Google Workspace (G Suite) の時間制限を有効にする

1. miniOrangeでGoogle Workspace（G Suite）を設定する

• miniOrangeにログイン 管理コンソール.
• に行く アプリ をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します アプリケーションの追加



• In アプリケーションの種類を選択してください をクリックしてください アプリを作成する SAML/WS-FED アプリケーション タイプのボタン。



• 検索 グーグル リスト内の



• あなたの〜を入力してください ドメイン名 Google Workspace で使用するもの。
• 入力する シングル ログアウト URL as https://mail.google.com/a/out/tld/?logout.
• ノーザンダイバー社の プロビジョニング タブでドメイン管理者を入力します Google Apps (G Suite) 管理者 フィールドをクリックし、「Google Apps管理者の確認入力したドメインが管理者のものであるかどうかを確認します (これはオプションのフィールドです)。



• ソフトウェアの制限をクリック Save.

Google Apps にアップロードする IdP メタデータの詳細を取得します。

• に行く アプリ >> アプリの管理.
• アプリを検索して、 select アプリのアクション メニューに表示されます。
• ソフトウェアの制限をクリック 後で必要になるメタデータの詳細を取得します。 SSO リンクを表示 Google Apps の IDP 開始 SSO リンクを表示します。



• ここで2つのオプションが表示されます。 IDP としての miniOrange miniOrangeに関連するメタデータの詳細をコピーします。 外部 IDP (OKTA、AZURE AD、ADFS、ONELOGIN、GOOGLE APPS) 以下に示すように、第 2 セクションからメタデータを取得できます。



• キープ SAML ログイン URL とをクリックしてください 証明書をダウンロードする 必要な証明書をダウンロードするためのボタン ステップ 2.

2. Google Workspace (G Suite) で SAML SSO を構成する

• 今すぐログインしてください Google 管理コンソール と選択 セキュリティ 管理コンソールのタブ。
• に行く 認証 >> サードパーティIDPによるSSOここでは、 組織の SSO プロファイル セクションで、編集アイコンをクリックします。





• 有効にします サードパーティのIDプロバイダーでSSOを設定する チェックボックスをオンにします。
• Enter サインインページのURL: ステップ 1 の SAML ログイン URL。
• Enter サインアウトページのURL: < ベース サーバー URL > /idp/oidc/logout?post_logout_redirect_uri=https://gmail.com
  例: https://login.xecurify.com/moas/idp/oidc/logout?post_logout_redirect_uri=https://gmail.com
  
• をクリックして証明書をアップロードします 証明書を置き換える 手順 1 でダウンロードしたリンク。
• パスワード変更URLを入力してください: SAML ログイン URL 手順1から。
• 設定を保存します。
• Google SSO SAML 統合が完了しました。



2.1. 組織単位またはグループにSSOプロファイルを割り当てる:




一部のユーザーに Google に直接ログインしてもらいたい場合は、それらのユーザーを組織部門（OU）またはグループに移動します。次に、それらのユーザーがサードパーティの IdP を使用するのではなく、Google によって認証されるように、OU またはグループの SSO 設定を管理します。次の手順に従います。

• すべてのユーザー (スーパー管理者以外) がサードパーティの IdP を使用してサインインするようにしたい場合: 管理する必要はありません。
• 一部のユーザーにGoogleに直接ログインしてもらいたい場合は、 SSOプロファイルの割り当てを管理する 次のステップに進みます。
  • SSOプロファイルを初めて割り当てる場合は、 始める。 それ以外の場合はクリックします 管理 . Note: Get started is only available if you’ve already enabled your third-party SSO profile.
  
  
  
  
  • 左側から、SSO プロファイルを割り当てる組織単位またはグループを選択します。
    Note: If the SSO profile assignment for an OU or group differs from your domain-wide profile assignment,
an override warning appears when you select that OU or group. You can’t assign the SSO profile on a
per-user basis. The Users view let you check the setting for a specific user.
    
  
  
  
  • 選択する 組織のサードパーティ SSO プロファイル OU またはグループ内のユーザーが、ドメインのサードパーティ SSO プロファイルで指定された IdP を使用して Google サービスにログインできるようにする場合。
  • 選択する なし OU またはグループ内のユーザーが Google に直接ログインできるようにする場合。
  • 選択する 別の SSO プロファイル すでに別の ID プロバイダーが設定されていて、それをユーザー認証に使用したい場合。
  • 次に、をクリックします。 Save.

