In Google Workspace possiamo – da poco tempo – configurare la gestione dei browser Chrome per ottenere un migliore controllo sui computer condivisi della scuola. In particolare, possiamo eliminare in automatico i profili di Chrome, anche se gli utenti dimenticano di cancellarli.

Sappiamo che l’utilizzo dei profili di Chrome potenzia il classico accesso a Google. Chi accede con il profilo ha sempre a disposizione segnalibri, cronologia, password salvate, estensioni: dati che normalmente restano confinati ad un singolo dispositivo. Risultato: cambiamo computer, ma è come se continuassimo ad utilizzare lo stesso computer – limitatamente a Chrome, è ovvio.

D’altra parte questi vantaggi ci obbligano ad una maggiore cura. Se dimentichiamo di eliminare il profilo, lasciamo a disposizione molti più dati per chi viene dopo di noi. In particolare, se non eliminiamo i profili dai dispositivi condivisi della scuola (computer di classe, laboratorio, aula insegnanti o carrelli) ci esponiamo a problemi potenzialmente molto seri. Se parliamo del profilo dei docenti significa probabilmente password del registro elettronico ed altre credenziali o contenuti di particolare delicatezza. Anche per gli alunni non va meglio. Chi viene dopo e utilizza un profilo altrui, ha accesso all’identità digitale di quello studente.

Vediamo quindi in questo post come eliminare automaticamente tutti i profili di Chrome dai computer condivisi della scuola, alla semplice chiusura del browser. Anche se gli utenti dimenticano di farlo in prima persona. Insieme a questo, alcune altre impostazioni faciliteranno il nuovo accesso con i profili, diminuendo popup di richiesta e numero di click per accedere nuovamente con il profilo.

La cura dei singoli, necessaria, non è sufficiente: dimenticanze o sviste possono capitare, con effetti molto spiacevoli in questo caso. Serve una strategia di sistema che prevenga la diffusione di questi dati a prescindere dall’attenzione che ognuno di noi pone nella gestione dei profili.

Una nuova sezione in console: Browser gestiti

Proprio in questo scenario ci viene in aiuto la recente possibilità di gestione dei browser Chrome da console di amministrazione di Workspace. Possiamo configurare innumerevoli impostazioni per i browser, prima fra tutte l’eliminazione automatica dei profili alla chiusura di Chrome.

Vediamo in questo post come attivare la gestione dei browser Chrome, e come configurare al meglio da console le impostazioni secondo le nostre esigenze.

La procedura in questo caso è particolarmente articolata. Sostanzialmente si sviluppa in tre fasi:

1. attivare la gestione del browser Chrome nella console di amministrazione
2. registrare i browser, lavorando su ogni singolo computer da configurare
3. configurare le impostazioni per i browser gestiti

1. Attivare ed impostare la gestione dei browser Chrome

Abilitare il Chrome Browser Cloud Management

Questa prima fase richiede di fornire alcuni consensi. Di per sé non comporta trattamento dei dati aggiuntivo rispetto a quanto già avviene con il resto dell’amministrazione da console. Inoltre, anche se lavoriamo nella zona fatturazione, si tratta di un servizio gratuito. Quindi possiamo procedere senza problemi.

• da console di amministrazione vai su Fatturazione > Aggiungi altri servizi > Dispositivi e browser
• se Chrome Enterprise Core non è attivo fai click su Inizia subito (altrimenti passa ad impostare UO e token)
• segui le istruzioni per rivedere e accettare i Termini di servizio di Chrome Enterprise Core, se richiesto; completa il processo cliccando su Checkout e Effettua ordine
• se tutto è andato a buon fine (potrebbe essere necessario aspettare qualche minuto, o ricaricare la pagina) in console compare una nuova voce: Browser Chrome

Impostare UO e token

Per gestire correttamente i browser che andremo a registrare, è assolutamente consigliato creare un’unità organizzativa dedicata. I browser saranno inseriti in quell’unità organizzativa (eventualmente suddivisa in sotto unità organizzative, se utile). Come vedremo sotto, le impostazioni che daremo ai browser sono della stessa tipologia di quelle che vengono applicate ai profili di Chrome degli utenti. Un’unità organizzativa specifica eviterà spiacevoli effetti indesiderati.

