Intégration de Google Workspace

Intégrez Identity Security Posture Management (ISPM) à votre Google Workspace.

  1. Créer un projet
  2. Créez un compte de service
  3. Ajouter des rôles au compte de service
  4. Créer des clés pour le compte de service
  5. Activer l'accès à l'API
  6. Configurer une délégation pour l'ensemble du domaine pour le compte de service
  7. Ajouter des IP ISPM à votre plage d'IP de confiance
  8. Partager les paramètres

Avant de commencer

Assurez-vous d'avoir le privilège de super administrateur Google Workspace.

Créer un projet

  1. Connectez-vous à Google Cloud Console en tant que super administrateur et cliquez pour ouvrir le Menu de navigation.

  2. Accédez à IAM et administrateur > Gérer les ressources.

    Go to Navigation menu > IAM & Admin >Manage Resources

  3. Cliquez + Créer un projet.

  4. Saisissez les informations requises pour le Nom du projet, l'organisationet l'emplacement.

  5. Cliquez sur Créer.

Créer un compte de service

  1. Ouvrez le Menu de navigation et accédez à IAM et administrateur > Comptes de service.

  2. Dans la liste des projets en haut de la page, sélectionnez le projet que vous avez créé précédemment.

    Your project

  3. Cliquez Créer un compte de service.

  4. Dans la section Détails du compte de service, saisissez les éléments suivants :

    1. Nom du compte de service : saisissez un nom. Copiez et conservez une copie du nom du compte. Vous en aurez besoin par la suite.

    2. ID du compte de service : vous pouvez conserver l'ID du compte de service généré automatiquement ou le modifier.

    3. Description du compte de service : saisissez une brève description du compte.

  5. Cliquez sur Créer et continuer.

  6. Dans la section Accorder à ce compte de service l'accès au projet, cliquez sur Continuer. N'ajoutez aucun rôle.

  7. Facultatif. Dans la section Accorder aux utilisateurs accès à ce compte de service (facultatif), ajoutez les utilisateurs qui possèdent ce compte de service ou qui peuvent y accéder.

  8. Cliquez sur Terminé.

Ajouter des rôles au compte de service

  1. Ajouter le rôle Observateur de l'utilisation du service :

    1. Sélectionnez le projet que vous avez créé.

    2. Ouvrez le Menu de navigation et accédez à IAM et administrateur > IAM.

    3. Cliquez sur GRANT ACCESS.

    4. Sous Nouveaux principaux, saisissez l'adresse du compte de service que vous avez créé.

    5. Sous Sélectionner un rôle, recherchez et choisissez Observateur d'utilisation de service. Si vous ne trouvez pas ce rôle, assurez-vous que le projet que vous avez sélectionné lors de l'étape précédente est le bon.

    6. Cliquez sur Enregistrer.

  2. Ajouter le rôle Observateur de rôles d'organisation :

    1. Sélectionnez votre organisation principale.

    2. Ouvrez le Menu de navigation et accédez à IAM et administrateur > IAM.

    3. Cliquez sur GRANT ACCESS.

    4. Sous Nouveaux principaux, saisissez l'adresse du compte de service que vous avez créé.

    5. Sous Sélectionner un rôle, recherchez et choisissez Observateur de rôles d'organisation et Observateur de l'organisation. Si vous ne trouvez pas ce rôle, assurez-vous que le projet que vous avez sélectionné lors de l'étape précédente est le projet de votre organisation principale.

    6. Cliquez sur Enregistrer.

Créer des clés pour le compte de service

  1. Ouvrez le Menu de navigation et accédez à IAM et administrateur > Comptes de service.
  2. Pour votre nouveau compte de service, ouvrez le menu situé dans la colonne Actions.
  3. Sélectionnez Gérer les clés.
  4. Sur la page Clés, cliquez sur Ajouter une clé.
  5. Sélectionnez Créer une nouvelle clé.
  6. Sélectionnez JSON comme type de clé.
  7. Cliquez sur Créer. Cela télécharge un fichier JSON sur votre ordinateur. Ce fichier JSON contient les identifiants qui permettent au compte de service d'accéder à Google Workspace. Conservez ce fichier pour plus tard.
  8. Cliquez sur Fermer.

