Lỗi “400 admin_policy_enforced” xuất hiện khi quản trị viên Google Workspace cố tình chặn hoặc hạn chế quyền truy cập vào một số ứng dụng của bên thứ ba hoặc dữ liệu, ngăn người dùng đăng nhập hoặc chia sẻ thông tin . Đây không phải là sự cố mà là biện pháp bảo mật có chủ ý phản ánh các chính sách được định cấu hình của tổ chức.
Nó có thể làm gián đoạn quy trình công việc và gây ra các vấn đề về năng suất, đặc biệt khi các công cụ kinh doanh quan trọng bị ảnh hưởng. Lỗi này thường xảy ra nhất khi cố gắng kết nối ứng dụng như Slack, Zoom hoặc Asana, dẫn đến việc ủy quyền không thành công và bị từ chối truy cập.
Có một số nguyên nhân phổ biến gây ra lỗi này, chẳng hạn như:
- Hạn chế hành chính – Ứng dụng hoặc tính năng bị quản trị viên Workspace chặn.
- Ứng dụng của bên thứ ba không đáng tin cậy – Các công cụ không được phê duyệt để sử dụng trong tổ chức của bạn.
- Quy tắc chia sẻ dữ liệu nghiêm ngặt – Các chính sách hạn chế cách truy cập hoặc chia sẻ dữ liệu.
- Quyền truy cập API bị vô hiệu hóa – Ngăn ứng dụng kết nối với người dùng trong nhóm bị hạn chế.
- Đăng ký Chương trình Bảo vệ nâng cao – Các tài khoản trong chương trình này hoặc bị gắn cờ là đáng ngờ có thể phải đối mặt với các biện pháp kiểm soát truy cập chặt chẽ hơn.
- Các yếu tố bổ sung – Thiếu xác thực đa yếu tố (MFA), URL bị chặn, nỗ lực ủy quyền không phải của quản trị viên cấp cao, giới hạn giấy phép hoặc xung đột tên người dùng.
Bây giờ, hãy chuyển sang các giải pháp có thể giúp bạn khắc phục vấn đề này.
1. Đưa ứng dụng bị chặn vào danh sách trắng trong Bảng điều khiển dành cho quản trị viên của Google
Trong hầu hết các trường hợp, lỗi này xảy ra do ứng dụng bạn đang cố sử dụng không nằm trong danh sách trắng trong các biện pháp kiểm soát API của tổ chức bạn . Việc điều chỉnh cài đặt quyền truy cập cho ứng dụng này thường giải quyết được sự cố.
- Đăng nhập vào Bảng điều khiển dành cho quản trị viên của Google với tư cách quản trị viên cấp cao.
- Điều hướng đến Bảo mật> Quyền truy cập và kiểm soát dữ liệu> Kiểm soát API .
- Nhấp vào Quản lý quyền truy cập ứng dụng của bên thứ ba .
- Xác định vị trí ứng dụng bị chặn trong danh sách. Nếu nó không hiển thị, hãy sử dụng “Thêm ứng dụng” tùy chọn tìm kiếm theo ID ứng dụng khách OAuth.
- Chọn ứng dụng và thay đổi trạng thái của ứng dụng thành Đáng tin cậy .
- Nhấp vào Lưu .
Bằng cách tin cậy ứng dụng một cách rõ ràng, bạn ghi đè khối mặc định gây ra lỗi 400 admin_policy_enforced.
2. Sử dụng Tài khoản dịch vụ có ủy quyền trên toàn miền
Nếu sự cố ảnh hưởng đến quá trình tự động hóa hoặc tích hợp (chẳng hạn như tập lệnh hoặc dịch vụ phụ trợ), tài khoản dịch vụ có thể bỏ qua sự đồng ý OAuth cấp người dùng trong khi vẫn tuân thủ đầy đủ các chính sách của tổ chức.