• crea un’unità organizzativa dedicata per la gestione dei browser; Browser nell’unita organizzativa principale dovrebbe andare bene. Valuta se creare sottounità organizzative per inserire i browser di ogni plesso in un contenitore dedicato
• vai su Browser Chrome > Browser gestiti, e posizionati sull’UO Browser che hai creato (non sulle eventuali sottounità organizzative)
• clicca in alto su Registrati e attendi un attimo: verrà creato il token di registrazione – se avevi già creato un token di registrazione per quella unità organizzativa, verrà mostrato di nuovo quel token già creato; tieni presente che quando utilizzerai il token per registrare i browser, questi verranno automaticamente posizionati nell’UO selezionata al momento della creazione del token
• puoi annotare il token mostrato a video, ma è più consigliato scaricare il file .reg che utilizzerai per registrare il browser

Nei passaggi seguenti dovrai utilizzare questo file .reg e inserirlo manualmente in ogni computer di cui vorrai gestire il browser. È consigliabile creare una cartella condivisa, magari direttamente in un Drive condiviso, dove posizionare il file .reg, e condividere quella cartella con l’utente che materialmente scaricherà sui computer il file.

Si potrebbe anche creare un token diverso per ogni eventuale sottounità organizzativa (ad es. una per ogni plesso), così da posizionare i browser nell’UO giusta al momento della registrazione. Personalmente non consiglio questa modalità: meglio posizionarli comunque nell’UO genitore (Browser) con token unico, e poi spostare a mano i browser. In questo modo l’UO genitore funziona come area di lavoro, e di verifica se il token viene utilizzato per registrare browser indesiderati.

2. Registrare i browser

È necessario configurare manualmente ogni computer per cui si vuole registrare il browser, utilizzando il token generato prima. [Solo se i computer sono gestiti su dominio Windows è possibile intervenire in maniera centralizzata per la configurazione.] Questo è il passaggio più laborioso, che può essere eseguito da un tecnico o figura dedicata alla manutenzione dei dispositivi, non serve che sia l’admin.

Questa configurazione comporta una modifica nel registro di sistema di Windows. Possiamo muoverci in diversi modi, compresa una modifica manuale della chiave associata. Qui prenderemo in considerazione il metodo più semplice: utilizzare il file .reg scaricato da console. In questo modo viene fatto tutto in automatico, e riduciamo le possibilità di errore.

• avvia il computer e accedi con un utente amministratore
• accedi a Chrome con l’utente con cui hai condiviso il file .reg in precedenza, vai su Drive e scarica il file
• nella barra di ricerca di Windows digita regedit, comparirà in elenco il programma Editor del registro di sistema. Non cliccare direttamente sul programma, ma sulla destra clicca Esegui come amministratore, ed autorizza
• aperto l’Editor di registro, clicca su File > Importa e scegli il file .reg dai Download
• se l’operazione va a buon fine, un popup con icona azzurra ti avvisa: Chiavi e valori contenuti in … inseriti nel registro di sistema; diversamente un messaggio informa di eventuali errori
• chiudi tutte le finestre di Chrome e riaprilo, e attendi qualche secondo
• ricorda di eliminare dai Download il file .reg e di svuotare anche il Cestino

Ora il browser è registrato. Dopo alcuni minuti comparirà anche in console di amministrazione, in Browser Chrome > Browser gestiti, nella UO da cui hai generato il token. Il browser viene identificato in console con il nome computer di Windows (per cercarlo da Windows scegli Impostazioni > Sistema, viene visualizzato in alto).

Per trovare meglio i browser successivamente puoi (opzionalmente, non è necessario):

• spostare il browser in una sottounità organizzativa dedicata (ad es. quella del plesso, come ipotizzato sopra)
• assegnare un’etichetta (ID Risorsa), luogo o note modificando il browser dall’elenco in console: clicchi sul nome browser, vai in Campi personalizzati e modifichi quelli che servono.

Ripeti tutti questi passaggi per ogni browser che vuoi registrare.

