没有电子邮件地址的用户组的域映射

Last published : Oct 24, 2026
Google 目录要求所有用户和组对象都具有经过验证的电子邮件地址。但是，对于 Secure Private Access 支持的目录（特别是 Active Directory (AD) 和 Microsoft Entra ID），这并非总是可用。AD 和 Microsoft Entra ID 对象可能缺少电子邮件地址，或者其电子邮件地址指向 Google 目录无法验证的内部或特殊域（例如，@fabrikam.onmicrosoft.com）。
由于电子邮件地址通常是 Secure Private Access 和 Google 目录之间的通用标识符，因此来自 AD/Entra 且没有经过验证的 Google 电子邮件地址的组通常不受 Secure Private Access 策略的支持。域映射功能通过允许管理员针对没有电子邮件地址或电子邮件地址具有未经验证域的组配置策略来解决此问题。
Related information
与 谷歌 Chrome 企业高级版 集成

域映射的工作原理

  • 考虑您的 AD 中没有电子邮件地址的组。
    没有电子邮件的 AD 组
  • 此组在 Google 目录中复制，其电子邮件地址由组通用名称（请注意，由于电子邮件地址不支持“空格”，因此省略了空格）和经过验证的 Google 域 @groups.fabrikam.com 合成。有效的 Google 组电子邮件地址 noemailgroup@groups.fabrikam.com 在源目录中不存在。
    组复制
  • 管理员可以为没有电子邮件地址的组配置域映射。
    1. 在 Secure Private Access 管理控制台中，导航到 浏览器设置 > 域映射。
    2. 将 包含空域 开关切换为“开”以启用没有电子邮件地址的组的映射。
    3. 在 Google 域 > 域 字段中，输入目标组域（本例中为 groups.fabrikam.com）。通过添加目标组域，您可以在配置策略时，使管理员能够将没有电子邮件的组映射到相应的 Google 域电子邮件 (groups.fabrikam.com)。
    将组分配给策略时，如果您搜索没有电子邮件地址的组 (noemailgroup)，则会根据您的域映射配置合成一个电子邮件地址，并且 noemailgroup@groups.fabrikam.com 将变为可用。此转换基于预定的转换逻辑。有关详细信息，请参阅电子邮件地址构建。
    用户选择

电子邮件地址构建

  • 对于没有现有电子邮件地址的组：
    • 电子邮件本地部分使用组通用名称 (cn) 的小写版本填充，并省略“空格”字符。
    • 电子邮件域部分使用 Google 域 (google-domain) 的小写版本填充。
    • 域选择（当存在多个 Google 域时）：如果一个组与多个 Google 域关联，管理员可以选择电子邮件地址的相应域。
  • 对于在未验证域中具有现有 onmicrosoft.com 或其他电子邮件地址的组：
    • 电子邮件本地部分：电子邮件本地部分使用现有电子邮件地址的本地部分的小写版本填充。
    • 域选择（当存在多个 Google 域时）：如果一个组与多个 Google 域关联，管理员可以选择电子邮件地址的相应域。

限制

域映射功能仅支持包含字母数字字符、破折号、下划线和空格的组。