設定グループで、組織単位ではなくユーザー グループに対してコンテキストアウェア アクセスのレベルを適用することができます。設定グループには、社内のどの組織部門のユーザーも追加できます。たとえば、契約社員のチームが社内ネットワークでのみ Gmail にアクセスできるようにすることも可能です。
設定グループの仕組み
-
設定グループには、組織内の任意のユーザーを含めることができます。また、アクセスレベルのコンテナとして機能する設定グループを作成してから、そちらにユーザー グループ（ネストされたグループ）を追加することもできます。
-
組織部門とは異なり、ユーザーは複数の設定グループに所属できます。その場合、管理者が指定した設定グループの優先値に基づき、ユーザーには、所属するグループのうち優先値の最も高いグループの設定が適用されます。
-
アプリに対するユーザー グループのアクセスレベルは、組織部門のアクセスレベルよりも常に優先されます。
-
アプリのアクセスレベルが設定グループで指定されていない場合、そのアプリではユーザーの組織部門で設定されているアクセスレベルが適用されます。
コンテキストアウェア アクセスで使用する設定グループを構成する
コンテキストアウェア アクセスに対する設定グループの仕組みは、他の Google Workspace 設定と多少異なります。グループとポリシーを設計する際は、以下の情報とヒントを参考にしてください。
設定グループをセットアップする
始める前に: コンテキストアウェア アクセスのレベルを定義して、設定グループ（できれば 1 つまたは 2 つのテスト アカウントを含める）を作成します。
組織部門、グループの継承、設定グループについて
子組織部門またはグループでローカルのアクセスレベルに変更を加えると、その子組織またはグループにはローカルのアクセスレベルのみが適用され、親組織部門のアクセスレベルは一切継承されません。
ローカルに割り当てられたアクセスレベルをすべて削除して、元々継承していたアクセスレベルを復元すると、子組織部門には元々継承していたアクセスレベルのみが適用されます。
たとえば、最上位の組織部門で 1 個のアプリに 3 つのアクセスレベルが割り当てられている場合、継承によって子組織部門の同じアプリにも同じ 3 つのアクセスレベルが割り当てられます（子組織部門にローカルの割り当てがない場合）。ただし、子組織部門でアクセスレベルを 1 つ追加すると、この子組織部門ではそれが唯一のアクセスレベルとなります。
継承したアクセスレベルの割り当てを無効ポリシーでオーバーライドする
たとえば、子組織部門でユーザー アクセスを一切ブロックしない（アクセスレベルを割り当てない）場合は、[制限なし] というアクセスレベルを 2 つの IP サブネット条件で作成し、それらの条件を OR で結合します。
- IPv4 サブネット範囲 0.0.0.0/0
または - IPv6 サブネット範囲 0::/0
これで、組織内のユーザーは任意の IPv4 または IPv6 アドレスからアクセスできるようになります。
アクセスレベルの割り当てを設定グループでオーバーライドする
設定グループを使用すると、組織部門ではなく一部のユーザー グループにアクセスレベルを割り当てることができます。ユーザー グループのアクセスレベルは、ユーザーの組織部門のアクセスレベルを常にオーバーライドします。グループには、アカウント内のどの組織部門のユーザーを追加することもできます。
たとえば、あるユーザーが組織部門とグループ 1 に属しているとします。この組織部門は親組織部門であり、Gmail とカレンダーの両方についてアクセスレベル X が割り当てられています。グループ 1 の Gmail に対するアクセスレベルの割り当てはありません。グループ 1 のカレンダーにはアクセスレベル Y が割り当てられています。この場合、ユーザーの Gmail にはアクセスレベル X が割り当てられ（継承を介して）、カレンダーにはアクセスレベル Y が割り当てられます（ローカル ポリシーのオーバーライドによって）。
