Skip to main content

​
この連携で取得できる情報

Google Workspace からは、正規化されたユーザーライフサイクル、サインイン、MFA、管理操作、データ保護に関するアクティビティを取り込むことができます。確認済みの例は次のとおりです。
  • account.compromised — 侵害された可能性があるとしてフラグが付けられたアカウント
  • data.sensitive.downloaded — 機密データのダウンロード
  • auth.login.unusual — 通常とは異なる状況でのサインイン
連携データがどのようにシグナルになるかをご覧ください。

​
Living Security に必要なもの

Admin SDK API を有効にし、接続が読み取るスコープのみを承認してください。
  • https://www.googleapis.com/auth/admin.reports.audit.readonly
  • https://www.googleapis.com/auth/admin.directory.user.readonly
  • https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly

​
セットアップ

1

Google Cloud サービスアカウントを作成する

専用のサービスアカウントを作成し、ドメイン全体の委任を有効にして、その JSON キーをダウンロードします。キーは安全に保管してください。
2

ドメイン全体の委任を承認する

Google 管理コンソールで、Security → Access and data control → API controls → Manage Domain Wide Delegation を開きます。サービスアカウントの数値のクライアント ID と、上記の 3 つの読み取り専用スコープを追加します。
3

委任された管理者を選択する

ディレクトリ、ロールの割り当て、監査レポートを読み取ることができる、有効な Workspace 管理者を選択します。Living Security は、このIDを委任された API の読み取りにのみ使用します。

​
確認とトラブルシューティング

接続によってディレクトリ内のユーザー 1 名と最近のログインアクティビティを読み取れることを確認してください。Google によると、新しいドメイン全体の委任の付与が反映されるまでには時間がかかる場合があります。
ドメイン全体の委任に、メールアドレスではなくサービスアカウントの数値のクライアント ID を使用していること、および 3 つのスコープがすべて完全に一致していることを確認してください。
委任のエントリに admin.directory.rolemanagement.readonly を追加し、委任された管理者がロールの割り当てを表示できることを確認してください。
Admin Reports API が有効になっていること、および委任された管理者が Workspace テナントの監査レポートにアクセスできることを確認してください。
ベンダー側の詳細については、Google のドメイン全体の委任に関するガイドをご覧ください。