Due piani di policy: la persona e la macchina
In Devices > Chrome la console tiene separati due mondi che è facile confondere. Settings > Users & browsers contiene le policy che seguono l’utente: valgono ovunque quella persona acceda a Chrome con il profilo di lavoro, e si applicano in base all’unità organizzativa a cui appartiene oppure a un gruppo. Settings > Managed browsers contiene invece le policy che restano attaccate alla macchina: valgono per chiunque apra quel browser, anche per un ospite o per chi non ha effettuato l’accesso, e si applicano in base all’unità organizzativa in cui è registrato il browser.
La distinzione decide la risposta a quasi ogni scenario. Sul portatile assegnato a una singola persona la policy utente basta; sul PC condiviso del magazzino, dove nessuno accede con un account aziendale, l’unica leva che tiene è quella a livello di browser. Vale anche la regola di precedenza: sulle impostazioni utente i gruppi sono disponibili e prevalgono su quelle dell’unità organizzativa, mentre le impostazioni del browser registrato si governano solo con la struttura organizzativa. Quindi, prima di modificare qualcosa, chiediti se il requisito riguarda una persona o un dispositivo.
Registrare i browser con il token di enrollment
Un Chrome installato non compare da solo nella console: va registrato. In Devices > Chrome > Managed browsers generi un enrollment token scegliendo l’unità organizzativa di destinazione, poi distribuisci quel token alle macchine. Su Windows si scrive come valore CloudManagementEnrollmentToken sotto la chiave di policy HKLM\Software\Policies\Google\Chrome, tipicamente via criteri di gruppo o con lo strumento di distribuzione che già usi; su macOS arriva con un profilo di configurazione, su Linux con un file JSON nella cartella delle policy di Chrome. Il token identifica l’unità organizzativa, non il singolo computer: lo stesso token su cento macchine le fa atterrare tutte nella stessa unità.
Al primo avvio successivo il browser si registra e compare nell’elenco dei managed browsers con versione, sistema operativo, policy applicate ed estensioni installate: è anche il tuo inventario, utile per scoprire chi è rimasto indietro di tre versioni. Da lì puoi spostare un browser in un’altra unità organizzativa, cambiando in un colpo solo le policy della macchina, oppure eliminarlo per annullarne la registrazione. Registrare i browser è il prerequisito di tutto il resto: senza enrollment le impostazioni dei managed browsers non hanno destinatari.
Aggiornamenti e accesso offline
Chrome si aggiorna da solo, e il compito dell’amministratore è decidere quanto margine lasciargli. Le leve principali sono tre: consentire o sospendere gli aggiornamenti automatici, fissare una versione massima con il prefisso di versione di destinazione quando un gestionale interno non è ancora compatibile, e imporre il riavvio del browser. L’ultima è quella che si dimentica: un aggiornamento scaricato entra in vigore solo dopo il riavvio, e chi tiene sessanta schede aperte non riavvia mai. La notifica di riavvio, nella variante che dopo un periodo definito forza la chiusura, è ciò che trasforma una patch scaricata in una patch attiva. Ricorda inoltre che bloccare gli aggiornamenti congela anche le correzioni di sicurezza: è una misura temporanea, con una data di scadenza scritta da qualche parte.
L’accesso offline si governa su due lati. Il primo è il servizio: in Apps > Google Workspace > Drive and Docs decidi, per unità organizzativa, se gli utenti possono attivare l’accesso offline a Documenti, Fogli e Presentazioni. Il secondo è il browser, perché offline significa una copia dei file sul disco della macchina: ha senso sui computer aziendali gestiti, non su un PC condiviso o personale. Il contrappeso sono le policy del browser che stabiliscono chi può accedere al profilo, limitando l’accesso agli account del tuo dominio, e quelle che cancellano i dati di navigazione alla chiusura. Quando qualcuno segnala che i documenti non si aprono senza rete, la diagnosi guarda entrambi i lati: l’impostazione dell’unità organizzativa e il fatto che stia usando un browser gestito con il profilo di lavoro.
Estensioni e app: consentire, bloccare, forzare
Le estensioni vivono in Devices > Chrome > Apps & extensions > Users & browsers, e anche qui la destinazione è un’unità organizzativa o un gruppo. Per la singola estensione le opzioni sono quattro: consentirne l’installazione, bloccarla, installarla d’ufficio, oppure installarla d’ufficio aggiungendola alla barra degli strumenti. L’installazione forzata avviene in silenzio e l’utente non può rimuoverla, mentre il blocco disattiva anche le copie già presenti sulle macchine.
La decisione architetturale però è nelle impostazioni aggiuntive, dove imposti la regola per tutto ciò che non hai elencato: permettere qualsiasi estensione tranne quelle bloccate, oppure bloccare tutto tranne quelle consentite. Il secondo approccio è la postura difendibile, ma va accompagnato dal flusso delle richieste, altrimenti trasforma ogni esigenza legittima in un ticket. Con quel flusso attivo l’utente chiede l’estensione dal Chrome Web Store e tu la approvi o la rifiuti dalla console. Restano due strumenti utili: il blocco per permessi, che rifiuta in blocco le estensioni che chiedono per esempio di leggere i dati di tutti i siti, e l’aggiunta per ID o per URL, indispensabile per le estensioni interne non pubblicate sullo store.