2.2. すべてのユーザーに対して SSO をオフにするには:

OU またはグループの SSO プロファイルの割り当てを変更せずに、すべてのユーザーのサードパーティ認証をオフにする場合は、サードパーティの SSO プロファイルを無効にすることができます。

• チェックしない サードパーティのIDプロバイダーでSSOを設定する.
• 詳しくはこちら Save.

3. 時間制限ポリシーを設定する

時間制限では、管理者が開始時刻と終了時刻を指定してタイムゾーンを設定し、ポリシーの条件に基づいてユーザーのアクセスが許可されるか、拒否されるか、または認証が行われます。アダプティブアクセスポリシーが有効になっている状態でエンドユーザーがログインしようとすると、タイムゾーンや現在のシステム時刻などのタイムゾーン関連属性が、管理者が設定したリストと照合されます。設定に基づいて、ユーザーのアクセスが許可されるか、拒否されるか、認証が行われます。

• にログインします セルフサービスコンソール >> ポリシー >> 適応型アクセス ポリシー 左側のメニューから該当セクションを選択してください。



• 以下を行うには、 ポリシーの作成 右上のボタン。適切なポリシー名を追加してクリックします。 ポリシーの作成.

3.1 ポリシーの概要

• 拡大する 時間ベースのアクセス制限 ドロップダウンアイコンをクリックして、時間ベースのアクセス制限ルールを設定します。



• ソフトウェアの制限をクリック 時間の追加.



• 「タイムゾーンの選択」リストからタイムゾーンを選択します。「開始時刻」と「終了時刻」リストから適切な値を選択します。追加する各時間設定について、ドロップダウンメニューを使用して、 許可する or 否定する ボーマンは



• 入力フィールドに分単位で値を入力してください。 ログインウィンドウのバッファ時間（分）この値を使用すると、開始時刻の前後に一定の猶予時間を指定できます（たとえば、開始時刻が午前6時、終了時刻が午後6時で、時間差の値が30分に設定されている場合、ポリシーでは午前5時30分から午後6時30分までの時間が考慮されます）。このフィールドに値が入力されない場合は、デフォルト値である0分が設定されます。
• あなたはをクリックすることができます 時間を追加ボタン 複数の時間構成を含めて、上記の手順に従います。
• ソフトウェアの制限をクリック 次へ.

3.2 行動変容のための行動

• アダプティブアクセスポリシーには、以下の説明にある3つのアクションのいずれかを設定できます。




属性	詳細説明
許可する	アダプティブアクセスポリシーの条件が真の場合、ユーザーが認証を行い、サービスを利用できるようにします。
否定する	アダプティブアクセスポリシーの条件が真の場合、ユーザー認証およびサービスへのアクセスを拒否します。
課題	ユーザーの信頼性を確認するには、以下の 3 つの方法のいずれかを使用してユーザーにチャレンジします。




チャレンジタイプのオプション:




要因	詳細説明
ユーザーによる第二認証	ユーザーは、選択した、または割り当てられた第2要素を使用して認証する必要があります。 SMS 経由の OTP プッシュ通知 メール経由のOTPと さらに多くの.
KBA	システムは、ユーザーがセルフサービスコンソールで設定した3つの質問のうち2つについて、ユーザーに回答を求めます。両方の質問に正しく回答した場合のみ、ユーザーは先に進むことができます。
代替メール経由の OTP	ユーザーは、セルフサービスコンソールで設定した代替メールアドレスにOTPを受け取ります。正しいOTPを入力すると、次のステップに進むことができます。

3.3 メールアラートとカスタムエラーメッセージ

このセクションでは、アダプティブ認証に関連する通知とアラートを処理します。以下のオプションが提供されます。

• メールアラートを送信する： 適応型認証イベントが発生した際にメール通知を受け取る受信者を設定します。監視およびセキュリティ要件に応じて、管理者、エンドユーザー、またはその両方にアラートを送信できます。
• 管理者にメールアラートを送信する： このオプションを有効にすると、設定済みの適応型認証イベントがトリガーされたときに管理者に通知されます。必要に応じて、以下の欄にメールアドレスを指定できます。 管理者のアラート受信用メールアドレス アラートを受信するには、この設定が必要です。設定しない場合、アラートはデフォルトの管理者アカウントに送信されます。



