Aunque son útiles y cómodas, las integraciones de aplicaciones de terceros basadas en OAuth dentro de tu Google Workspace pueden suponer un riesgo de seguridad si nadie las supervisa. Hacer una revisión periódica de los permisos OAuth de Google es imprescindible para que los datos de tu organización y de tus clientes sigan a salvo.
Auditar con regularidad qué aplicaciones tienen acceso a tu Google Workspace evita accesos no autorizados a los datos y movimientos laterales. También permite detectar aplicaciones en desuso que conservan permisos de alto alcance y, por tanto, arriesgados, y garantiza que tu organización cumpla con normativas de seguridad como HIPAA, SOC 2, ISO 27001, etc.
¿Prefieres una guía visual para entender mejor el tema? Mira nuestro vídeo para conocer todos los detalles: Cómo auditar los permisos de las aplicaciones OAuth de terceros en Google Workspace.
Refuerza la gestión segura de accesos en todo tu entorno de Google Workspace.
Formas de crear un registro de auditoría de tokens OAuth
La manera más eficiente de auditar y eliminar los tokens de aplicaciones de terceros de Google es a través de la consola de administración de Google. Los administradores también pueden exportar los detalles de acceso de las aplicaciones con herramientas de línea de comandos y PowerShell.
📌 Requisitos previos:
- Necesitas una cuenta de administrador o superadministrador de Google Workspace.
- Es necesario tener acceso a la consola de administración de Google o al SDK de administrador de Google Workspace.
- Se requiere PowerShell 7+ con las API de Google habilitadas, sobre todo si vas a exportar datos.
- Opcional: un proyecto de Google Cloud con la revisión de tokens OAuth habilitada
- Opcional: NinjaOne u otras herramientas RMM para etiquetar, monitorizar e informar sobre el uso de aplicaciones por dispositivo y usuario
📌 Estrategias de implementación recomendadas:
Método 1: auditar las aplicaciones OAuth desde la consola de administración de Google
- Abre tu navegador habitual.
- Ve a admin.google.com.
- Dirígete a esta ruta: Seguridad > Control de acceso y datos > Controles de API > Control de acceso de aplicaciones.
- Consulta la lista de aplicaciones de terceros que tienen acceso a los datos de tu Google Workspace.
- Revisa la lista de permisos (scopes) de OAuth solicitados.
- Identifica las aplicaciones con permisos sensibles. Presta atención a estos casos:
- Aplicaciones con acceso completo a Gmail (gmail.modify, gmail.compose)
- Aplicaciones con permisos de escritura o de uso compartido en Drive
- Aplicaciones que usan API de nivel administrador, como admin.directory.user.readonly
Método 2: exportar los detalles de acceso de las aplicaciones con la API de Informes de Google Workspace
Opción 1: usar Google Apps Manager
Google Apps Manager es una herramienta de línea de comandos que te da acceso a las herramientas de Google Workspace.
💡Nota: Google Apps Manager necesita acceso a las API de Google para funcionar. Para asegurarte de que lo tiene, ve a la consola de administración de Google apps > Seguridad > Referencia de API y haz clic en Habilitar acceso a la API > Guardar cambios.
- Abre el menú Inicio y busca Símbolo del sistema.
- Haz clic derecho en Símbolo del sistema > Ejecutar como administrador.
- Escribe gam y pulsa Intro. Así se ejecutará Google Apps Manager. Si es la primera vez que lo usas, el Símbolo del sistema te guiará para concederle los permisos y las credenciales necesarias.
- Escribe gam report tokens y pulsa Intro. Se generará la siguiente información:
- Nombre de la aplicación
- ID de cliente
- Usuario con el que está autorizada
- Permisos (scopes) de OAuth
- Fecha y hora del último uso
- Para exportar los datos a un archivo CSV, escribe gam report tokens > oauth_tokens.csv y pulsa Intro.
Opción 2: usar Windows PowerShell con el cliente de la API de Google
📌 Requisito previo: las bibliotecas cliente .NET de la API de Google deben estar ya instaladas en Windows PowerShell.
