> ## Documentation Index
> Fetch the complete documentation index at: https://docs.proofline.jp/llms.txt
> Use this file to discover all available pages before exploring further.

# Google Workspace をつなぐ

> Google の同意（OAuth）で Google Workspace をつなぐ手順と、読み取る内容

Google Workspace をつなぐと、Proofline はアカウント・管理者・組織の設定などを毎日読み、統制目標の状況を確かめ始めます。

> [!NOTE]
>
> Proofline は**読み取りだけ**を行います。お客様の Google Workspace の設定を変えることはありません。

## 始める前に

* つなぐのは、Proofline の**管理者**です。
* 同意には、Google Workspace の**特権管理者**のアカウントを使います。
* 同意の小窓が開きます。ブラウザのポップアップを許可しておいてください。

> [!WARNING]
>
> いまは Google の審査中のため、同意できるのは siracusa が登録したアカウントだけです。また、**7 日ごとに同意し直し**が要ります。同意に使うアカウントを、事前に siracusa の担当者にお知らせください。

## つなぐ手順

**1. データ連携を開く**

サイドバーの「**設定 → データ連携**」を開き、「**連携の一覧**」タブで「**Google Workspace**」の行を押します。
（「使っているツール」タブの「オフィスツール」で Google Workspace を選んでいれば、その行からも開けます）

**2. 「Google でつなぐ」を押す**

「接続」の欄にある「**Google でつなぐ**」を押します。Google の同意の小窓が開きます。

**3. 特権管理者のアカウントで同意する**

Google Workspace の特権管理者のアカウントを選び、Proofline が読み取りだけをすることに同意します。

**4. つながったことを確かめる**

「Google Workspace をつなぎました。「今すぐ取得」で読み始めます」と出ます。「接続」の欄に「Google の同意（OAuth）」と、同意したアカウントが出ます。

**5. 読み始める**

次の 3:00 の取得を待つか、画面の下の「**今すぐ取得**」を押すと、読み始めます。

> [!NOTE]
>
> 同意の画面に表示されるドメインは、Proofline の名前ではない場合があります。これは、同意のトークンを預ける先のドメインです。同意のトークンは Proofline の保存先には置かず、その預け先にだけ入ります。

### うまくいかないとき

| 出た文 | すること |
| - | - |
| Google の同意の画面が閉じられました。もう一度「Google でつなぐ」を押してください | 同意の途中で小窓を閉じました。もう一度押してください |
| ブラウザが Google の同意の小窓を止めました。この画面のポップアップを許可してから、もう一度押してください | ブラウザの設定で、Proofline の画面のポップアップを許可してください |

## 読み取る内容と理由

Google の同意の画面には、Proofline が求める権限の一覧が出ます。どれも、統制目標の判定に使う読み取りの権限です。

| 読むもの | 何を確かめるか |
| - | - |
| ユーザー（2 段階認証の登録・強制、管理者、最終ログイン） | 多要素認証の強制、使われていないアカウント |
| 管理者ロールの割り当て | 管理者の数と、管理者の専用アカウント |
| ドメイン・エイリアス | 送信ドメイン認証（SPF・DKIM・DMARC）を確かめるドメイン |
| 組織の設定（パスワード・2 段階認証の方式・共有・メールの保護など） | パスワードの水準、外部共有、メールの保護、Gemini の利用の制限 など |
| 組織部門 | 設定がどの組織部門に効いているか |
| 管理ログ（前日分） | ログの保存、社外への転送、設定の変更の記録 |
| 受信 SSO（外部の IdP）の割り当て | 外部の IdP の使い方 |
| ユーザーが許可した連携アプリ | メール・ドライブを読める、承認していない連携アプリ |
| Google に同期しているモバイル端末と持ち主 | 会社のデータを持つ端末 |

* 読み取った人の名前やメールは、画面に出すときにだけ使います。判定結果そのものには、Google のユーザー ID だけを残します。
* 組織の設定のうち、管理者が一度も変えていないものは、Google から値が返ってきません。Google の既定値では合格になるものは「不明」にします（取得できていないものを合格にしません）。

## 求める権限の一覧

Proofline が Google に求める権限（OAuth スコープ）は、次のとおりです。どれも**読み取り**のためのもので、設定を変える権限は求めません。

| 権限（スコープ） | 読むもの | 「Google でつなぐ」 | ドメイン全体の委任 |
| - | - | :-: | :-: |
| `admin.directory.user.readonly` | ユーザー（2 段階認証の登録・強制、管理者、最終ログイン） | ○ | ○ |
| `admin.directory.user.security` | ユーザーが許可した連携アプリ | ○ | ○ |
| `admin.directory.rolemanagement.readonly` | 管理者の役割の割り当て | ○ | ○ |
| `admin.directory.domain.readonly` | ドメイン | ○ | ○ |
| `admin.directory.orgunit.readonly` | 組織部門 | ○ | ○ |
| `admin.directory.device.mobile.readonly` | Google に同期しているモバイル端末と持ち主 | ○ | ○ |
| `admin.reports.audit.readonly` | 管理ログ（ログイン・管理操作・共有など） | ○ | ○ |
| `cloud-identity.policies.readonly` | 組織の設定（パスワード・2 段階認証・共有・メールの保護など） | ○ | ○ |
| `cloud-identity.inboundsso.readonly` | 外部の ID 基盤（SSO）の割り当て | ○ | ○ |
| `apps.alerts` | アラートセンターの通知 | — | ○ |

