Skip to main content

​
Які дані надає ця інтеграція

Google Workspace може передавати нормалізовані дані про життєвий цикл користувачів, входи в систему, MFA, адміністративну діяльність і захист даних. Серед перевірених прикладів:
  • account.compromised — обліковий запис позначено як скомпрометований
  • data.sensitive.downloaded — завантаження конфіденційних даних
  • auth.login.unusual — входи в систему з незвичних контекстів
Див. як дані інтеграції перетворюються на Signals.

​
Що потрібно для Living Security

Увімкніть API Admin SDK і надайте дозвіл лише на ті області доступу (scopes), які підключення використовує для читання:
  • https://www.googleapis.com/auth/admin.reports.audit.readonly
  • https://www.googleapis.com/auth/admin.directory.user.readonly
  • https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly

​
Налаштування

1

Створіть службовий обліковий запис Google Cloud

Створіть окремий службовий обліковий запис, увімкніть делегування повноважень на рівні домену та завантажте його JSON-ключ. Зберігайте ключ у безпечному місці.
2

Авторизуйте делегування повноважень на рівні домену

У консолі адміністратора Google відкрийте Security → Access and data control → API controls → Manage Domain Wide Delegation. Додайте числовий ідентифікатор клієнта службового облікового запису та три зазначені вище області доступу лише для читання.
3

Виберіть адміністратора, якому делегуються повноваження

Виберіть активного адміністратора Workspace, який може читати довідник, призначення ролей і звіти аудиту. Living Security використовує цей обліковий запис лише для делегованого читання через API.

​
Перевірка та усунення несправностей

Переконайтеся, що підключення може прочитати дані одного користувача з довідника та відомості про нещодавні входи в систему. Google зазначає, що поширення нових дозволів на делегування повноважень на рівні домену може зайняти деякий час.
Переконайтеся, що для делегування повноважень на рівні домену використано числовий ідентифікатор клієнта службового облікового запису, а не його адресу електронної пошти, і що всі три області доступу збігаються точно.
Додайте admin.directory.rolemanagement.readonly до запису делегування та переконайтеся, що адміністратор, якому делегуються повноваження, може переглядати призначення ролей.
Переконайтеся, що Admin Reports API увімкнено і що адміністратор, якому делегуються повноваження, має доступ до звітів аудиту для тенанта Workspace.
Докладніше з боку постачальника див. в посібнику Google з делегування повноважень на рівні домену.