Acciones del administrador

Los administradores de dominios tienen varios controles para administrar las funciones y las aplicaciones a las que pueden acceder los usuarios de su dominio. En esta página, se describen estas funciones, cómo podrían afectar o ser útiles para una integración externa y las solicitudes de API pertinentes.

Administra el acceso a apps de terceros para usuarios menores de 18 años

Los administradores deben configurar aplicaciones de terceros en la Consola del administrador de Google para los usuarios menores de 18 años. Si un administrador no configuró una aplicación, los usuarios menores de 18 años no podrán acceder a ella con su cuenta de institución educativa de Google Workspace for Education.

Los desarrolladores que crean aplicaciones para usuarios de Google Workspace for Education menores de 18 años no deben realizar ninguna acción. La configuración de apps de terceros solo la pueden realizar los administradores en la IU de la Consola del administrador y no se puede realizar de forma programática.

Designa roles de administrador personalizados para las funciones de Classroom

Los administradores pueden crear roles de administrador personalizados en la Consola del administrador para permitir que ciertas personas o grupos con Google Workspace for Education Standard o Plus hagan lo siguiente:

• Ver las estadísticas de Classroom para comprender datos como la finalización de tareas, las tendencias de calificaciones y la adopción de Classroom.

• Acceder temporalmente a las clases en Classroom sin asignar un profesor adjunto permanente.

En esta guía, se explica cómo configurar estas funciones en tu dominio con las APIs de Google.

Automatiza el proceso de asignación de roles personalizados

En esta guía, se te informará cómo completar los siguientes pasos para automatizar el proceso de asignación de roles personalizados:

1. Crea grupos de seguridad para organizar a los usuarios que pueden acceder a estas funciones.
2. Agrega miembros a los grupos.
3. Crea un rol de administrador personalizado seleccionando el privilegio correcto.
4. Recupera los IDs de las unidades organizativas.
5. Aplica el rol de administrador personalizado a los grupos recién creados.

Requisitos previos

1. Lee las guías de inicio rápido para comprender cómo configurar y ejecutar una aplicación con las APIs de Google en lenguajes como JavaScript, Python y Java.
2. Antes de usar cualquiera de las APIs de Cloud Identity que se describen en esta guía, debes configurar Cloud Identity. Estas APIs se usan para crear grupos y asignar privilegios de administrador.
3. Lee la Descripción general de la API de Groups y configura la API de Groups si quieres proporcionar acceso a roles personalizados a un grupo de usuarios en lugar de a un usuario individual.

Crea grupos de seguridad

Crea un grupo de seguridad con el groups.create método. Un grupo se puede establecer como un grupo de seguridad cuando la etiqueta de seguridad se incluye en el campo labels de la solicitud. Para obtener más información y conocer las limitaciones sobre la creación de grupos de seguridad, consulta la guía para crear grupos de seguridad.

POST https://cloudidentity.googleapis.com/v1/groups

De manera opcional, puedes incluir el InitialGroupConfig parámetro de consulta para inicializar el propietario del grupo:

POST https://cloudidentity.googleapis.com/v1/groups&initialGroupConfig={initialGroupConfig}

La cuenta que realiza esta solicitud requiere uno de los siguientes alcances:

• https://www.googleapis.com/auth/cloud-identity.groups
• https://www.googleapis.com/auth/cloud-identity
• https://www.googleapis.com/auth/cloud-platform

Cuerpo de la solicitud

El cuerpo de la solicitud contiene detalles del grupo que se creará. El customerId debe comenzar con "C" (por ejemplo, C046psxkn). Busca tu ID de cliente.

{
   parent: "customers/<customer-id>",
   description: "This is the leadership group of school A.",
   displayName: "Leadership School A",
   groupKey: {
      id: "leadership_school_a@example.com"
   },
   labels: {
      "cloudidentity.googleapis.com/groups.security": "",
      "cloudidentity.googleapis.com/groups.discussion_forum": ""
   }
}

Respuesta

La respuesta contiene una instancia nueva del Operation recurso.