• エンドユーザーにメールアラートを送信する： このオプションを有効にすると、適応型認証イベントがエンドユーザーのログイン試行やデバイス登録に影響を与える場合に、エンドユーザーに通知されます。
• デバイス登録数が許容数を超えました。 有効にすると、エンドユーザーは、設定されたデバイス制限ポリシーで許可されている最大数を超えるデバイスを登録しようとした場合に、電子メール通知を受け取ります。エンドユーザーへの通知のみに利用可能です。)



• ユーザーが不明なデバイスまたは場所からログインした場合に、メールアラートを受け取る。 管理者は、さまざまなアラートオプションのアラートを受信できるようにするために、このオプションを有効にする必要があります。



オプション	詳細説明
ユーザーは不明なIPアドレス、デバイス、または場所からログインします	このオプションを有効にすると、不明な IP アドレスやデバイス、さらには場所からでもログインできるようになります。
チャレンジが完了し、デバイスが登録されました	このオプションを有効にすると、エンドユーザーがチャレンジを完了してデバイスを登録したときに電子メールアラートを送信できるようになります。
チャレンジは完了しましたが、デバイスが登録されていません	このオプションを有効にすると、エンドユーザーがチャレンジを完了したがデバイスを登録しなかった場合に電子メールアラートを送信できます。
チャレンジ失敗	このオプションを有効にすると、エンドユーザーがチャレンジを完了できなかった場合に電子メールアラートを送信できます。





• 複数の管理者アカウントにアラートを受信させたい場合は、管理者のオプションを有効にしてから、管理者のメールアドレスをカンマで区切って入力フィールドに入力してください。 管理者のメールアドレス（アラートを受信する場合） ラベル。エンドユーザーへのアラートを有効にするには、 エンドユーザー チェックボックスをオンにします。
• 適応型ポリシーによって認証が拒否された場合にエンドユーザーが受け取る拒否メッセージをカスタマイズしたい場合は、以下のメッセージを入力します。 拒否メッセージ テキストボックス。

3.4レビュー

適応型認証ポリシーを作成する前に、設定済みのポリシー条件、動作変更アクション、メールアラート設定、およびカスタムエラーメッセージを確認してください。この手順では、設定済みのすべての項目を一覧表示できるため、ポリシー構成を確認し、保存する前に必要な変更を行うことができます。

• すべての設定を確認したら、クリックしてください。 ポリシーの作成 ポリシーを保存して有効化する。
• ポリシーが正常に追加されると、リストに表示されます。

4. Google Workspace (G Suite) の制限を有効にする

• にログインします セルフサービスコンソール >> ポリシー >> アプリログインポリシー.
• 以下を行うには、 編集 事前定義されたアプリポリシーのアイコン。



• 作成セッションプロセスで グループ名 (NAIST) と ポリシー名 必要に応じて選択してください。 パスワード as 最初の要素.



• 有効にする 適応認証 ログインポリシーの編集ページで必要な項目を選択します 制限方法 オプションとして。
• ログインポリシーを選択 ドロップダウンメニューから、前の手順で作成したポリシーを選択してください。
• 制限を適用するには、以下を使用してください。 複数の適応型認証制限が設定されている場合、IP制限をどのように評価するかを選択してください。
  • AND： アクセスが許可される前に、設定されたIP制限およびその他の有効な制限事項すべてが満たされている必要があります。
  • OR： アクセスが許可される前に、設定されたIP制限、または少なくとも1つ以上の有効な制限を満たしている必要があります。



• 適応型認証制限: 既存の設定に加えて、追加のログイン制限と検証条件を設定します。 制限 アカウントのセキュリティを強化し、状況に応じたリスク要因に基づいてユーザーアクセスを制御する。

1. miniOrangeでSAMLアプリを構成する

• ログインする miniOrange 管理コンソール.
• に行く アプリ をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します アプリケーションを追加



• アプリケーションの選択で、 SAML/WS-FED 全てのアプリ ドロップダウン。



• 次のステップでは、 カスタムSAMLアプリ それをクリックします。



• 基本設定 タブで希望する アプリ名 をクリックしてSPメタデータを追加します SP メタデータのインポート ボタンをクリックすると、メタデータが 認証ソース CASB のタブ。



• 完了したら、をクリックします Save



• 次に、クリックしてminiOrange CASBダッシュボードに移動します。 こちら .