Tài khoản này hoạt động dưới danh tính được quản lý tập trung, đảm bảo quyền truy cập API an toàn, tuân thủ chính sách cho các ứng dụng mà không gây ra hạn chế đăng nhập.
- Đăng nhập vào Google Cloud Console với tư cách quản trị viên.
- Chọn dự án hiện có hoặc tạo dự án mới.
- Bật các API được yêu cầu trong API &Dịch vụ> API và dịch vụ đã bật (ví dụ:SDK quản trị, API Gmail, API lịch, API Drive).
- Truy cập IAM &Quản trị viên> Tài khoản dịch vụ và tạo một tài khoản dịch vụ mới.
- Bật Ủy quyền trên toàn miền cho tài khoản và tạo khóa JSON .
- Sao chép ID duy nhất của tài khoản dịch vụ .
- Trong Bảng điều khiển dành cho quản trị viên, hãy điều hướng đến Bảo mật> Kiểm soát API> Quản lý ủy quyền trên toàn miền và thêm khách hàng mới bằng ID đã sao chép.
- Chỉ định Phạm vi OAuth được yêu cầu và nhấp vào Ủy quyền .
Cảnh báo: Chỉ cấp phạm vi tối thiểu cần thiết cho trường hợp sử dụng của bạn và lưu trữ khóa JSON một cách an toàn. Tài khoản dịch vụ bị xâm phạm có thể làm lộ dữ liệu nhạy cảm.
3. Tắt quyền truy cập IMAP/POP
Nếu ứng dụng email cũ đang cố gắng kết nối trái phép, điều này cũng có thể gây ra lỗi. Việc tắt IMAP/POP đảm bảo rằng chỉ những phương pháp được phê duyệt (như ứng dụng web Gmail hoặc ứng dụng khách OAuth được ủy quyền) mới có thể kết nối với tài khoản của bạn.
- Đăng nhập vào Bảng điều khiển dành cho quản trị viên của Google với tư cách quản trị viên.
- Điều hướng đến Ứng dụng> Google Workspace> Gmail .
- Mở rộng Quyền truy cập của người dùng cuối và nhấp vào biểu tượng bút chì bên cạnh cài đặt POP/IMAP.
- Bỏ chọn Truy cập POP và Truy cập IMAP .
- Nhấp vào Lưu .
Quan trọng: Thông báo cho người dùng trước khi áp dụng thay đổi này. Nó sẽ vô hiệu hóa quyền truy cập đối với các ứng dụng email như Outlook và Thunderbird dựa trên IMAP/POP.
4. Liên hệ với bộ phận hỗ trợ của Google Workspace
Nếu không có giải pháp nào ở trên hiệu quả, hãy liên hệ với Bộ phận hỗ trợ của Google Workspace. Cung cấp cho họ:
- Thông báo lỗi đầy đủ và dấu thời gian
- ID ứng dụng hoặc tên ứng dụng OAuth
- Mọi thay đổi gần đây về bảo mật hoặc kiểm soát API
Họ có thể xem xét các chính sách của tổ chức bạn và giúp áp dụng những điều chỉnh phù hợp.
GIỚI THIỆU TÁC GIẢ
Hamza Mohammad Anwar
Hamza Mohammad Anwar là nhà phát triển web JavaScript trình độ trung cấp, tập trung vào phát triển các ứng dụng hiệu suất cao sử dụng công nghệ MERN. Bộ kỹ năng của anh ấy bao gồm chuyên môn về ReactJS, MongoDB, Express NodeJS và các công nghệ liên quan khác. Hamza cũng là chuyên gia được Google CNTT chứng nhận, điều này nêu bật năng lực của anh trong lĩnh vực hỗ trợ CNTT. Là một người nhiệt tình giải quyết vấn đề, anh ấy tạo lại các lỗi trên máy tính của mình để khắc phục sự cố và tìm giải pháp cho các vấn đề kỹ thuật khác nhau.