Prepara il tuo account Google Workspace o Cloud Identity

Questo documento descrive come creare un account Cloud Identity o Google Workspace e come prepararlo per un deployment di produzione.

Prima di iniziare

Per preparare il tuo account Cloud Identity o Google Workspace, devi:

• Seleziona un'architettura di destinazione per il deployment di produzione in base alle nostre architetture di riferimento.
• Identifica se hai bisogno di uno o più account Cloud Identity o Google Workspace aggiuntivi per la produzione o lo staging. Per informazioni dettagliate su come identificare il numero giusto di account da utilizzare, consulta Best practice per la pianificazione di account e organizzazioni.
• Identifica un piano di onboarding adatto e completa tutte le attività che il piano definisce come prerequisiti per consolidare gli account utente esistenti.

Per ogni account Cloud Identity o Google Workspace che devi creare, assicurati di quanto segue:

• Hai selezionato il nome di dominio DNS da utilizzare come nome di dominio principale. Questo nome di dominio determina il nome dell'organizzazione Google Cloud associata. Puoi utilizzare un nome di dominio neutro come nome di dominio principale.
• Hai selezionato tutti i nomi di dominio DNS secondari che vuoi aggiungere all'account. Assicurati di non superare un totale di 600 domini per account.

Per completare la procedura di registrazione di un nuovo account Cloud Identity o Google Workspace, devi disporre anche delle seguenti informazioni:

• Un numero di telefono e un indirizzo email di contatto. Google usa questo numero di telefono e questo indirizzo per contattarti in caso di problemi con il tuo account.

• Un indirizzo email per il primo account utente super amministratore. L'indirizzo email deve utilizzare il dominio DNS principale e non deve essere utilizzato da un account consumer esistente.

  Se prevedi di configurare la federazione in un secondo momento, seleziona un indirizzo email che corrisponda a un utente nel tuo provider di identità (IdP) esterno.

La creazione di un nuovo account Cloud Identity o Google Workspace potrebbe richiedere la collaborazione tra più team e stakeholder della tua organizzazione. che possono includere:

• Amministratori DNS. Per verificare i domini DNS principali e secondari, devi disporre dell'accesso amministrativo a entrambe le zone DNS.
• Se utilizzi un IdP esterno, gli amministratori dell'IdP esterno.
• Futuri amministratori dell'organizzazione Google Cloud .

Procedura per la preparazione di un account

Il seguente diagramma di flusso illustra la procedura di preparazione del tuo account Cloud Identity o Google Workspace. Come indicato nei due lati del diagramma, il processo potrebbe richiedere la collaborazione tra team diversi.

1. Registrati a Cloud Identity o Google Workspace. Durante la procedura di registrazione, devi fornire un numero di telefono e un indirizzo email di contatto, il dominio principale che vuoi utilizzare e il nome utente per il primo account utente super amministratore.

2. Verifica la proprietà del tuo dominio principale creando un record TXT o CNAME nella zona DNS corrispondente del tuo server DNS.

3. Aggiungi eventuali domini secondari all'account Cloud Identity o Google Workspace.

4. Verifica la proprietà dei domini secondari creando record TXT o CNAME nelle zone DNS corrispondenti del server DNS.

5. Proteggi il tuo account configurando le impostazioni di sicurezza.

6. Crea una configurazione predefinita per gli account utente.

Accesso sicuro al tuo account

Durante la procedura di registrazione, crei un primo utente nel tuo account Cloud Identity o Google Workspace. A questo account utente sono assegnati privilegi di super amministratore e ha accesso completo all'account Cloud Identity o Google Workspace.

Per completare la configurazione iniziale del tuo account Cloud Identity o Google Workspace, devi disporre dei privilegi di super amministratore. Dopo aver completato la configurazione iniziale, le occorrenze in cui sono necessari i privilegi di super amministratore saranno rare, ma per garantire la continuità operativa è importante che tu e altro personale autorizzato manteniate l'accesso super amministratore all'account Cloud Identity o Google Workspace:

Per garantire questo accesso:

• Seleziona un gruppo di amministratori che devono disporre dell'accesso super amministratore all'account Cloud Identity o Google Workspace. È consigliabile mantenere un numero ridotto di utenti.
• Crea un insieme di account utente super amministratore dedicati per ogni amministratore.
• Applica l'autenticazione in due passaggi di Google per questi utenti e richiedi loro di creare codici di backup in modo da mantenere l'accesso anche se perdono lo smartphone o la chiave USB.
• Chiedi agli amministratori di utilizzare gli account super amministratore solo quando necessario e scoraggia l'utilizzo quotidiano di questi account.

Per informazioni dettagliate su come proteggere gli utenti super amministratore, vedi Best practice per l'account super amministratore. Per assicurarti che il tuo account sia protetto correttamente, segui il nostro elenco di controllo di sicurezza per aziende di medie e grandi dimensioni.

