一般ユーザー向けアカウントからのサービス利用を防ぐ

ネットワーク上のユーザーが組織のドメインの特定の Google アカウントを使用している場合にだけ Google サービスの利用を許可するには、以下のことができるウェブ プロキシ サーバーが必要です。

• google.com に送られるすべてのトラフィックにヘッダーを追加 - このヘッダーにより、Google サービスの利用を許可するユーザーのドメインを特定できます。
• SSL インターセプト機能が備わっている - Google サービスのトラフィックは大部分が暗号化されているため、プロキシ サーバーには SSL インターセプト機能も備わっている必要があります。

以下のプロキシ サービス プロバイダで Google サービスをブロックする具体的な手順について説明していますので、ニーズに応じたサーバーをお選びください。

• Barracuda Networks
• Symantec
• Forcepoint

管理者が明示的に指定した Google アカウントだけに Google サービスへのログインを許可するには:

1. google.com 宛てのすべての送信トラフィックがウェブ プロキシ サーバーを経由するようにします。
2. プロキシ サーバーで SSL インターセプトを有効にします。
3. SSL プロキシを信頼するよう、すべてのクライアント デバイスを設定します。
   1. プロキシで使用される内部ルート認証局を導入します。
   2. 信頼できる認証局として設定します。
4. google.com の各リクエストに対して次の処理を行います。
   1. リクエストをインターセプトします。
   2. 「X-GoogApps-Allowed-Domains:」という HTTP ヘッダーを追加し、許可されるドメイン名のカンマ区切りのリストを続けて指定します。
      Google Workspace に登録したドメインと追加したセカンダリ ドメインを必ずリストに含めるようにしてください。
      例: X-GoogApps-Allowed-Domains: mydomain1.com, mydomain2.com
5. ユーザーが特定のアカウントにログインできるように、ヘッダーに次の値を追加します。
   • 特定のドメインのアカウントの場合（例: @altostrat.com の「altostrat.com」、@tenorstrat.com の「tenorstrat.com」）は「domain_name」
   • 一般ユーザー向け Google アカウント（例: @gmail.com、@googlemail.com）の場合は「consumer_accounts」
   • 認証されたサービス アカウントの場合は「gserviceaccounts.com」
6. （省略可）ユーザーが独自のヘッダーを挿入しないようにプロキシ ポリシーを作成します。

注:

• この設定により Google 検索を除く Google の一般ユーザー向けサービスへのログインを防ぐことができますが、必ずしも匿名アクセスを禁止するものではありません。
• X-GoogApps-Allowed-Domains HTTP ヘッダーを追加すると、委任されたメールボックスにヘッダーに含まれないドメインからアクセスするユーザーに対してエラーが表示されます。

許可されていないアカウントから Google サービスを利用しようとすると、次の内容がウェブページに表示されます。

• サービスを利用できないことについての説明
• ユーザーが現在使用している、許可されていないアカウント名
• サービスを利用できるドメインのリスト
• ネットワーク管理者に詳細を問い合わせ、許可されていないアカウントからログアウトし、許可されているアカウントでログインし直す旨のアドバイス

ブロックされたサービスのリストを Google で保持してはいないため、ログインが必要なサービスでは利用がブロックされる一方で、認証を必要としないサービス（Google 検索、YouTube など）のご利用は制限されません。

ウェブサービスの利用をブロックする一般的な方法は、特定の URL に送信されるトラフィックをウェブ プロキシ サーバーを使ってフィルタすることですが、上記のケースではこの方法が使えません。管理対象の Google アカウントからの正当なトラフィックが、ブロックしたいトラフィックと同じ URL に送られるためです。