings_automatically | true
|
gmail.user_email_uploads
|
enable_mail_and_contacts_import | false
|
gmail.workspace_sync_for_outlook
|
enable_google_workspace_sync_for_microsoft_outlook | true
|
gmail.external_recipient_warning
|
abilitato | true
|
groups_for_business.groups_sharing
|
collaboration_capability | DOMAIN_USERS_ONLY
|
| create_groups_access_level | USERS_IN_DOMAIN
|
|
| view_topics_default_access_level | DOMAIN_USERS
|
|
| owners_can_allow_external_members | false
|
|
| owners_can_allow_incoming_mail_from_public | true
|
|
| owners_can_hide_groups | false
|
|
| new_groups_are_hidden | false
|
|
security.less_secure_apps
|
allow_less_secure_apps | false
|
security.password
|
allowed_strength | STRONG
|
| minimum_length | 8
|
|
| maximum_length | 100
|
|
| enforce_requirements_at_login | false
|
|
| allow_reuse | false
|
|
| expiration_duration | 0
|
|
security.super_admin_account_recovery
|
enable_account_recovery | false
|
security.two_step_verification_device_trust
|
allow_trusting_device | true
|
security.two_step_verification_enforcement
|
enforced_from | Non impostato |
security.two_step_verification_enforcement_factor
|
allowed_sign_in_factor_set | ALL
|
security.two_step_verification_enrollment
|
allow_enrollment | true
|
security.two_step_verification_grace_period
|
enrollment_grace_period | 0s
|
security.user_account_recovery
|
enable_account_recovery | false
|
workspace_marketplace.apps_access_options
|
access_level | Per i clienti dell'istruzione primaria e secondaria: ALLOW_NONE
Altrimenti: ALLOW_ALL
|
| allow_all_internal_apps | false
|
|
workspace_marketplace.apps_allowlist
|
app | [] (elenco vuoto)
|
Gruppi di sistema
I gruppi di sistema Google non vengono visualizzati nell'API Groups e sono collegati alle norme di sistema. I loro ID gruppo non hanno il prefisso groups/, a differenza degli altri ID gruppo. La tabella seguente elenca questi gruppi e gli utenti che ne fanno parte.
| GroupId | Utenti che fanno parte di questo gruppo |
WORKSPACE_ALL_ADMIN_GROUP
|
Tutti gli amministratori. |
UNCONSENTED_CHILD_GROUP
|
Utenti EDU identificati come minori di 18 anni per i quali non è stata confermata la conferma del consenso per uno o più servizi aggiuntivi. |
Licenze SKU non supportate
Gli SKU non supportati dall'API License Manager non sono presenti nel formato standard:
entity.licenses.exists(license, license in ['/product/{productId}/sku/{skuId}'])
ma sono rappresentati da un segnaposto nella stringa di query:
entity.licenses.exists(license, license in ['{placeholder}'])
Ad esempio:
entity.licenses.exists(license, license in ['CHROMEBOOK-SOFTWARE'])
La tabella seguente elenca questi SKU e i relativi segnaposto.
| Nome prodotto | ID prodotto | ID SKU | Segnaposto |
| Software Chromebook | Google-Chrome-Device-Management
|
Google-Chrome-Device-Management-Perpetual
|
CHROMEBOOK-SOFTWARE
|
Google-Chrome-Device-Management
|
|||
Chrome-Active-Directory
|
|||
| Cloud Identity | 101001
|
1010010001
|
GOOGLE-IDENTITY
|