こんにちは！FITSの情報システムワーキンググループ（情シスWG）です。
情報シスWGでは社内システムの運用や権限、ロールの確認をメインに活動しています。今回はその活動の中で見つけた運用の注意点を備忘録も兼ねて共有します！

FITSではGoogle Workspaceを利用しています。
あるとき、Googleグループのすべてのメールが閲覧できるという報告を受けました。
幸い、情報漏洩などの事故は起きていませんでしたが、今後に備えて原因の解明と対策を行いました。

原因の特定

原因はGoogle Workspaceの管理者ロール設定にありました。

以下のロールが割り当てられたメンバーは、グループ側の設定で閲覧制限をかけていても適用されずに閲覧が可能です。
・特権管理者
・グループ管理者
閲覧できる旨の報告をしてくれた方は、グループ作成業務の際にグループ管理者ロールを割り当てられていたため、意図せず全てのメールが閲覧できる状態でした。

対策

グループの閲覧権限は必要のない権限であったため、ロール権限からグループの閲覧権限を外すことを試みましたが、特権管理者ロールやグループ管理者ロールはプリセットなロールであり、権限の変更はできませんでした。

そのため、グループの閲覧以外の権限を同等にした管理者ロールを手動で作成し、そちらに現在のメンバーを移行することで対応しました。

注意点

この対応を行う際には以下の点に注意が必要です。

特権管理者ロールは特殊なロール（スーパーアドミン）であり、権限設定画面に明記されていない権限と紐づいています。
つまり、権限を手動で同等に作成したつもりでも、今まで出来ていた操作ができなくなることがあります。
例えば、Google WorkspaceとAWSのIAMを統合してSSOを利用する場合、特権管理者ロールを持っていないとそれらの設定や操作ができません。

– 参考リンク: Configure SAML and SCIM with Google Workspace and IAM Identity Center –

その他の対応方法

私が行った方法以外にも、以下のような対応方法が考えられます。

・管理者の権限の見直し
不必要に管理者権限を持っているメンバーがいないか確認し、権限を持つ人数を最小限に抑えること。管理者権限を持つ必要があるか確認を行い、必要のないメンバーからはその権限を削除する。

・情報の機密性の評価
共有される情報の機密性を評価し、Googleグループ内で共有すべきでない機密性の高い情報は、もっとセキュアな方法（例えば、エンドツーエンド暗号化を提供するプラットフォーム）で共有することを検討する。

まとめ

組織でGoogle Workspaceを運用する場合、管理者権限は情シスなど一部のメンバーに限定しプロジェクトメンバーには権限のサブセットをロール化するのが基本となります。
もし管理者権限を運用されているのであれば、不要な権限を与えてしまっていないかと、
別途ロールを発行することが可能か検討するのが良いかもしれません。