Een wachtwoord en tweestapsverificatie bewijzen wie je bent, maar zeggen niets over de omstandigheden waaronder je inlogt. Context-aware access vult dat gat. Het beoordeelt de context van elke toegangspoging en bepaalt op basis daarvan of toegang wordt verleend. Dit is een kernonderdeel van een zero-trust-aanpak.
Wat context-aware access doet
Met context-aware access stel je voorwaarden aan toegang die verder gaan dan alleen identiteit. Je kunt eisen dat een gebruiker zich op een bedrijfsnetwerk bevindt, een beheerd en versleuteld apparaat gebruikt, of zich binnen een bepaalde geografische regio bevindt. Voldoet de context niet aan de voorwaarden, dan wordt toegang geweigerd, zelfs met geldige inloggegevens.
Het krachtige is dat de controle voor core-services continu gebeurt. Verandert de context tijdens een sessie, bijvoorbeeld doordat iemand van het kantoornetwerk naar een koffietent wisselt, dan wordt het beleid voor die service opnieuw beoordeeld. Let op een belangrijk verschil: voor SAML-apps wordt het toegangsniveau alleen bij het inloggen gecontroleerd en niet opnieuw tijdens de sessie.
Beschikbaarheid per editie
Context-aware access zit in een vaste set edities: Frontline Standard en Plus, Enterprise Standard en Plus, Education Standard en Plus, Enterprise Essentials Plus en Cloud Identity Premium. De Business-edities, Education Fundamentals en de Essentials Starter-editie hebben de functie niet. Controleer je editie voordat je een implementatie plant, want zonder de juiste editie ontbreekt de functie in je Admin Console.
Toegangsniveaus definieren
De basis van context-aware access is het toegangsniveau: een set voorwaarden waaraan de context moet voldoen. Je bouwt een toegangsniveau op uit attributen zoals IP-bereik, apparaatbeleid, versleuteling van opslag, besturingssysteem en geografische locatie.
Context-aware access instellen stap voor stap
- Ga in de Admin Console naar Beveiliging, Toegang en gegevensbeheer, Context-aware access.
- Open Toegangsniveaus en kies Toegangsniveau maken.
- Stel de gewenste voorwaarden in, bijvoorbeeld een IP-bereik of de eis van een beheerd apparaat.
- Ga naar Toewijzen en koppel het toegangsniveau aan de gewenste app.
- Selecteer de organisatie-eenheid of groep waarvoor de regel geldt en sla op.
Beleid koppelen aan apps
Een toegangsniveau doet niets tot je het aan een app koppelt. Je bepaalt per app, en per OU of groep, welk toegangsniveau geldt. Zo kun je Drive afschermen achter een streng niveau terwijl een minder gevoelige app een soepeler niveau krijgt. Sinds 2026 kun je ook een standaardbeleid op alle SAML-apps tegelijk toepassen, zodat elke app zonder eigen toewijzing automatisch onder een basisniveau valt.
Test elk nieuw toegangsniveau eerst op een kleine testgroep of test-OU voordat je het breed uitrolt. Een te streng niveau sluit gebruikers buiten van apps die ze nodig hebben, soms zonder duidelijke foutmelding. Een gefaseerde uitrol voorkomt dat je per ongeluk je hele organisatie buitensluit.
Veelgebruikte scenario's
In de praktijk gebruik je context-aware access vaak voor deze situaties:
- Drive en Gmail alleen toegankelijk vanaf beheerde, versleutelde apparaten.
- Toegang tot gevoelige apps beperkt tot bedrijfsnetwerken of bekende IP-bereiken.
- Toegang weigeren vanuit landen waar je organisatie niet actief is.
- Strengere eisen voor beheerders dan voor reguliere gebruikers.
Begin met de Warn-modus
Voordat je hard blokkeert, kun je een toegangsniveau in Warn-modus uitrollen. Gebruikers krijgen dan een waarschuwing maar mogen alsnog door, terwijl jij in de rapportage ziet wie geraakt zou worden. Zo test je het beleid in de praktijk zonder mensen meteen buiten te sluiten. Houd er rekening mee dat de Warn-modus niet in de Gemini-app voor mobiel beschikbaar is.
Samenhang met apparaatbeheer
Voorwaarden zoals beheerd apparaat of versleutelde opslag werken alleen als endpointbeheer is geconfigureerd. Apparaten moeten bekend zijn bij Workspace om hun status te kunnen beoordelen. Context-aware access en apparaatbeheer versterken elkaar; het een leunt op het ander voor de apparaatgerelateerde voorwaarden.
Vervangt context-aware access tweestapsverificatie?
Nee. Tweestapsverificatie bewijst identiteit, context-aware access beoordeelt de omstandigheden. Je gebruikt ze samen voor een sterkere beveiliging.
Werkt het op zowel desktop als mobiel?
Ja, context-aware access kan gelden voor toegang via browser en via mobiele apps, afhankelijk van de app en de ingestelde voorwaarden. Apparaatvoorwaarden vereisen wel apparaatbeheer.
Wordt de toegang tijdens een sessie opnieuw gecontroleerd?
Voor core-services wel. Wisselt een gebruiker naar een netwerk dat niet aan de voorwaarden voldoet, dan kan de toegang worden ingetrokken. Voor SAML-apps gebeurt de controle alleen bij het inloggen, niet tijdens de lopende sessie.
Heb ik apparaatbeheer nodig?
Voor apparaatgebaseerde voorwaarden wel. Voorwaarden op basis van alleen IP of locatie werken zonder apparaatbeheer, maar eisen rond beheerde of versleutelde apparaten vereisen endpointbeheer.
Welke edities ondersteunen context-aware access?
De functie zit onder meer in Enterprise Standard en Plus, Education Standard en Plus, Frontline Standard en Plus, Enterprise Essentials Plus en Cloud Identity Premium. De Business-edities en Education Fundamentals hebben de functie niet.
Kan ik een beleid in een keer op alle apps toepassen?
Ja. Naast toewijzing per app kun je sinds 2026 een standaardbeleid op alle SAML-apps instellen, dat automatisch geldt voor elke app zonder eigen toewijzing.