* スコープの頭には `https://www.googleapis.com/auth/` が付きます。
* 「Google でつなぐ」では、ほかに、同意した人を知るための `openid` と `email` も求めます。
* `apps.alerts` は、Google が読み取りだけの範囲を用意していないため、この名前の範囲を求めます。Proofline は通知を読むだけで、消したり変えたりはしません。
* メールの本文やファイルの中身を読む権限は求めません。

## アラートセンターも読む（任意）

Google の**アラートセンター**（Google が出すセキュリティの通知）は、「Google でつなぐ」方法では読めません（Google が許していないため）。読むときは、**ドメイン全体の委任**も足します。ほかの読み取りは、今までどおり「Google でつなぐ」で行います。アラートセンターを読むと、通知ごとに[通知の判断](https://docs.proofline.jp/operations/alerts.md)（スタンダード以上）が作られます。足さないと、アラートセンターを使う判定項目は「まだ確かめていない」になります。

**1. クライアント ID と範囲をコピーする**

データ連携の Google Workspace の画面の「**アラートセンターも読む（任意）**」に、クライアント ID と OAuth スコープが出ます。それぞれコピーします。

**2. 管理コンソールで許可する**

特権管理者で Google の管理コンソールに入り、「セキュリティ」→「アクセスとデータ管理」→「API の制御」→「**ドメイン全体の委任を管理**」→「新しく追加」で、コピーしたクライアント ID と OAuth スコープを貼って「承認」を押します。

**3. なりかわる特権管理者を入れる**

Proofline の画面に戻り、「なりかわる特権管理者のメールアドレス」に特権管理者のメールアドレスを入れて「**保存する**」を押します。次の取得（毎日 3:00 か「今すぐ取得」）から読みます。

* 管理コンソールでの許可が反映されるまで、最大 24 時間かかることがあります。それまでは取得が「一部取得不可」になります。
* 入れた人が特権管理者でなくなる・辞めると、読めなくなります。そのときは別の特権管理者に入れ替えてください。
* アラートセンターには読み取りだけの範囲がありませんが、Proofline は読むだけで、通知を消したり変えたりはしません。
* やめるときは「**委任を外す**」を押し、管理コンソールのドメイン全体の委任からも消してください。

「Google でつなぐ」を使わず、ドメイン全体の委任だけでつなぐこともできます。そのときは、画面に出る 10 個の範囲をまとめて許可します（「Google でつなぐ」の 7 日ごとの同意し直しがありません）。

## つなぎ直す

次のときは、データ連携の Google Workspace の画面で「**Google でつなぎ直す**」を押し、もう一度同意します。

* 同意してから 7 日たった（Google の審査中のあいだ）
* 同意した人が管理者でなくなった・会社を辞めた（**別の管理者**でつなぎ直してください）
* 取得の記録に「Google の同意に、この取得の範囲が入っていない」と出た（Proofline が読む範囲を足したあとに出ます）
* 「Google Workspace の同意（OAuth）が見つからないか、切れています」と出た

## 外す

「**同意を外す**」を押すと、Google の同意を外します。外すと、次の取得から Google Workspace を読まなくなり、関係する判定項目は「不明」になります。

## 取得の状態を見る

データ連携の Google Workspace の画面には、上から次のものが出ます。

* **接続**: つなぎ方（Google の同意・ドメイン全体の委任）と、同意したアカウント。その下に「アラートセンターも読む（任意）」
* **取得の記録**: 直近 3 日の取得の日時・取得したもの（ユーザー・管理者・ドメイン、組織の設定、管理ログ など）・結果（成功・一部失敗・失敗）・件数
* **この連携で確かめる判定項目**: この連携で確かめる判定項目と、それを使う統制目標

一部の取得だけが失敗したときは、その取得に関係する判定項目だけが「不明」になります。ほかの取得は止まりません。

ホームの「連携の状態」にも、連携ごとの状態（正常・一部取得不可・取得失敗・未接続 など）と最後に取れた日時が出ます。失敗した連携や、最後の取得から 30 時間を超えた連携があると、ホームの上に「取得が止まっている連携があります」と出ます。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.