初期設定

01はじめに

Workspace Check を使い始めるときに、最初に1回だけ行う設定です。所要時間は約10分で、コマンドは要りません。

• 使うもの: Google Workspace の特権管理者のアカウントと、パソコンのブラウザ(Chrome など)。
• 設定で作るもの: 御社の Google Cloud に、点検専用のプロジェクト(「wc-」で始まる名前)と、鍵ファイルのないサービスアカウント。
• Google Cloud の課金の登録は要りません。
• 点検の中身は UTNOA のサーバーには一切届かず、ブラウザと Google の間だけで動きます。社員のファイルの中身は読みません。

02特権管理者でログインする

鍵の発行に使う権限だけを、Google の画面で許可します。

1. https://check.utnoa.com/ を開きます。
2. 「Google アカウントでログイン」を押します。
3. Google の画面で、特権管理者のアカウントを選びます。
4. 許可する内容(メールアドレスの参照と、Identity and Access Management の管理)を確かめて「続行」を押します。

• ログインの窓が開かないときは、ブラウザのポップアップを許可してから、もう一度押してください。
• パスワードは Google の画面で入れます。このツールには届きません。

03点検専用のプロジェクトを作る

ボタンを押すと、御社の Google Cloud に点検専用の設定を自動で作ります。

1. 左のメニューの「準備と設定」を開きます。
2. 「点検専用のプロジェクトを自動で作成」の「準備する」を押します。
3. Google の画面で、Google Cloud の設定を作ることを許可します(プロジェクトの作成・組織の表示・API の有効化)。
4. 1〜2分待ちます。点検専用のプロジェクト、必要な API、鍵のないサービスアカウント、ログインした管理者に使う役割、の順に完了します。

• Google Cloud を一度も使ったことがない会社では、「この会社では Google Cloud をまだ使っていません」と出ます。https://console.cloud.google.com を一度開いて利用規約に同意してから、もう一度押してください。
• 管理コンソールで Google Cloud がオフになっている会社は、特権管理者がオンにしてください。
• プロジェクトの作成などの権限は、このときだけ求めます。ふだんの点検では求めません。
• 別のパソコン・別の管理者で開いたときも「準備する」を押してください。前に作った点検専用のプロジェクトが見つかれば、新しく作らずにそれを使います(管理コンソールの委任の行も、前のものがそのまま使えます)。

04管理コンソールで委任を承認する

このツール専用のサービスアカウントに、「社員の代わりに、決めた範囲だけ読む」ことを許可します(ドメイン全体の委任)。

1. 「準備と設定」の「番号をコピー」を押します。
2. 「管理コンソールを開く」を押します。開かないときは、管理コンソール(https://admin.google.com)で メニュー → セキュリティ → アクセスとデータ管理 → API の制御 → 「ドメイン全体の委任を管理」 と進みます。
3. 「新しく追加」を押します。
4. 「クライアント ID」に、コピーした番号を貼ります。
5. 「準備と設定」の「権限をコピー」を押し、「OAuth スコープ」の欄に貼ります。
6. 「承認」を押します。

• 貼る権限は次の6つです(「権限をコピー」で、カンマ区切りの1行がコピーされます)。
• https://www.googleapis.com/auth/drive.metadata.readonly,https://www.googleapis.com/auth/drive.readonly,https://www.googleapis.com/auth/admin.directory.user.readonly,https://www.googleapis.com/auth/admin.directory.group.member.readonly,https://www.googleapis.com/auth/admin.reports.audit.readonly,https://www.googleapis.com/auth/drive.file
• drive.metadata.readonly: ファイルとフォルダの名前と共有を読む(中身は読まない)
• drive.readonly: 共有ドライブの一覧を取る(Google の仕様でこの権限が要る。中身を読む呼び出しはしない)
• admin.directory.user.readonly: 社員の一覧(退職者を見分ける)
• admin.directory.group.member.readonly: グループの中の人(見える人数を数える)
• admin.reports.audit.readonly: 監査ログのうち、Drive の「アプリが社員の代わりに読んだ記録」と Gemini Notebook の記録だけを読む
• drive.file: 記録のスプレッドシートを作って書く(このツールが作ったファイルだけを触れる)
• 反映には、ふつう数分かかります(Google の説明では最長24時間)。