{
   done: true,
   response: {
      @type: "type.googleapis.com/google.apps.cloudidentity.groups.v1.Group",
      name: "groups/<group-id>", // unique group ID
      groupKey: {
         id: "leadership_school_a@example.com" // group email address
      },
      parent: "customers/<customer-id>",
      displayName: "Leadership School A",
      description: "This is the leadership group of school A.",
      createTime: "<created time>",
      updateTime: "<updated time>",
      labels: {
         "cloudidentity.googleapis.com/groups.security": "",
         "cloudidentity.googleapis.com/groups.discussion_forum": ""
      }
   }
}

Agregar miembros al grupo

Una vez que hayas creado el grupo, el siguiente paso es agregar miembros. Un miembro del grupo puede ser un usuario o un grupo de seguridad diferente. Si agregas un grupo como miembro de otro grupo, es posible que haya una demora de hasta 10 minutos para que se propague la membresía. Además, la API muestra un error para los ciclos en las membresías de grupos. Por ejemplo, si group1 es miembro de group2, group2 no puede ser miembro de group1.

Para agregar un miembro a un grupo, usa la siguiente solicitud POST al método members.insert de la API de Directory:

POST https://admin.googleapis.com/admin/directory/v1/groups/{groupKey}/members

El parámetro de ruta de acceso groupKey es la dirección de correo electrónico del grupo del nuevo miembro o el ID único del grupo.

La cuenta que realiza la solicitud POST requiere uno de los siguientes alcances:

• https://apps-apis.google.com/a/feeds/groups/
• https://www.googleapis.com/auth/admin.directory.group
• https://www.googleapis.com/auth/admin.directory.group.member

Cuerpo de la solicitud

El cuerpo de la solicitud contiene detalles del member que se creará.

{
   email: "person_one@example.com",
   role: "MEMBER", // can be `MEMBER`, `OWNER`, `MANAGER`
}

Respuesta

La respuesta contiene la nueva instancia del miembro.

{
   kind: "admin#directory#member",
   etag: "<etag-value>", // role's unique ETag
   id: "4567", // group member's unique ID
   email: "person_one@example.com",
   role: "MEMBER",
   type: "GROUP",
   status: "ACTIVE"
}

Esta solicitud debe realizarse para cada usuario que quieras agregar como miembro. Puedes agrupar estas solicitudes para reducir la cantidad de conexiones HTTP que debe hacer el cliente.

Crea un rol de administrador personalizado con privilegios

La API de Directory te permite usar el control de acceso basado en roles (RBAC) para administrar el acceso a las funciones de tu dominio de Google Workspace. Puedes crear roles personalizados con privilegios para limitar el acceso de administrador de forma más específica que los roles precompilados que se proporcionan con Google Workspace. Puedes asignar roles a usuarios o grupos de seguridad. Para obtener información más detallada sobre las limitaciones de la creación de roles, consulta las limitaciones de los roles personalizados y la asignación de roles.

Para crear un rol nuevo, usa la siguiente solicitud POST al método roles.insert de la API de Directory:

POST https://admin.googleapis.com/admin/directory/v1/customer/{customer}/roles

El customerId es el mismo que se usó en el paso 1 de esta guía.

La cuenta que realiza la solicitud POST requiere el siguiente permiso:

• https://www.googleapis.com/auth/admin.directory.rolemanagement

Cuerpo de la solicitud

El cuerpo de la solicitud contiene detalles del role que se creará. Agrega un privilegeName y un serviceId para cada privilegio que se debe otorgar con este rol.