• サインインすると、miniOrangeダッシュボードページが表示されます。 「グーグル」 アプリとそれをクリックします。



• まず 認証ソースの追加 ドロップダウンメニューからオプションを選択します。



• 言及する 認証名 認証元を選択し、 メタデータを生成します。



• をクリックした後 メタデータの生成すると、下の画像に示すようにメタデータの詳細が表示されます。このデータを使用して、 SAML アプリケーション 自分で アイデンティティプロバイダー (IDP).



• メタデータの詳細を再度表示したい場合は、 メタデータの表示
• 必要なIDPメタデータを取得できます samlアプリから 設定した miniorange アイデンティティプロバイダー.
• 次に、残りの詳細を入力します。 IDP エンティティ ID, SAML ログイン URL, SAML ログアウト URL, X.509証明書 あなたの ID プロバイダー メタデータ
• 完了したら、必要に応じてSSOリクエストのバインディングタイプを選択します。この情報はIDPメタデータにあります。ただし、よくわからない場合は、 HTTP リダイレクト バインディング デフォルト設定として。



• クリック 保存して次へ すべての詳細を入力したら、ボタンをクリックしてください。

2. Google 管理コンソールで SAML SSO を構成する

• 次に、 基本設定 のセクションから無料でダウンロードできます。
• 以下の詳細を入力して設定してください グーグル 応用：

組織名：	組織の名前を入力してください。
組織ドメイン:	Google で組織のドメインを入力します。(例: example.com)
属性キー:	SAML 属性セクションの IDP で構成した SSO アプリのグループ属性キーを入力します。
名前属性キー:	fname、Lname などの属性名を入力します。
ACS URLを入力してください:	Google ACS URL は、Google 管理パネルから取得できます。
エンティティ URL を入力してください:	Google エンティティ URL は、Google 管理パネルから取得できます。
CASBタイプ	CASBタイプをインラインまたはオフラインとして選択します
MDMを有効にする	デバイスでMDMを設定する場合は、有効にしてください




• 『Brooklyn Galaxy』のために、倪氏はブルックリン美術館のコレクションからXNUMX点の名品を選び、そのイメージを極めて詳細に描き込みました。これらの作品は、彼の作品とともに中国ギャラリーに展示されています。彼はXNUMX年にこの作品の制作を開始しましたが、最初の硬貨には、当館が所蔵する ACSのURL (NAIST) と エンティティ URL まず、以下の手順に従って Google 管理者認証を設定する必要があります。
• まず、あなたの Google管理者 ダッシュボード。



• 左側のメニューアイコン（☰）の下にある ホーム（) ⤏ セキュリティ () ⤏ 認証 ⤏ サードパーティIDPによるSSO.



• 今、クリックして SAMLプロファイルを追加 新しい SAML プロファイルを作成します。



• Enter SSO プロファイル名 と記入してください IDP エンティティ ID (NAIST) と サインインページのURL IDP メタデータから。



• CASB基本設定画面に移動し、 IDP メタデータを表示 検索する IDP エンティティ ID (NAIST) と サインインページのURL. ダウンロードすることもできます X.509証明書 ここから。



• コピーして貼り付けます IDP エンティティ ID (NAIST) と サインインページのURL を取り付けます X.509証明書 in 証明書をアップロードする をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します Save

3. ポリシーの設定

Google CASB のポリシーを構成する方法を見てみましょう。

• あなたは ポリシーの管理 画面で、ポリシーの詳細を入力します。 ポリシー名 (NAIST) と ポリシーの説明.



