管理员角色和权限
Citrix 服务帐户由 Secure Private Access 用于将用户载入 Chrome Enterprise Premium (CEP) 并启用 CEP 集成。因此，您必须在 Google 管理控制台中为服务帐户分配具有所需权限的角色。
Google 管理控制台中提供两种类型的角色：
系统角色： 这些是 Google 提供的默认角色。除了超级管理员角色外，其余系统角色不包含 CEP 与 Secure Private Access 集成所需的所有必要权限。
自定义角色： 这些角色可以包含 Admin API 权限的任何子集。您必须创建一个自定义角色，其中包含 CEP 与 Secure Private Access 集成所需的所有权限。
您必须以超级管理员身份登录 Google 管理控制台才能执行此任务。
注意：
超级管理员角色不能分配给服务帐户。
Google 自定义管理员角色权限
对于 CEP 和 Secure Private Access 集成，Citrix 服务帐户必须在 Google 管理控制台中具有自定义角色，并具有以下特定权限：
| 所需的管理员权限 | 为什么需要此权限 |
|---|---|
| 管理客户 > 读取客户 | 用于读取 Google 客户组织的友好名称。 |
| 组织单位 > 读取 | 验证配置的组织单位在 Google Directory 中可用。 |
| 服务 > Chrome 管理 > 设置 > 管理用户设置
注意： 确保您选择顶级权限 管理用户设置 和子权限（管理应用程序设置 和 管理 Web 设置）。
|
添加用户配置文件中 CEP 和 SPA 集成所需的强制扩展及其配置。 |
| 服务 > Chrome 管理 > 设置托管浏览器 > 读取 | 读取托管的 Chrome 配置文件和托管的浏览器。 |
| 许可证管理 > 读取 | 查询为组织预配的 Chrome Enterprise Premium 分配的许可证总数。 |
| 报告 | 读取正在主动使用其分配的许可证的用户。
读取数据丢失防护 (DLP) 规则触发时的活动事件。
读取故障事件。
|
| 群组 > 读取 | 用于验证配置的集成群组在 Google Directory 中是否可用。 |
| 服务 > 警报中心 > 完全访问 > 查看访问 | 用于读取数据丢失防护的安全警报和登录失败事件。 |
| 管理设备和设置 | 用于读取设备元数据，以便在监控网络拓扑视图中显示它们。 |
| 用户 > 读取 | 用于验证配置的集成用户在 Google Directory 中是否可用。 |
注意：
-
还需要为这些管理员权限授予等效的 OAuth 范围。
-
所有管理权限现在都可以在“管理员权限”部分中找到。这包括以前在“管理员控制台权限”和“管理员 API 权限”部分中列出的权限。此更改不影响权限的分配方式，并且现有权限将继续像以前一样工作。
-
确保选择顶级权限“管理用户设置”和子权限（“管理应用程序设置”和“管理 Web 设置”）。仅选择子权限是不够的。
-
Citrix Secure Private Access 使用配置的 Citrix 服务帐户将配置部署到您的 Google 帐户。在 Citrix Secure Private Access 和 Google CEP 集成完成后，打开 Google 管理控制台并导航到“Chrome 浏览器 > 应用和扩展程序”。请注意，已在根组织级别配置了多个浏览器扩展。这些扩展由子组织单位继承。当用户使用此租户加入 Google Chrome 配置文件时，这些扩展将自动预配。
创建和分配角色和权限
执行以下步骤以创建自定义管理员角色并分配权限：
-
在 Google 管理控制台中，转到 帐户 > 管理员角色。
-
单击 创建新角色，并输入角色的名称和描述。
-
将 Google Chrome 集成所需的所有权限添加到此自定义角色。有关所需权限的列表，请参阅 Google 自定义管理员角色权限。有关角色和权限的更多信息，请参阅 Google 文档。
-
保存自定义角色。