{
  roleName: "Education Admin", // customize as needed
  roleDescription: "Access to view analytics data", // customize as needed
  rolePrivileges: [
     {
        privilegeName: "EDU_ANALYTICS_DATA_ACCESS",
        serviceId: "019c6y1840fzfkt"
     }
  ]
}

{
  roleName: "Education Admin", // customize as needed
  roleDescription: "Access to manage classes privilege", // customize as needed
  rolePrivileges: [
     {
        privilegeName: "ADMIN_OVERSIGHT_MANAGE_CLASSES",
        serviceId: "019c6y1840fzfkt"
     }
  ]
}

Llama al método privileges.list para recuperar una lista de privilegeIds y serviceIds.

Respuesta

La respuesta contiene la nueva instancia del rol.

{
  kind: "admin#directory#role",
  etag: "<etag-value>",  // role's unique ETag
  roleId: "<role-id>",   // role's unique ID
  roleName: "Education Admin",
  roleDescription: "Access to view analytics data",
  rolePrivileges: [
     {
        privilegeName: "EDU_ANALYTICS_DATA_ACCESS",
        serviceId: "019c6y1840fzfkt"
     }
  ],
  isSystemRole: false,
  isSuperAdminRole: false
}

{
  kind: "admin#directory#role",
  etag: "<etag-value>",  // role's unique ETag
  roleId: "<role-id>",   // role's unique ID
  roleName: "Education Admin",
  roleDescription: "Access to manage classes privilege",
  rolePrivileges: [
     {
        privilegeName: "ADMIN_OVERSIGHT_MANAGE_CLASSES",
        serviceId: "019c6y1840fzfkt"
     }
  ],
  isSystemRole: false,
  isSuperAdminRole: false
}

Recupera los IDs de las unidades organizativas

Puedes limitar el acceso del rol de administrador personalizado a una o más unidades organizativas con el ID de la unidad organizativa. Usa la API de OrgUnit para recuperar el orgUnitId.

Asigna el rol de administrador personalizado

Para asignar el rol de administrador personalizado a un grupo, usa la siguiente solicitud POST. Consulta la guía de limitaciones de los roles personalizados y la asignación de roles para conocer los límites de asignación de roles.

`roleAssignments.insert` de la API de Directory:

POST https://admin.googleapis.com/admin/directory/v1/customer/{customer}/roleassignments

Asigna a un grupo o a un usuario individual

Si asignas el privilegio a un grupo, incluye el groupId en el campo assignedTo del cuerpo de la solicitud. El groupId se obtuvo en el paso Crea grupos de seguridad. Si asignas el privilegio a un usuario individual, incluye el ID del usuario en el campo assignedTo del cuerpo de la solicitud. Para recuperar el ID del usuario, llama a users.get y especifica la dirección de correo electrónico del usuario como el parámetro userKey o llama a users.list.

La cuenta que realiza la solicitud POST requiere el siguiente permiso:

• https://www.googleapis.com/auth/admin.directory.rolemanagement

Cuerpo de la solicitud

El cuerpo de la solicitud contiene detalles del RoleAssignment que se creará. Debes realizar una solicitud por cada unidad organizativa que quieras asociar con este grupo.

{
   roleId: "<role-id>",        // role's unique ID obtained from Step 3
   assignedTo: "<id>",         // group ID or user ID
   scopeType: "ORG_UNIT",      // can be `ORG_UNIT` or `CUSTOMER`
   orgUnitId: "<org-unit-id>"  // organizational unit ID referenced in Step 4
}

Respuesta

La respuesta contiene la nueva instancia de RoleAssignment.

{
   kind: "admin#directory#roleAssignment",
   etag: "<etag-value>",
   roleAssignmentId: "<role-assignment-id>",
   roleId: "<role-id>",
   assignedTo: "<group-id or user-id>",
   assigneeType: "GROUP",
   scopeType: "ORG_UNIT",
   orgUnitId: "<org-unit-id>"
}

Recursos

Puedes encontrar información adicional en los siguientes vínculos:

• Descripción general de la API de Directory
• Autenticación y autorización específicas de la API de Directory
• Documentación de REST de la API de Directory
• Asistencia para desarrolladores de la API del SDK de Admin