3a. Le impostazioni di Chrome – riflessioni preliminari

Chrome policies e console di amministrazione

Come abbiamo accennato sopra, la gestione in console di amministrazione delle impostazioni dei browser Chrome, dei profili utente e dei Chromebook è piuttosto intricata. Tutti questi aspetti, anche se diversi tra loro, hanno come punto di incontro il browser Chrome. I profili utente infatti ne sono una componente fondamentale. I Chromebook si basano al 90% sull’utilizzo del browser, con impostazioni aggiuntive per la parte hardware del dispositivo.

Per questo motivo, sono state fatte due scelte ‘unificanti’.
Primo, tutte le impostazioni che riguardano questi tre aspetti vengono chiamate globalmente Chrome Policies. Saranno poi le descrizioni delle singole policies a indicare il campo preciso di applicazione.
Secondo, in console di amministrazione sono raggruppate in un’unica zona. Si evitano così ripetizioni inutili in sezioni diverse di impostazioni che per la maggior parte si sovrappongono. Questa zona di impostazioni si raggiunge (purtroppo…) tramite due percorsi diversi, che portano però esattamente alla stessa sezione:

• Dispositivi > Chrome > Impostazioni
• Browser Chrome > Impostazioni

Possiamo usare l’uno o l’altro percorso, non cambia.

Gerarchia delle impostazioni

Come facciamo dunque a distinguere quali impostazioni vengono applicate a quale ambito? Se consultiamo la documentazione dettagliata delle Chrome Policies, per ognuna di esse viene indicato precisamente lo scenario a cui può o non può essere applicata. Alcune impostazioni si applicano solo ai profili utente, altre anche a browser e Chromebook, per fare un esempio. La descrizione di queste policies non è però sempre semplice da capire, e non è comoda da consultare.

In console di amministrazione abbiamo sostanzialmente due linee guida che ci aiutano a comprendere in maniera più semplice come muoverci.

1. Organizzatori grafici

Al termine della riga di ogni impostazione visualizziamo alcune icone. Ci indicano a quali scenari l’impostazione in questione viene applicata o meno: Chromebook, browser Chrome su altri sistemi operativi, browser Chrome su dispositivi mobili. L’impostazione verrà applicata solo agli scenari con icona in nero; quelli con icona grigia vengono ignorati per questa impostazione.

Questo criterio indica solo una prima scrematura, ma non ci aiuterà in molti casi per configurare precisamente il tutto come desideriamo. Non dobbiamo fare nulla, ma otteniamo poco.

2. Unità organizzative differenziate

Siamo noi a dover impostare la console perché possiamo agire in maniera differenziata quando ci serve. Per ottenere questo, dobbiamo strutturare le unità organizzative in maniera articolata e confacente alle nostre necessità. Ecco il motivo per cui un’unità organizzativa dedicata alla gestione dei browser Chrome è assolutamente consigliata. Di fatto è l’unico modo efficace per non fare confusione con le impostazioni.

Di seguito trovi le impostazioni specifiche eliminare in automatico i profili di Chrome dai computer della scuola. Perché il tutto funzioni correttamente però, serve settare altre impostazioni a livello più generale (unità organizzativa principale), in modo che l’accesso degli utenti (sia per i browser gestiti che più in generale per ogni Chrome) sia più semplice e pulito. Si tratta sostanzialmente di ridurre i popup di richieste iniziali, e forzare la separazione dei profili per evitare commistioni.
Trovi le impostazioni più generali nel post Configurare i profili di Chrome per gli utenti di Workspace.

È consigliabile iniziare da quelle impostazioni generali, se non l’hai fatto prima, poi proseguire con le indicazioni sottostanti. Se per qualche motivo non vuoi impostare quelle opzioni a livello di UO globale, devi almeno applicare le impostazioni là indicate all’unità organizzativa Browser, pena il funzionamento incompleto di quanto segue. È comunque altamente consigliato applicare le impostazioni di quel documento a livello globale.

3b. Configurare le impostazioni di Chrome

Prima di iniziare

• verifica che Google Chrome Sync sia abilitato (App > Google Workspace > Google Chrome Sync)
• vai in Browser Chrome > Impostazioni, scheda Impostazioni utente e browser
• posizionati sull’unità organizzativa dei browser

Proseguendo, verifica di rimanere sempre posizionato nell’UO dei browser. Diversamente, potresti incontrare effetti collaterali anche molto spiacevoli. Solo una delle impostazioni – chiaramente indicata sotto – necessita di spostarsi sull’UO principale. Per tutte le altre mantieniti su quella dei browser.

