> ## Documentation Index
> Fetch the complete documentation index at: https://docs.livingsecurity.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Google Workspace 集成设置

> 将 Google Workspace 连接到 Living Security，以获取用户生命周期、登录、MFA、管理和数据保护活动。

export const PublicIntegrationNextSteps = () => <>
    <hr />
    <h2>相关资源</h2>
    <ul>
      <li>
        <a href="/zh-Hans/signals/data-sources">了解集成数据如何转化为人员风险管理信号</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/integrations">探索 Living Security 集成</a>
      </li>
      <li>
        <a href="https://app.livingsecurity.ai/">打开 Living Security Platform</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/request-demo/">申请 Living Security 演示</a>
      </li>
    </ul>
  </>;

export const ConnectInPlatform = ({tile, children}) => <Step title="在 Living Security Platform 中输入凭据">
    <p>
      由拥有 Living Security 访问权限的人员完成——即项目负责人；如果已受邀，也可由系统管理员完成（委派设置）。
    </p>
    <ol>
      <li>
        转到<strong>设置 → 集成 → 目录</strong>，找到{' '}
        <strong>{tile}</strong> 磁贴，然后单击<strong>连接</strong>。
      </li>
      <li>
        填写下方的字段，然后单击<strong>连接</strong>。
      </li>
    </ol>
    {children}
  </Step>;

export const SystemAdminBanner = ({system, recommendDelegated}) => <Note>
    <p>
      <strong>本指南适用于您的 {system} 管理员。</strong>本指南介绍如何在 {system} 中创建 API
      凭据，这需要 {system} 的管理员权限，而非 Living Security Platform 的管理员权限。
    </p>
    <p>
      如果您是 Living Security 的<strong>项目负责人</strong>，但并不管理 {system}，
      请将本页面转发给负责管理 {system} 的人员。由其完成 A 部分，然后将凭据交还给您
      （如果您已邀请其加入平台，则可由其直接输入凭据）。
      {recommendDelegated && <>
          {' '}由于设置过程会产生敏感的密钥材料，我们建议采用{' '}
          <strong>委派设置</strong>方式，这样密钥不会再发送给您。
        </>}
    </p>
  </Note>;

<SystemAdminBanner system="Google Workspace" recommendDelegated={true} />

## 此集成提供的数据

Google Workspace 可提供经过标准化处理的用户生命周期、登录、MFA、管理和数据保护活动。已审核的示例包括：

* `account.compromised` — 账户被标记为已遭入侵
* `data.sensitive.downloaded` — 下载敏感数据
* `auth.login.unusual` — 从异常环境登录

请参阅[集成数据如何转化为信号](/zh-Hans/signals/data-sources)。

## Living Security 所需的凭据

| 凭据 | 描述 |
| - | - |
| **服务账号密钥** | 专用 Google Cloud 服务账号的 JSON 密钥。 |
| **委派管理员** | 服务账号可以模拟的 Google Workspace 管理员电子邮件地址。 |

启用 Admin SDK API，并仅授权此连接读取所需的范围：

* `https://www.googleapis.com/auth/admin.reports.audit.readonly`
* `https://www.googleapis.com/auth/admin.directory.user.readonly`
* `https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly`

## 设置

<Steps>
  <Step title="创建 Google Cloud 服务账号">
    创建一个专用服务账号，启用全网域授权，并下载其 JSON 密钥。请妥善保管该密钥。
  </Step>

  <Step title="授权全网域授权">
    在 Google 管理控制台中，打开 **Security → Access and data control → API controls → Manage Domain Wide Delegation**。添加服务账号的数字客户端 ID 以及上述三个只读范围。
  </Step>

  <Step title="选择委派管理员">
    选择一位可以读取目录、角色分配和审核报告的在职 Workspace 管理员。Living Security 仅将此身份用于委派的 API 读取操作。
  </Step>

  <ConnectInPlatform tile="Google Workspace Admin">
    按提示上传或粘贴服务账号凭据，并输入委派管理员的电子邮件地址。
  </ConnectInPlatform>
</Steps>

## 验证与故障排除

请验证该连接能够读取一个目录用户以及近期的登录活动。Google 指出，新的全网域授权可能需要一定时间才能生效。

<AccordionGroup>
  <Accordion title="unauthorized_client">
    请确认全网域授权使用的是服务账号的数字客户端 ID，而不是其电子邮件地址，并确认三个范围完全一致。
  </Accordion>

  <Accordion title="目录可正常读取，但缺少角色分配">
    将 `admin.directory.rolemanagement.readonly` 添加到授权条目中，并确认委派管理员可以查看角色分配。
  </Accordion>

  <Accordion title="报告为空">
    请确认已启用 Admin Reports API，并且委派管理员可以访问该 Workspace 租户的审核报告。
  </Accordion>
</AccordionGroup>

有关供应商方面的详细信息，请参阅 [Google 的全网域授权指南](https://developers.google.com/identity/protocols/oauth2/service-account#delegatingauthority)。

<PublicIntegrationNextSteps />


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.