05承認を確かめる

委任が効いているかを、ツールが確かめます。

1. 「準備と設定」に戻り、「承認したので確かめる」を押します。
2. 「完了」になれば準備は終わりです。上の「点検する」が押せるようになります。

• 「委任がまだ反映されていないか、番号か権限が違います」と出たときは、数分待ってからもう一度押してください。続くときは、管理コンソールの番号と権限を見直してください。
• 「記録のスプレッドシートの権限(drive.file)が委任に入っていません」「監査ログの権限が委任に入っていません」と出たときは、その権限が委任の行に入っているかを確かめてください。

06記録の保存先を決める(おすすめ)

点検の結果を残すスプレッドシートは、1つのフォルダの中にまとめて作ります。役員や情報システムの担当など、見る人を絞った秘匿の共有ドライブに置くのがおすすめです。

1. 見る人を絞った共有ドライブを用意し、点検する特権管理者をメンバー(コンテンツ管理者以上)に入れます。新しく作るときは、Google ドライブの「共有ドライブ」→「新規」で作れます。
2. 一度点検してから、左のメニューの「記録(スプレッドシート)」を開きます(点検で見つけた共有ドライブが、保存先の候補に出ます)。
3. 「保存先」でその共有ドライブを選び、「この共有ドライブに作る」を押します。共有ドライブの中に「Workspace Check の記録」フォルダと「目次」ができます。
4. 「共有ドライブ「〇〇」 › Workspace Check の記録」と出れば完了です。次からは、点検のたびにこのフォルダの中に書きます。

• 秘匿の共有ドライブをおすすめする理由: 記録には、社員のファイル名と共有先が載ります。見られる人を絞れる場所に置いてください。
• 共有ドライブなら、担当の方が退職・異動しても記録が残ります。マイドライブのままだと、持ち主の退職で記録が使えなくなることがあります。
• マイドライブに作ったフォルダを、あとから Google ドライブで共有ドライブへ移すことはしないでください。保存先は、このツールが作ったフォルダだけにできる決まり(記録の権限 drive.file)のため、移したフォルダには書けなくなることがあります。共有ドライブに置くときは、最初からこの画面で共有ドライブを選んで作ってください。
• 共有ドライブのメンバーに、点検する特権管理者が入っている必要があります(コンテンツ管理者以上)。

07権限を足す(以前に準備した会社)

新しい機能(Gemini が読んだ記録・Gemini Notebook・スプレッドシートの記録)の前に準備した会社は、API と権限を足します。「準備と設定」の上に、足す手順が出ます。

1. 「準備と設定」の「API を足す」を押し、Google の画面で許可します(点検専用のプロジェクトに、記録に使う API を足します)。
2. 管理コンソールで メニュー → セキュリティ → アクセスとデータ管理 → API の制御 → 「ドメイン全体の委任を管理」 と進みます。
3. 一覧から、「準備と設定」に出ている番号の行のクライアント名を押し、「編集する」を押します。
4. 「OAuth スコープ」の欄を、「権限をコピー」でコピーした1行に置き換えます。
5. 「承認」を押します。
6. ツールに戻り、「足したので確かめる」を押します。

• 置き換えずに足すときは、今の権限の最後に、カンマに続けて次の2つを足します。
• https://www.googleapis.com/auth/admin.reports.audit.readonly,https://www.googleapis.com/auth/drive.file

08(使うときだけ)まとめて直す機能

見つかった共有を、ツールの画面から選んで外せるようにします。使わない会社は、この手順は要りません。

1. 管理コンソールで、委任の同じ行を「編集する」で開きます。
2. 「準備と設定」の「足した後の権限をまとめてコピー」を押し、「OAuth スコープ」の欄を置き換えて「承認」を押します。
3. 「準備と設定」の「書き込みの権限を足しました」にチェックを入れます。

• 足すのは次の権限です。
• https://www.googleapis.com/auth/drive
• 足すと、権限の上ではファイルの中身も読めるようになります(このツールのプログラムは中身を読みません)。
• 外せるのは、選んで確認した共有だけです。ファイルの削除と、持ち主の変更はしません。

09やめるとき

作ったものを消すと、このツールの権限はすべてなくなります。

1. Google Cloud で、点検専用のプロジェクト(「準備と設定」に出ている「wc-」で始まる名前)を削除します。
2. 管理コンソールの メニュー → セキュリティ → アクセスとデータ管理 → API の制御 → 「ドメイン全体の委任を管理」 で、番号の行を削除します。
3. ツールの「点検ルール」の「このパソコンから消す」を押します。

• 記録のスプレッドシート(マイドライブの「Workspace Check の記録」フォルダ)は、御社のドライブに残ります。要らなければ削除してください。
• 点検しない間は、サービスアカウントを無効にしておくこともできます。