Impostazioni di accesso

• Migrazione dei dati di separazione dei profili: Gli utenti non possono includere i dati di navigazione esistenti nel proprio profilo gestito

[questa impostazione impedisce agli utenti di importare i dati esistenti sul browser del computer condiviso nel proprio profilo: evita così commistioni problematiche]

Sicurezza

• Gestore delle password: Consenti sempre l’utilizzo… (con Override Non consentito)
• Passkey: Consenti all’utente di salvare…

[queste due impostazioni permettono di salvare password e passkey associate al profilo, e non in locale sul browser; si può valutare di impostarle anche a livello globale, sull’unità organizzativa principale, ma questa secondo opzione è a discrezione]

• Modalità di navigazione in incognito: Non consentire
• Cronologia del browser: Salva sempre (tanto verranno cancellati profili)
• Cancella la cronologia del browser: Consenti

[queste tre impostazioni impongono l’utilizzo di un profilo autenticato, salvando i dati della cronologia all’interno del profilo; si può valutare di permettere la navigazione in incongnito, se necessaria sui computer condivisi]

• Imponi modalità temporanea: Cancella tutti i dati utente locali

[questa è l’impostazione chiave: fa in modo che alla chiusura di Chrome tutti i profili vengano rimossi, senza lasciare nessun dato sul computer]

Imponi modalità temporanea è il nome che troviamo in console. La funzione di fatto elimina tutti i profili degli utenti alla chiusura del browser Chrome, anche per chi dimenticasse di farlo. Questa è la chiave di volta di tutta la configurazione qui proposta. Che sarà veramente efficace e lineare se accompagnata da tutte le altre impostazioni indicate nel post.

Avvio

• Pulsante Home: mostra sempre
• Home page: impostare quella di Google
• Pagina nuova scheda: Google

[queste tre impostazioni – non indispensabili – possono aiutare gli utenti meno esperti a trovare sempre home page di Google, per accedere facilmente ai servizi di Workspace]

Impostazioni di importazione

Disabilitare tutte le voci! È computer condiviso, come detto sopra non vanno importati dati esistenti nel profilo

Contenuti

• Safe Search e Modalità con restrizioni: Utilizza sempre Safe search, Applica almeno la modalità restrizione moderata su Youtube

[questa impostazione attiva i filtri di contenuti espliciti sulla ricerca Google e sulla ricerca Youtube]

Esperienza utente

• Barra dei preferiti: Attiva la barra dei preferiti (opzionale, di supporto ad utenti meno esperti)
• Aggiungi profili: Abilita l’aggiunta di nuovi profili

Reporting sul browser gestito

• Reporting sul browser gestito: Attiva
• Reporting sui profili gestiti: Attiva
• Frequenza di caricamento: 6 ore
• Reporting sugli eventi: Attiva e salva (modalità precedente, apre nuova scheda browser)

[queste quattro impostazioni attivano e configurano la visualizzazione delle informazioni dei browser gestiti e dei profili che li utilizzano]

Origini impostazioni

• Precedenza criteri: Cloud a livello di macchina > Macchina > Utente sistema operativo > Profilo Chrome

[questa impostazione fa in modo che le impostazioni settate da console di amministrazione per Chrome abbiamo la precedenza su eventuali impostazioni in conflitto sul singolo computer; valutare se cambiare questo valore nel caso di computer gestiti in dominio con server Windows – chiedere ai tecnici se è meglio scegliere  Macchina > Cloud a livello di macchina > Utente sistema operativo > Profilo Chrome]

Altre impostazioni

• Sincronizzazione Chrome e profili di roaming (Browser Chrome – Gestito su cloud): Consenti sincronizzazione di Chrome (resto opzioni invariato)
• Gestione del token del dispositivo: Elimina token
  NB: questa impostazione va applicata su UO principale! Non è possibile applicarla solamente sull’UO dei Browser
• Periodo di inattività per l’eliminazione del browser: si può ridurre, occhio ai dispositivi poco usati o dispersi (365 giorni?)