Google Workspace verbinden (Domain-Wide-Delegation)

Nutzen Sie Google Workspace statt Microsoft 365? Dann autorisieren Sie kjello einmalig in Ihrer Google-Admin-Konsole — als Super-Administrator, in wenigen Minuten. Damit ist die Verbindung vorbereitet; welche Schritte kjello danach für Sie übernimmt, besprechen wir bei der Einrichtung mit Ihnen.

Least-privilege

kjello bekommt nur die Rechte, die oben stehen — zum Verwalten von Konten, Gruppen, Lizenzen und Gmail-Einstellungen und, nur lesend, für das Anmelde- und Admin-Protokoll, Googles Sicherheitswarnungen und die Sicherheitseinstellungen: Damit bemerken wir verdächtige Anmeldungen, neue Adminrechte, Weiterleitungen an fremde Adressen und ausgeschalteten Schutz. kjello liest keine Mail-Inhalte und keine Dateien. Sie erteilen die Freigabe selbst und können sie jederzeit wieder entziehen.

Voraussetzung

• Sie sind Super-Administrator Ihrer Google Workspace (eigene Domain, z. B. ihrefirma.de). (Ein privates @gmail.com-Konto ist keine Workspace und kann das nicht.)

So autorisieren Sie kjello (Domain-Wide-Delegation)

1. Öffnen Sie admin.google.com und melden sich als Super-Admin an.

2. Menü → Sicherheit → Zugriffs- und Datenkontrolle → API-Steuerung.

3. Ganz unten bei „Domainweite Delegierung” auf „Domainweite Delegierung verwalten” klicken → „Neue hinzufügen”.

4. Client-ID eintragen (das ist die kjello-Service-Account-ID, für alle Kunden gleich):

   110223205371940724258

5. OAuth-Bereiche eintragen (kommagetrennt):

   https://www.googleapis.com/auth/admin.directory.user,https://www.googleapis.com/auth/admin.directory.group.member,https://www.googleapis.com/auth/admin.directory.group.readonly,https://www.googleapis.com/auth/apps.licensing,https://www.googleapis.com/auth/admin.directory.user.security,https://www.googleapis.com/auth/admin.datatransfer,https://www.googleapis.com/auth/gmail.settings.basic,https://www.googleapis.com/auth/gmail.settings.sharing,https://www.googleapis.com/auth/admin.reports.audit.readonly,https://www.googleapis.com/auth/apps.alerts,https://www.googleapis.com/auth/cloud-identity.policies.readonly

6. Autorisieren klicken. Fertig.

Danach in kjello

Nennen Sie uns die E-Mail eines Admin-Kontos Ihrer Domain (z. B. admin@ihrefirma.de). Wir prüfen die Verbindung und sagen Ihnen Bescheid, sobald sie steht.

Woran Sie sehen, dass es geklappt hat

• Wir bestätigen Ihnen, dass die Verbindung steht.

Lizenzen

Ihre Google-Workspace-Lizenzen beziehen Sie weiter über Ihren Google-Vertrag. Unter Programme → Google Workspace sehen Sie, wie viele je Edition vergeben sind.

Sicherheits-Check

Jede Nacht sehen wir nach, wie Ihr Google Workspace geschützt ist, und zeigen es unter Einstellungen → Sicherheit: ob alle Zugänge mit allen Rechten die zweite Bestätigung eingerichtet haben, wie viele es davon gibt, ob Gmail Links und Anhänge streng prüft und ob ein Postfach an eine fremde Adresse weiterleitet. Wir verändern dabei nichts. Was Google nicht zum Auslesen herausgibt, steht dort grau mit dem Grund.

Häufige Fragen

• „Wo finde ich die Client-ID sonst?” Sie ist oben fest vorgegeben — Sie müssen nichts nachschlagen, einfach eintragen.
• „Wir haben mehrere Domains.” Die Freigabe gilt pro Workspace-Konto; führen Sie die Schritte einmal in Ihrer primären Domain aus.
• „Was wird aus der Freigabe, wenn wir kündigen?” Zum Vertragsende trennen wir die Verbindung, danach greift kjello nicht mehr auf Ihr Google Workspace zu. Den Eintrag in der Admin-Konsole löschen Sie selbst — unter Sicherheit → Zugriffs- und Datenkontrolle → API-Steuerung → „Domainweite Delegierung verwalten” beim Eintrag mit der Client-ID von oben. Bitte erst nach dem letzten Vertragstag, bis dahin brauchen wir ihn.
• Es klemmt? Support holen — wir begleiten den Schritt.