Synchroniser Google Workspace

La synchronisation Google Workspace de Portail ZAPP lit l'annuaire de votre domaine Google Workspace et remplit le manager hiérarchique des comptes, comme le font les synchronisations Microsoft 365 et Active Directory. Elle va dans un seul sens : de Google Workspace vers Portail ZAPP. Elle ne modifie jamais Google Workspace.

L'écran est réservé aux administrateurs. On y accède par Administration › Connecteurs et automatisation › Sync Google Workspace (/google-directory-sync).

Préparer Google Workspace

La lecture passe par l'API Admin SDK Directory, avec un compte de service autorisé à agir au nom d'un administrateur du domaine :

1. Dans la console Google Cloud, créez un compte de service et téléchargez sa clé JSON. Activez l'API Admin SDK sur le projet.
2. Dans la console d'administration Google Workspace (Sécurité › Contrôle des accès et des données › Commandes des API › Délégation au niveau du domaine), ajoutez l'ID client du compte de service avec la portée https://www.googleapis.com/auth/admin.directory.user.readonly. Cette portée permet seulement de lire les utilisateurs.
3. Choisissez un administrateur du domaine qui peut lire les utilisateurs : l'API Google exige d'agir en son nom.
4. Dans Portail ZAPP, rangez la clé JSON complète dans un secret du Coffre.

Configurer la synchronisation

• Clé du compte de service (Coffre) : le secret qui contient la clé JSON. Portail ZAPP n'affiche jamais la clé, seulement le nom du secret.
• Administrateur emprunté : l'adresse de l'administrateur choisi.
• Client Google Workspace : laissez my_customer pour le domaine de l'administrateur ; sinon, saisissez l'identifiant du client (il commence par C0).
• Remplir le manager hiérarchique des comptes : désactivé par défaut. Tant qu'il l'est, la synchronisation ne lit rien.

Tester la connexion essaie les réglages enregistrés : obtention d'un jeton au nom de l'administrateur, puis lecture d'un compte. En cas d'échec, le message dit quoi vérifier : clé illisible, délégation au domaine ou portée absente, administrateur sans droit de lecture, Google injoignable.

Ce que fait une synchronisation

1. Tous les utilisateurs du client Google sont lus, page après page. Si la lecture échoue en cours de route, rien n'est modifié.
2. Chaque utilisateur Google est rapproché d'un compte de Portail ZAPP par son adresse principale : identifiant de connexion d'abord, puis adresse de messagerie si un seul compte la porte. Une adresse portée par plusieurs comptes est laissée de côté (compteur Adresses ambiguës).
3. Le manager indiqué dans Google (relation Manager de la fiche utilisateur) est retrouvé par n'importe laquelle de ses adresses, principale ou alias.

Les règles sont les mêmes que pour Microsoft 365 et Active Directory :

• un lien verrouillé (saisi à la main, par défaut) n'est jamais modifié ;
• un manager que Portail ZAPP ne connaît pas ne change rien ;
• un utilisateur sans manager dans Google voit son lien clos seulement si ce lien venait d'une synchronisation ;
• un nouveau manager clôt le lien en cours et en ouvre un autre : l'historique est gardé dans la page Managers et historique du compte, avec l'origine « Google Workspace ».

La synchronisation ne crée, ne modifie et ne désactive aucun compte : elle ne touche qu'aux managers.

Lancer et planifier

Synchroniser maintenant lance un passage tout de suite. La tâche planifiée « GoogleDirectorySync » du Planificateur passe aussi chaque nuit à 2 h 45 ; elle ne fait rien tant que le remplissage des managers est désactivé.

Le bloc Dernier passage affiche la date et le bilan : comptes Google lus et reconnus, managers mis à jour, inchangés, liens verrouillés laissés tels quels, managers inconnus, boucles évitées et adresses ambiguës. En cas d'échec, il affiche la raison.