Configurare le impostazioni predefinite per gli account utente

Cloud Identity e Google Workspace supportano una serie di impostazioni che ti aiutano a proteggere gli account utente:

• Applicazione della verifica in due passaggi.
• Controllare chi può accedere a Google Workspace e ai servizi Google.
• Consentire o negare l'accesso ad app meno sicure.
• Assegnazione di licenze per Cloud Identity Premium o Google Workspace.
• Scelta di una posizione geografica per i dati e controllo dello spazio di archiviazione dati supplementare (solo Google Workspace).

Per ridurre al minimo l'impegno amministrativo, è consigliabile configurare queste impostazioni in modo che vengano applicate per impostazione predefinita ai nuovi utenti. Puoi configurare le impostazioni predefinite ai seguenti livelli:

1. Globale:un'impostazione globale si applica a tutti gli utenti, ma ha la priorità più bassa.
2. Unità organizzativa (UO): un'impostazione configurata per un'UO si applica a tutti gli utenti dell'UO e alle UO secondarie e sostituisce un'impostazione globale.
3. Gruppo:un'impostazione configurata per gruppo viene applicata a tutti i membri del gruppo e sostituisce le impostazioni globali e dell'unità organizzativa.

Crea una struttura UO

Creando una struttura di unità organizzative, puoi segmentare gli account utente del tuo account Cloud Identity o Google Workspace in insiemi discreti per semplificarne la gestione.

Se utilizzi Cloud Identity in combinazione con un IdP esterno, la creazione di unità organizzative personalizzate potrebbe non essere necessaria. In alternativa, puoi utilizzare una combinazione di impostazioni globali e specifiche per gruppo:

• Mantieni tutti gli account utente nell'UO predefinita.
• Per controllare a chi è consentito accedere a determinati servizi Google, crea gruppi dedicati come Google Cloud Users and Google Ads Users nel tuo IdP esterno. Esegui il provisioning di questi gruppi in Cloud Identity e applica le impostazioni predefinite corrette. Puoi quindi controllare l'accesso modificando le appartenenze ai gruppi nel tuo IdP esterno.

Se alcuni o tutti i tuoi utenti utilizzano Google Workspace, è probabile che tu abbia bisogno di una struttura di unità organizzative personalizzata perché alcune delle impostazioni specifiche di Google Workspace non possono essere applicate per gruppo. Se utilizzi un IdP esterno, è meglio mantenere la struttura delle unità organizzative semplice, come segue:

• Crea una struttura di unità organizzativa di base che ti consenta di assegnare automaticamente le licenze, scegliere una posizione geografica per i tuoi dati e controllare lo spazio di archiviazione dati supplementare. Per tutte le altre impostazioni, ti consigliamo di applicarle per gruppo.
• Configura l'IdP esterno in modo che i nuovi utenti vengano assegnati automaticamente all'unità organizzativa corretta.
• Crea gruppi dedicati come Google Cloud Users and Google Ads Users nel tuo IdP esterno. Esegui il provisioning di questi gruppi in Google Workspace e applica le impostazioni predefinite corrette. Puoi controllare l'accesso modificando le appartenenze ai gruppi nel tuo IdP esterno.

Impatto dell'unità organizzativa predefinita sulla migrazione dell'account

Se hai identificato account consumer esistenti di cui prevedi di eseguire la migrazione a Cloud Identity o Google Workspace, l'unità organizzativa predefinita svolge un ruolo speciale. Se esegui la migrazione di un account consumer a Cloud Identity o Google Workspace, l'account viene sempre inserito nell'unità organizzativa predefinita e non fa parte di alcun gruppo.

Per eseguire la migrazione di un account consumer, devi avviare un trasferimento dell'account. Questo trasferimento deve essere approvato dal proprietario dell'account consumer. In qualità di amministratore, hai un controllo limitato quando il proprietario potrebbe dare il consenso e puoi quindi completare il trasferimento.

Al termine del trasferimento, tutte le impostazioni applicate all'UO predefinita hanno effetto sull'account utente migrato. Assicurati che queste impostazioni concedano un livello di accesso di base ai servizi Google in modo che la capacità di lavoro del dipendente associato non sia ostacolata.

Best practice

Quando prepari il tuo account Cloud Identity o Google Workspace, segui queste best practice:

• Se utilizzi un IdP esterno, assicurati che gli utenti in Cloud Identity o Google Workspace siano un sottoinsieme delle identità nel tuo IdP esterno.
• Valuta la possibilità di ridurre la durata predefinita della sessione e la durata della sessione utilizzata da Google Cloud. Quando utilizzi un IdP esterno, assicurati di allineare la durata della sessione con il tuo IdP.
• Esporta i log di controllo in BigQuery per conservarli oltre il periodo di conservazione predefinito.
• Per contribuire a mantenere protetto il tuo account, rivedi periodicamente il nostro elenco di controllo per la sicurezza per le medie e grandi imprese.

Passaggi successivi

• Scopri come consolidare gli account utente esistenti.