Controllare l'accesso all'API con la delega a livello di dominio

La delega a livello di dominio è una potente funzionalità che ti consente di concedere alle applicazioni client l'autorizzazione ad accedere ai dati degli utenti di Workspace senza richiedere il loro consenso.Puoi utilizzare la delega a livello di dominio in due modi:

1. Autorizza un account di servizio ad accedere ai dati per conto di un utente. Un account di servizio potrebbe utilizzare i seguenti tipi di app:

   • Strumenti di migrazione e sincronizzazione che duplicano i contenuti degli utenti da un altro servizio a Google Workspace.

   • App interne, ad esempio app per l'automazione, create dagli sviluppatori per l'organizzazione. Ad esempio, puoi delegare l'accesso a un'applicazione che utilizza l'API Calendar per aggiungere eventi ai calendari degli utenti.

2. Consenti agli utenti di utilizzare le app client OAuth senza visualizzare una schermata per il consenso. Gli utenti possono accedere alle applicazioni senza che venga richiesto il loro consenso. Inoltre, puoi specificare i dati utente a cui possono accedere le applicazioni.

Puoi anche gestire l'installazione a livello di dominio e visualizzare gli ambiti API per le app di Google Workspace Marketplace. Scopri di più sull'accesso ai dati e sull'installazione delle app del Marketplace.

Apri tutto   |   Chiudi tutto

Prima di iniziare

• Assicurati di disporre dei privilegi di super amministratore per il tuo account Google Workspace.
• Consulta le best practice per la delega a livello di dominio e le best practice per l'utilizzo degli account di servizio.
• Verifica l'elenco degli ambiti API necessari per l'account dell'app o del servizio. Verifica che l'ambito di accesso dell'app o del servizio sia relativamente ridotto.
• Se deleghi un'app OAuth, ottieni l'ID client OAuth dallo sviluppatore dell'app.
• (Se si delega un account di servizio) Recupera l'ID client dell'account di servizio. Se sei il proprietario dell'account di servizio, puoi trovare l'ID nel seguente modo:
  1. Accedi a Google Cloud come super amministratore.
  2. Fai clic su IAM e amministratoreAccount di servizio[nome dell'account di servizio].
  3. Espandi Impostazioni avanzate e copia l'ID client.
• Con la delega a livello di dominio, l'app ha accesso ai dati appartenenti a tutti i tuoi utenti. Ti consigliamo di impostare una revisione regolare degli account di servizio e di eliminare gli account non più in uso.

Configurare la delega a livello di dominio per un client

1. Accedi alla Console di amministrazione Google.

   Accedi utilizzando un account con privilegi di super amministratore (non termina con @gmail.com).

2. Nella Console di amministrazione, vai a Menu  SicurezzaAccesso e controllo dei datiControlli APIGestisci delega a livello di dominio.
   Per questa attività, devi aver eseguito l'accesso come super amministratore.
3. Fai clic su Aggiungi nuovo.

4. Inserisci l'ID client per l'account di servizio o per il client OAuth2. 

5. In Ambiti OAuth, aggiungi ogni ambito a cui può accedere l'app (deve essere opportunamente limitato). Puoi utilizzare uno degli ambiti OAuth 2.0 per le API di Google. Ad esempio, se l'applicazione richiede l'accesso a livello di dominio all'API di Google Drive e all'API di Google Calendar, inserisci https://www.googleapis.com/auth/drive e https://www.googleapis.com/auth/calendar.
6. Fai clic su Autorizza. Se ricevi un messaggio di errore, è possibile che l'ID client non sia registrato in Google o che esistano ambiti duplicati o non supportati.
7. Seleziona il nuovo ID client e fai clic su Visualizza dettagli, quindi assicurati che nell'elenco siano riportati tutti gli ambiti.

   Se manca un ambito, fai clic su Modifica, inserisci l'ambito mancante e fai clic su Autorizza. Non puoi modificare l'ID client.

Le modifiche possono richiedere fino a 24 ore, ma in genere sono più rapide. Scopri di più

Visualizzare, modificare o eliminare client e ambiti

Come best practice, controlla periodicamente gli ambiti della tua app e rimuovi quelli non necessari o che non vengono utilizzati attivamente. Elimina anche i client che non ti servono più. Ad esempio, rimuovi l'accesso a uno strumento di migrazione dopo aver completato l'operazione.

1. Accedi alla Console di amministrazione Google.

   Accedi utilizzando un account con privilegi di super amministratore (non termina con @gmail.com).

2. Nella Console di amministrazione, vai a Menu  SicurezzaAccesso e controllo dei datiControlli APIGestisci delega a livello di dominio.
   Per questa attività, devi aver eseguito l'accesso come super amministratore.
3. Fai clic sul nome di un client e scegli un'opzione:

• Visualizza dettagli: visualizza il nome completo del client e l'elenco degli ambiti.

• Modifica: aggiungi o rimuovi gli ambiti. Non puoi modificare l'ID client. Le modifiche possono richiedere fino a 24 ore, ma in genere sono più rapide. Scopri di più

• Elimina: le applicazioni che dipendono dall'autorizzazione del client smetteranno di funzionare immediatamente.