管理者の役割と権限
Citrixサービスアカウントは、Secure Private Accessによって、ユーザーをChrome Enterprise Premium (CEP) にオンボーディングし、CEP統合を有効にするために使用されます。したがって、Google管理コンソールで、必要な権限を持つ役割をサービスアカウントに割り当てる必要があります。
Google管理コンソールでは、2種類の役割を利用できます。
システムロール: これらはGoogleが提供するデフォルトの役割です。スーパー管理者ロールを除き、残りのシステムロールには、Secure Private AccessとのCEP統合に必要なすべての権限は含まれていません。
カスタムロール: これらはAdmin API権限の任意のサブセットを含むことができます。Secure Private AccessとのCEP統合に必要なすべての権限を含むカスタムロールを作成する必要があります。
このタスクを実行するには、スーパー管理者としてGoogle管理コンソールにサインインしている必要があります。
注:
スーパー管理者ロールはサービスアカウントに割り当てることはできません。
Googleカスタム管理者ロールの権限
CEPとSecure Private Accessの統合には、CitrixサービスアカウントがGoogle管理コンソールで以下の特定の権限を持つカスタムロールを持っている必要があります。
| 必要な管理者権限 | この権限が必要な理由 |
|---|---|
| 顧客の管理 > 顧客の読み取り | Google顧客組織のフレンドリ名を読み取るため。 |
| 組織部門 > 読み取り | 設定された組織部門がGoogleディレクトリで利用可能であることを確認するため。 |
| サービス > Chrome管理 > 設定 > ユーザー設定の管理
注: トップレベルの権限である ユーザー設定の管理 と、サブ権限である (アプリケーション設定の管理 および Web設定の管理) を必ず選択してください。
|
ユーザープロファイルでCEPとSPAの統合に必要な必須の拡張機能とその構成を追加するため。 |
| サービス > Chrome管理 > 管理対象ブラウザの設定 > 読み取り | 管理対象のChromeプロファイルと管理対象のブラウザを読み取るため。 |
| ライセンス管理 > 読み取り | 組織にプロビジョニングされたChrome Enterprise Premiumが割り当てられたライセンスの総数を照会するため。 |
| レポート | 割り当てられたライセンスを積極的に使用しているユーザーを読み取るため。
データ損失防止 (DLP) ルールがトリガーされたときのアクティビティイベントを読み取るため。
失敗イベントを読み取るため。
|
| グループ > 読み取り | 構成された統合グループがGoogleディレクトリで利用可能であることを確認するため。 |
| サービス > アラートセンター > フルアクセス > 表示アクセス | データ損失防止のセキュリティアラートとログイン失敗イベントを読み取るため。 |
| デバイスと設定の管理 | デバイスのメタデータを読み取り、モニターのネットワークトポロジビューに表示するため。 |
| ユーザー > 読み取り | 構成された統合ユーザーがGoogleディレクトリで利用可能であることを確認するため。 |
注:
-
これらの管理者権限に対して、同等のOAuthスコープを付与することも必要です。
-
すべての管理権限は、管理者権限セクションにあります。これには、以前は管理コンソール権限および管理API権限セクションにリストされていた権限が含まれます。この変更は、権限の割り当て方法には影響せず、既存の権限は以前と同様に機能し続けます。
-
最上位の権限であるユーザー設定の管理と、サブ権限（アプリケーション設定の管理およびWeb設定の管理）を選択していることを確認してください。サブ権限のみを選択するだけでは不十分です。
-
Citrix Secure Private Accessは、構成されたCitrixサービスアカウントを使用して、Googleアカウントに構成を展開します。Citrix Secure Private AccessとGoogle CEPの統合が完了したら、Google管理コンソールを開き、Chromeブラウザ > アプリと拡張機能に移動します。いくつかのブラウザ拡張機能がルート組織レベルで構成されていることに注意してください。これらは子OUに継承されます。ユーザーがこのテナントでGoogle Chromeプロファイルをオンボードすると、これらの拡張機能が自動的にプロビジョニングされます。
ロールと権限の作成と割り当て
カスタム管理者ロールを作成し、権限を割り当てるには、次の手順を実行します。
-
Google管理コンソールで、アカウント > 管理者ロールに移動します。
-
新しいロールを作成をクリックし、ロールの名前と説明を入力します。
-
Google Chrome統合に必要なすべての権限をこのカスタムロールに追加します。必要な権限のリストについては、「Googleカスタム管理者ロールの権限」を参照してください。ロールと権限に関する詳細については、「Googleドキュメント」を参照してください。
-
カスタムロールを保存します。