Des droits d'administrateur qui s'éteignent tout seuls
Dans la console d'administration, on peut désormais donner un rôle d'administrateur pour une durée limitée : à la date prévue, Google le retire tout seul. La fin des droits « temporaires » oubliés pendant des années.
Un prestataire qui vient faire un audit, une collègue qui remplace l’administrateur pendant ses congés, un projet de migration de trois mois… Dans chacun de ces cas, on donne des droits d’administrateur « pour un temps ». Et dans bien des entreprises, ces droits sont encore là deux ans plus tard, parce que personne n’a pensé à les retirer.
Ce qui change
Dans la console d’administration Google, un rôle d’administrateur peut maintenant être attribué avec une date d’expiration. Ce jour-là, à l’heure prévue, Google retire le rôle tout seul. Personne n’a besoin de s’en souvenir.
Concrètement :
- la durée se choisit en deux clics : 1 jour, 7 jours, 30 jours ou 90 jours, ou bien une date et une heure précises, dans la limite d’un an ;
- ça marche pour tout le monde : un utilisateur, un groupe ou un compte de service ;
- c’est disponible maintenant, pour tous les clients Google Workspace ;
- seul un super-administrateur peut poser ces dates ;
- l’administrateur principal n’est pas concerné : ses droits de super-administrateur restent permanents, c’est voulu.
Licences concernées : toutes les licences Google Workspace.
Pourquoi c’est important
Chaque compte administrateur est une porte d’entrée. Si ce compte se fait voler son mot de passe, l’attaquant récupère tous ses droits. Moins il y a d’administrateurs, et moins longtemps ils le restent, moins il y a de portes à surveiller.
Jusqu’ici, retirer un droit temporaire reposait sur la mémoire de quelqu’un, ou sur un rappel dans un agenda. Désormais, c’est la date qui fait le travail.
Notre avis
C’est une petite case dans un écran que peu de gens ouvrent, mais c’est l’une des nouveautés de sécurité les plus utiles de l’année. Trois réflexes à prendre dès maintenant :
- faites le tour de vos administrateurs actuels. Dans « Rôles d’administrateur », regardez qui a quels droits, et demandez-vous pour chacun : en a-t-il encore besoin ? Ceux qui étaient « temporaires » peuvent recevoir une date de fin dès aujourd’hui ;
- mettez une date à chaque nouveau droit ponctuel. Prestataire, remplacement, audit : la date de fin se décide au moment où l’on donne l’accès, pas après ;
- donnez le bon rôle, pas le plus gros. Un rôle limité (par exemple la gestion des utilisateurs ou des groupes) suffit souvent. Le rôle de super-administrateur se garde pour une ou deux personnes.
Envie de savoir qui a vraiment les clés de votre Google Workspace ? Parlons-en.