Konsola administracyjna Google: kto włącza konta

Konsola administracyjna Google Workspace, pod adresem admin.google.com, jest miejscem, w którym firma zakłada konta, resetuje hasło, wyłącza człowieka i ustawia, czy wolno udostępniać pliki na zewnątrz. To nie jest skrzynka „admin@”, do której ludzie piszą, że nie działa poczta. To panel. Kto ma do niego wejście, ten może czytać pocztę innych, zdejmować drugi składnik i wynosić dane. Dlatego wejść ma być mało.

Superadministrator może wszystko w tenancie. W firmie dwudziestoosobowej często jest nim każda osoba, która „ogarnia komputery”, plus właściciel, plus księgowa, która kiedyś zakładała pierwsze konto. Trzy konta z pełnią praw to trzy miejsca, w których wystarczy jedno hasło. Zostawiamy dwie osoby i zapasowe kody odłożone tak, żeby nie leżały w tej samej szufladzie co hasło. Reszta dostaje węższe role: reset hasła albo zarządzanie grupą, bez prawa do czytania cudzej poczty.

Wyłączenie konta w konsoli odcina logowanie. Nie cofa linku do pliku, który ta osoba wysłała rano. Tę listę i tak trzeba przejść, tak samo jak przy Microsoft 365. Konsola pokazuje użytkownika i urządzenia. Nie zastępuje spisu, kto jest właścicielem dysku współdzielonego. To są dwa ekrany i ludzie mylą je w jeden „wyłączyłem, więc po sprawie”.

Drugi składnik na koncie administratora nie jest opcją. Hasło do konsoli, która widzi całą pocztę, da się wykraść razem z hasłem do zwykłej skrzynki, jeśli człowiek używa tego samego wszędzie. Klucz sprzętowy albo aplikacja zatwierdzająca odcina sam wyciek hasła. Jak to układać na YubiKey, jest na osobnej stronie. Tu zostaje wymóg: konto superadministratora bez drugiego składnika nie idzie na produkcję.

Częsty błąd to jedno współdzielone konto administratora, z hasłem w zeszycie. Potem nie wiadomo, kto zdjął komuś dostęp. Drugi błąd to zostawienie w konsoli kont byłych pracowników „na wszelki wypadek”, z aktywną licencją. Trzeci błąd to szukanie ustawień udostępniania na Dysku użytkownika zamiast w regule organizacji. Reguła w konsoli wygrywa z przyzwyczajeniem działu.

Codzienna praca w tej konsoli, licencje i porządek przy starcie są opisane na stronie Google Workspace. Zdjęcie dostępu w dniu odejścia, łącznie z tym, czego sam przycisk nie rusza, jest przy offboardingu i uprawnieniach. Słownik mówi tylko, gdzie klikać nie wystarczy: konsola jest sterem kont, a nie dziennikiem tego, co ludzie zdążyli udostępnić. Raz na pół roku eksportujemy listę superadministratorów i czytamy ją z właścicielem firmy, nie tylko z informatykiem. Na liście mają zostać ludzie, którzy nadal tu pracują i wiedzą, że to konto mają. Były współpracownik z pełnią praw jest dziurą, której nie widać w codziennej poczcie, dopóki ktoś z tego konta nie wejdzie.