Consignes pour configurer un CASB tiers avec Google Workspace

Un agent de sécurité des accès au cloud (CASB, cloud access security broker) est un logiciel sur site ou dans le cloud qui fait le lien entre les utilisateurs et les applications Internet. Un CASB impose des règles de sécurité, réduit le risque de logiciels malveillants et surveille les activités des utilisateurs qui pourraient affecter la sécurité de votre domaine.

Important : Il n'est pas nécessaire de configurer un CASB tiers avec Google Workspace. Toutefois, si vous décidez de le faire, nous vous recommandons de lire les consignes et instructions de dépannage ci-dessous.

Consignes pour les CASB

Utilisez un CASB hors ligne si possible

Si possible, évitez d'utiliser un CASB en ligne/actif sur le trafic réseau entre les utilisateurs et Google (n'utilisez pas de proxy ni de filtre réseau). Vous pouvez parvenir à vos objectifs par d'autres méthodes, par exemple avec des API ou des modules complémentaires Gmail tels qu'un CASB hors ligne. L'équipe d'assistance Google ne peut pas vous aider à résoudre les potentiels problèmes Google Workspace impliquant des solutions CASB en ligne/actives.

Nous recommandons plutôt les options Google Workspace suivantes :

• API Reports
• Modules complémentaires
• Protection contre la perte de données (DLP)
• Outil d'investigation de sécurité
• Commandes des API

Assurez-vous de pouvoir désactiver le CASB pour faire des tests

Si vous utilisez un CASB, assurez-vous de pouvoir tester votre configuration en le contournant ou en le désactivant pour un utilisateur ou un appareil spécifique. Ce point est important, car les problèmes de connexion aux services Google proviennent souvent du fournisseur ou de la configuration du CASB, et non de Google.

Voici quelques méthodes courantes pour tester si un problème avec Google Workspace est dû à un CASB :

• (Recommandé) Connectez-vous à l'aide d'un autre appareil sur lequel le trafic n'est pas acheminé via le CASB, et qui n'est pas soumis aux règles d'entreprise imposant l'installation de filtres réseau locaux ou d'extensions de navigateur. Par exemple, accédez aux services Google à partir d'un appareil personnel, ou connectez l'appareil concerné à un réseau mobile (partage de connexion) au lieu du réseau d'entreprise.
• Configurez votre CASB pour traverser le trafic à partir de l'appareil concerné. Cette option est souvent plus difficile à mettre en place.
• Si vos règles d'administration n'autorisent pas la connexion directe à votre compte Google Workspace, utilisez un environnement de test Google Workspace distinct.

Si vous êtes obligé de bloquer le trafic Google, ne modifiez pas la charge utile ni le corps de la réponse (en injectant votre propre code JavaScript, par exemple). Assurez-vous plutôt que votre CASB ou proxy remplace la réponse par une réponse 500. Idéalement, la réponse 500 devrait comporter un en-tête unique pour indiquer qu'elle provient du CASB. Si vous modifiez des corps de réponses, Google ne vous garantit pas d'assistance en cas de problème.

Notez que Google ne peut pas vous aider avec les configurations de CASB

Nous ne pouvons pas garantir d'assistance pour les problèmes liés au blocage ou à la modification du trafic réseau entre le navigateur (ou le client d'API) et Google, ni en cas d'effet secondaire de tels changements. Google fournit des API pour les intégrations, mais nous ne pourrons pas vous aider si vous utilisez d'autres méthodes (par exemple, l'injection de CSS ou de code). En effet, Google n'a pas connaissance de la configuration ni du code des systèmes tiers et ne peut rien garantir concernant les interfaces non publiques.

L'équipe d'assistance de Google Workspace ne peut pas non plus vous aider à déboguer un code tiers, en particulier s'il n'utilise pas d'API ni d'interface Google. Par exemple, nous pouvons vous aider si vous ajoutez un bouton dans l'interface Gmail à l'aide d'un module complémentaire Gmail. En revanche, nous ne pouvons pas vous aider si vous ajoutez ce bouton en injectant votre propre JavaScript à l'aide d'une extension Chrome ou d'un proxy intermédiaire MITM.

Dépannage

Identifiez les problèmes liés aux CASB ou filtres réseau

Vous trouverez ci-dessous certains signes pouvant indiquer des erreurs réseau liées aux CASB ou aux filtres réseau. Cette liste n'est pas exhaustive :

• L'interface utilisateur ne se charge pas ou n'affiche rien.
• Les utilisateurs sont redirigés vers une page d'assistance Google comportant des instructions pour vider le cache, et ce même une fois le cache vidé.
• L'application se charge, mais une fonctionnalité est désactivée. Par exemple, les utilisateurs ne parviennent pas à rédiger un e-mail, ou les options de l'éditeur Docs, Sheets ou Slides sont inactives.
• Des erreurs se produisent sur plusieurs produits Google Workspace sans lien entre eux (comme Gmail et Drive), bien qu'aucune indisponibilité ne soit signalée sur Google Workspace Status Dashboard.

Vérifiez si le CASB ou proxy modifie votre trafic réseau ou session de navigation

• Comparez les empreintes de certificat HTTPS avec les vrais certificats Google. Par exemple, à l'aide du Test de serveur SSL, comparez l'empreinte du certificat que vous voyez sur votre navigateur avec celle qui s'affiche pour le même nom d'hôte (comme docs.google.com). 
• Si les certificats sont différents, c'est que le CASB est en ligne/actif. Essayez de reproduire l'erreur en vous connectant directement à Google (sur un appareil distinct connecté via un réseau mobile, par exemple) et assurez-vous qu'aucun agent exécuté en local n'intercepte le trafic réseau.
• Si les certificats sont identiques, il n'y a probablement pas de CASB en ligne. Essayez de reproduire l'erreur dans Chrome en mode navigation privée, en vous assurant qu'aucune extension Chrome n'est autorisée dans ce mode. Cela permet d'exclure les problèmes liés aux agents exécutés localement et installés en tant qu'extensions Chrome.

Étapes suivantes

Si vous rencontrez des problèmes de réseau ou de CASB, et si vous confirmez que votre trafic réseau est modifié par un CASB ou proxy comme décrit dans les sections ci-dessus :

• Parlez-en à votre administrateur.
• Vérifiez que le problème se reproduit sur un appareil ou un compte différent (consultez la section Assurez-vous de pouvoir désactiver le CASB pour faire des tests ci-dessus). Google ne peut pas garantir le fonctionnement normal des connexions qui sont interrompues ou modifiées, ni des pages qui sont modifiées par une extension. Veuillez contacter votre fournisseur de CASB.
• Si vous pensez malgré tout que cette erreur est imputable à Google, réunissez les informations suivantes et envoyez-les à l'équipe d'assistance Google :
  • Informations obtenues avec les sections Identifiez les problèmes liés aux CASB ou filtres réseau et Vérifiez si le CASB ou proxy modifie votre trafic réseau ou session de navigation ci-dessus
  • Tout autre problème constaté ou erreur inattendue sur des sites Google et autres
  • Tout autre problème récurrent que vous avez remarqué, par exemple lié à des utilisateurs spécifiques, des groupes, des régions géographiques, des regroupements de topologie réseau ou des pages en particulier
  • Une capture HAR en mode navigation privée, toutes extensions désactivées, lorsque vous reproduisez l'erreur (consultez Comment obtenir une capture HAR)
  • Des captures d'écran ou des vidéos démontrant les erreurs rencontrées