• チェックボックスをクリックしてください 「アクセス時間設定を有効にする」 以下の図に示すように。
• この機能を有効にすると、構成された設定と指定されたタイミングに基づいてユーザーに時間制限が適用されます。

1)選択した時間帯におけるユーザーのアクセスを許可または制限するには、「許可」または「拒否」を選択します。

2) ユーザーのタイムゾーンを選択します。

3)時間制限の開始時刻と終了時刻を選択します。

• 完了したら、をクリックします 保存して次へ

4. グループと編集画面の設定

Google CASB 用にグループを構成する方法を見てみましょう。

• あなたは グループを管理する 画面に 名前 (NAIST) と 詳細説明 グループ（IDPで設定したグループ名と同じである必要があります）。 ポリシー プルダウンメニューから
• 以下の権限を適用するアプリケーションを選択します。

1)アプリ制限:この設定では、グループ用に設定したポリシーに基づいて、アプリケーションに制限が適用されます。

2)アプリ制限なし:この場合、グループでのアプリケーションに制限はありません。

3)アプリを無効にする:このオプションを選択すると、グループ全体がどこからでもアプリケーションにアクセスできなくなります。

4)カスタムアプリ制限:これを使用すると、グループの制限ポリシーよりも優先される、アプリケーション固有のカスタムアプリケーション制限ポリシーをアプリケーションに適用できます。

• 今、クリックして 仕上げ



• すべての画面の設定が完了すると、 edit を選択して、後処理画面に進みます。
• 基本設定 認証セクションでは、必要に応じて設定を変更できます。



• グループ設定 セクション この画面でグループを追加および設定し、設定されたすべてのグループを表示できます。 新しいグループを追加.
• 追加するためのポップアップが表示されます 新しい集団 上記の手順に従って設定できます。



• 「セッション管理」 セクションでは、ログインしたユーザーのセッションの詳細を確認できます。

1. 組織を Android Enterprise に登録します。

• をクリックしてminiOrange MDMダッシュボードにログインします。 こちら.



• ログインしたら、次の場所に移動します ANDROID -> Android エンタープライズ をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します 会員登録する ボタンをクリックしてください。最初に組織を Android Enterprise に登録する必要がありますが、これは 1 回限りのプロセスになります。



• 詳しくはこちら こちら 組織を Android Enterprise に登録する詳細な手順については、こちらをご覧ください。

2. 新しいポリシーを作成する

• に行く ANDROID -> ポリシー。 をクリックしてください ポリシーの作成 新しいポリシーを作成します。



• 次に、ポリシーの名前と説明を入力して、 アプリカタログ → アプリケーション → Playストアアプリを選択、登録したデバイスにインストールする仕事関連のアプリをすべて追加します。



• Playストアアプリを選択をクリックするとPlayストアが開き、アプリを検索できます。 Googleワークスペース アプリ。必要なアプリを選択し、 選択 個々のアプリのボタンをクリックして、ポリシー構成に追加します。



• Playストアを閉じると、 選択されたすべてのアプリケーションのリストこの画面では、 インストールタイプ アプリごとに。

3. 時間制限の設定: タイムゾーンを制限してアクセスを制限する

• ソフトウェアの制限をクリック カスタム制限 そしてに行く 時間制限 制限を設定します。



• 有効にする 機能を選択し、適切なタイムゾーンを選択して 始まる時間 (NAIST) と 終了時間 デバイスまたは仕事用プロファイルが無効になる時間。たとえば、タイムゾーン、開始時刻、終了時刻をそれぞれ IST、01:00 AM、01:30 AM に選択したとします。



• すべての詳細を設定したら、 ポリシーの作成 新しいポリシーは、下の画像のように表示されます。

4. デバイスの動作をテストする

連絡先、ファイル マネージャー、マネージド Google Play ストアなどのシステム アプリケーションはブロックできません。ただし、MDM ダッシュボードからインストールされたアプリケーションは、ポリシー設定に基づいて制限できます。

• BYODモードアプリケーションは午前 1 時からブロックされ、午前 00 時 1 分にブロック解除されます (下の画像を参照)。



• 『Brooklyn Galaxy』のために、倪氏はブルックリン美術館のコレクションからXNUMX点の名品を選び、そのイメージを極めて詳細に描き込みました。これらの作品は、彼の作品とともに中国ギャラリーに展示されています。彼はXNUMX年にこの作品の制作を開始しましたが、最初の硬貨には、当館が所蔵する 会社所有のデバイスアプリケーションは午前 1 時にブロックされ、午前 00 時 1 分にブロック解除されます (下の画像を参照)。