Activer l'accès à l'API

  1. Ouvrez le Menu de navigation et accédez à API et services > API et services activés.
  2. SUr la page Services et API activés, activez SDK API Administrateur, Service Usage API, Cloud Identity API et Cloud Resource Manager API en suivant les étapes suivantes (si elles ne sont pas déjà activées) :

    1. Cliquez sur Activer des API et des services.

    2. Recherchez et sélectionnez une API à l'aide de la barre de recherche. Pour l'API Cloud Identity, recherchez Cloud Identity.

    3. Sélectionnez la vignette correspondant à l'API.

    4. Sélectionnez l'API spécifique.

    5. Cliquez sur Activer.

Configurer une délégation pour l'ensemble du domaine pour le compte de service

  1. Connectez vous à la Google Workspace Admin Console et ouvrez le Menu de navigation.
  2. Accédez à Sécurité > Contrôle des accès et des données > Contrôle des API.
  3. Sous la section Délégation à l'échelle du domaine, cliquez sur GÉRER LA DÉLÉGATION À L'ÉCHELLE DU DOMAINE.
  4. Cliquez sur Ajouter nouveau.
  5. Dans le champ ID client, saisissez la valeur client_id. Vous trouverez cette valeur dans le fichier d'identifiants JSON que vous avez enregistré lors de la création du compte de service.

  6. Dans le champ Permissions OAuth, saisissez les permissions suivantes en tant que valeurs séparées par des virgules.

    https://www.googleapis.com/auth/admin.reports.audit.readonly,https://www.googleapis.com/auth/admin.reports.usage.readonly,https://www.googleapis.com/auth/admin.directory.user.readonly,https://www.googleapis.com/auth/admin.directory.domain.readonly,https://www.googleapis.com/auth/admin.directory.group.readonly,https://www.googleapis.com/auth/admin.directory.device.mobile.readonly,https://www.googleapis.com/auth/admin.directory.user.security,https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly,https://www.googleapis.com/auth/admin.directory.orgunit.readonly,https://www.googleapis.com/auth/admin.directory.customer.readonly,https://www.googleapis.com/auth/cloud-platform.read-only,https://www.googleapis.com/auth/cloud-identity.inboundsso.readonly,https://www.googleapis.com/auth/cloud-identity.policies.readonly
  7. Cliquez sur Autoriser.

Ajouter des IP ISPM à votre plage d'IP de confiance

Facultatif. Si votre org applique des restrictions d'IP pour Google Workspace, vous devez disposer des adresses IP ISPM suivantes dans votre plage d'IP de confiance pour que l'intégration réussisse.

  • 18.98.16.160/27

  • 3.44.64.96/27

  • 3.40.0.96/27

  • 13.52.68.184

  • 54.193.209.206

  • 13.57.96.208

  • 184.72.14.192

  • 13.57.65.107

  • 13.57.96.250

  • 18.99.81.192/27

  • 18.97.155.0/27

Partager les paramètres avec ISPM

  1. Dans la console Identity Security Posture Management, accédez à Paramètres > Galerie des intégrations.

  2. Sélectionnez Google Workspace.
  3. Saisissez les paramètres suivantes :
    • Nom de la source : saisissez un nom pour ce connecteur.
    • Adresse e-mail du super administrateur : adresse e-mail de tout utilisateur qui dispose du privilège de super administrateur pour Google Workspace au sein de l'org.
    • JSON contenant les informations d'identification : chargez le fichier que vous avez créé dans la section Créer un compte de service .
  4. Cliquez sur Soumettre.