Brancher Google Workspace

Sorvek lit Google Workspace par un compte de service que vous créez dans votre propre projet Google Cloud. Un super-administrateur autorise ce compte, dans la console d'administration Google, à agir sur votre domaine avec une liste précise de portées (la délégation à l'échelle du domaine). Vous collez ensuite la clé du compte de service dans Sorvek, qui teste chaque module avant de l'enregistrer.

Avant de commencer

Il vous faut :

• Dans Sorvek : le rôle Administrateur de votre organisation. Voir Rôles et accès.
• Dans Google Cloud : le droit de créer un compte de service et sa clé dans un projet, et d'y activer des API.
• Dans Google Workspace : un compte super-administrateur. Il autorise la délégation, et son adresse sert de compte au nom duquel Sorvek interroge l'annuaire.

Étapes

1. Dans Sorvek, ouvrez Paramètres > Sources de données > Ajouter une source, puis choisissez l'option Google Workspace Compte de service (BYO).
2. Dans 1. Sélectionner les modules, gardez au moins l'Annuaire et les Apps OAuth tierces (cochés par défaut). Ajoutez au besoin Journaux de connexion & d'activité, et Gmail pour découvrir les comptes SaaS par les métadonnées des courriels. Le tableau des portées se met à jour selon vos choix.
3. Dans la console Google Cloud (lien dans la section 2. Créer le compte de service + autoriser la délégation), créez un compte de service. Aucun rôle n'est requis. Activez l'API Admin SDK sur le projet, et l'API Gmail si vous avez coché Gmail.
4. Dans l'onglet des clés du compte de service, ajoutez une clé au format JSON et téléchargez le fichier.
5. Repérez le client_id numérique du compte de service. Il figure dans le fichier JSON.
6. Ouvrez la page de délégation à l'échelle du domaine de la console d'administration Google (lien dans la même section de Sorvek). Ajoutez un nouveau client avec ce client_id numérique.
7. Dans Sorvek, cliquez sur Copier les scopes (format console DWD, séparés par virgules), collez la liste dans le champ des portées OAuth de Google, puis autorisez.
8. Dans 3. Credentials Google, remplissez Nom (étiquette), Domaine principal (par exemple acme.com) et Email d'un super-admin à impersonifier (délégation), puis collez le fichier JSON complet dans le champ Clé JSON du compte de service.
9. Cliquez sur Tester & Sauvegarder. Sorvek obtient un jeton de délégation pour chaque module, fait un appel de lecture représentatif et affiche le Résultat par module.
10. Cliquez sur Retour à la liste, puis sur Activer à côté de la nouvelle source. Sans cette étape, la source existe mais n'alimente pas les vues.

Un module dont le test échoue n'est pas enregistré. Si aucun ne passe, rien n'est créé. La clé JSON est chiffrée au repos et n'est jamais journalisée.

Ce qui se passe ensuite

Une fois la source active, elle est prise en charge par la passe de nuit, qui démarre chaque jour à 2 h 30 UTC (21 h 30 ou 22 h 30 à Montréal selon la saison). Les organisations y passent l'une après l'autre : l'heure exacte de votre scan varie.

À chaque passage, Sorvek synchronise l'annuaire (utilisateurs, statut de la validation en deux étapes, groupes et membres), puis, selon les modules enregistrés :

• Apps OAuth tierces : la liste des applications tierces auxquelles chaque employé a donné accès ;
• Journaux : la dernière activité de ces accès sur les 180 derniers jours, et leurs révocations ;
• Gmail : les en-têtes des courriels (expéditeur, destinataires, objet, date, libellés). Le corps d'un message n'est ni demandé ni reçu. L'historique est rattrapé progressivement, d'une passe à l'autre. Les exclusions d'utilisateurs et de domaines de la page Analyse email s'appliquent.

Le détail de chaque portée est dans Permissions demandées. Pour suivre le premier scan, voir Votre première semaine.

Vérifier, renouveler ou retirer l'accès

• Permissions (dans la carte de la source) vérifie la délégation portée par portée. Gérer la délégation ouvre la console d'administration Google, et Re-vérifier relance le contrôle.
• Renouveler le secret remplace la clé du compte de service. La nouvelle clé est testée avant d'être enregistrée.
• Désactiver suspend la collecte de la source active sans rien supprimer.
• Pour couper l'accès côté Google, retirez le client de la page de délégation à l'échelle du domaine, ou supprimez la clé ou le compte de service dans Google Cloud. Voir Débrancher Sorvek.