Делегирование доступа к данным в домене – это эффективная функция, которая позволяет предоставлять клиентским приложениям доступ к данным пользователей Workspace без их согласия. Делегирование доступа к данным в домене можно использовать двумя способами:
- Разрешить сервисному аккаунту получать доступ к данным от имени пользователя. Сервисный аккаунт может использовать следующие типы приложений:
- Инструменты для переноса и синхронизации, которые копируют пользовательский контент из другого сервиса в Google Workspace.
- Внутренние приложения (например, приложения автоматизации), которые разработаны для вашей организации. Например, вы можете делегировать доступ к приложению, которое использует Calendar API для добавления мероприятий в календари пользователей.
- Разрешить пользователям доступ к клиентским приложениям OAuth без отображения окна запроса доступа. Пользователи могут получить доступ к приложениям без запроса согласия, причем вы можете указать, к каким пользовательским данным приложения получают доступ.
Вы также можете управлять установкой приложений из Google Workspace Marketplace на уровне домена и просматривать области действия API. Узнайте больше о доступе к данным и установке приложений из каталога Marketplace.
Подготовка
- Убедитесь, что у вас есть права суперадминистратора для аккаунта Google Workspace.
- Ознакомьтесь с рекомендациями по делегированию доступа к данным в домене и рекомендациями по использованию сервисных аккаунтов.
- Ознакомьтесь с областями применения API, необходимыми программе или сервисному аккаунту. Убедитесь, что область доступа приложения или сервисного аккаунта достаточно ограничена.
- Если доступ делегирован приложению OAuth, получите идентификатор клиента OAuth от разработчика приложения.
- Если доступ делегирован сервисному аккаунту, получите идентификатор клиента этого аккаунта. Если сервисный аккаунт принадлежит вам, вы можете самостоятельно найти идентификатор следующим образом:
- Войдите в Google Cloud как суперадминистратор.
- Нажмите IAM и администрирование
Сервисные аккаунты [название вашего сервисного аккаунта]. - Разверните раздел Расширенные настройки и скопируйте значение в поле Идентификатор клиента.
- После делегирования приложение получает доступ к данным всех ваших пользователей. Мы рекомендуем настроить периодическую проверку сервисных аккаунтов и удалять все неиспользуемые аккаунты.
Как настроить делегирование доступа к данным в домене для клиента
-
В консоли администратора Google нажмите на значок меню
Безопасность
Управление доступом и данными
Управление API
Настроить делегирование доступа к данным в домене.Для выполнения этого действия необходим аккаунт суперадминистратора.
- Нажмите Добавить.
- Укажите идентификатор клиента для сервисного аккаунта или клиента OAuth 2.0.
- В разделе Области действия OAuth добавьте все области действия,к которым может получить доступ приложение (они должны быть достаточно узкими). Вы можете использовать любые области действия OAuth 2.0 для Google API. Например, если приложению нужен доступ к Google Drive API и Google Calendar API во всем домене, введите https://www.googleapis.com/auth/drive и https://www.googleapis.com/auth/calendar.
- Нажмите Авторизовать. Если вы видите сообщение об ошибке, возможно, идентификатор клиента не зарегистрирован в системе Google или присутствуют дублированные либо неподдерживаемые области действия.
Примечание. Если в вашей организации включено групповое одобрение, для разрешения делегирования доступа к данным в домене для клиентского приложения потребуется одобрение другого суперадминистратора.
- Наведите указатель на новый идентификатор клиента, нажмите Посмотреть подробности и убедитесь, что перечислены все области действия.
Если какой-то области не хватает, нажмите Изменить, укажите ее и нажмите Авторизовать. Изменить идентификатор клиента нельзя.
Как посмотреть, изменить или удалить клиенты и области действия
Мы рекомендуем периодически проверять области действия приложения и удалять те из них, которые необязательны или используются редко. Также удаляйте ненужные клиенты. Например, после завершения переноса можно отозвать доступ у инструмента переноса.
-
В консоли администратора Google нажмите на значок меню
Безопасность
Управление доступом и данными
Управление API
Настроить делегирование доступа к данным в домене.Для выполнения этого действия необходим аккаунт суперадминистратора.
- Нажмите на название клиента и выберите действие:
- Подробнее. Посмотреть полное название клиента и список областей действия.
- Изменить. Добавить или удалить области. Изменить идентификатор клиента нельзя. Изменения вступают в силу в течение 24 часов (обычно быстрее). Подробнее…
- Удалить. Приложения, которые зависят от авторизации клиента, немедленно прекратят работу.
После удаления имя клиента в списке Клиенты API изменится на "-".
Примечание. Если в вашей организации включено групповое одобрение, для изменения области действия или удаления делегирования в домене для клиентского приложения потребуется одобрение другого суперадминистратора.