- Abre el menú Inicio y busca Windows PowerShell.
- Haz clic derecho en Windows PowerShell > Ejecutar como administrador.
- Este es un script de ejemplo que puedes ejecutar:
Invoke-RestMethod -Uri @{Authorization = «Bearer <access_token>» } |
Sustituye <access_token> por el token de acceso de tu cuenta.
Método 3: identificar y eliminar aplicaciones inactivas o de riesgo
- Abre tu navegador habitual.
- Ve a admin.google.com.
- Dirígete a esta ruta: Seguridad > Control de acceso y datos > Controles de API > Control de acceso de aplicaciones.
- Haz clic en cada aplicación de terceros y revisa qué permisos usa y qué usuarios la autorizaron.
- Bloquea las aplicaciones que no cumplan las políticas de seguridad de tu organización. Para bloquearlas, haz clic en Cambiar acceso > Bloquear acceso.
Método 4: etiquetar o registrar los hallazgos de las aplicaciones OAuth en el Registro (para visibilidad desde el RMM)
Puedes guardar la información de tu auditoría de permisos de aplicaciones en el Registro de Windows y usar tu herramienta RMM para hacer seguimiento, verificar y actualizar los datos.
- Abre el menú Inicio y busca Windows PowerShell.
- Haz clic derecho en Windows PowerShell > Ejecutar como administrador.
- Escribe este comando y pulsa Intro:
New-Item -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -ForceSet-ItemProperty -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -Name "LastAuditDate" -Value (Get-Date).ToString(«u»)Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -Name "FlaggedApps" -Value "Dropbox, SlackBot" |
- Para verificar la información de las claves del Registro, abre el Símbolo del sistema con permisos elevados.
- Escribe este comando y pulsa Intro:
reg query HKLM\SOFTWARE\Org\OAuthAudit
⚠️ Resolución de problemas y aspectos a tener en cuenta
Problemas | Posibles consecuencias | Soluciones |
| La aplicación vuelve a aparecer aunque hayas bloqueado su acceso. | La aplicación seguirá teniendo acceso a datos a los que no quieres que acceda. | Puede que los usuarios conserven tokens en caché. Revócalos desde la consola de administración de Google > Seguridad > Gestionar el acceso de terceros. |
| Faltan datos en Google Apps Manager. | No tendrás datos precisos para tu auditoría de permisos de aplicaciones de terceros. | Comprueba que la API de Informes esté habilitada y que Google Apps Manager tenga derechos de administrador delegados. |
| No hay registros de OAuth. | No podrás realizar la auditoría de aplicaciones de terceros. | Comprueba que la retención de registros de auditoría esté activa en la consola de administración de Google. Los registros solo empezarán a generarse después de activar esta función. |
| No encuentras la caché de tokens. | No podrás realizar la auditoría de aplicaciones de terceros. | La caché de tokens puede estar almacenada en sesiones del navegador o gestionada en el cloud. Puedes verificar esta información en la API de Informes. |
Otros aspectos a considerar al crear un registro de auditoría de tokens OAuth
- Muchos tokens OAuth de terceros no caducan a menos que se revoquen. Si no quieres que una aplicación siga accediendo a Google Workspace, tienes que revocar activamente sus permisos.
- Los permisos (scopes) de OAuth pueden ampliarse después de la autenticación sin ningún aviso. Haz auditorías con regularidad para asegurarte de que cada aplicación solo tenga los permisos que admiten las políticas de seguridad de tu organización.
- Los usuarios finales pueden aceptar permisos y scopes de aplicaciones sin entender los riesgos. Auditar periódicamente esos permisos evita brechas de seguridad.
- Las aplicaciones con permisos basados en el dispositivo pueden volver a autenticarse sin avisar. Tienes que bloquearlas a nivel de administrador.
Controla el acceso de las aplicaciones con monitorización y gestión automatizadas.
Servicios de NinjaOne para auditar los permisos de las aplicaciones de terceros de Google
NinjaOne ayuda a los administradores de TI a auditar los permisos de las aplicaciones de terceros de Google en Google Workspace mediante:
- El etiquetado de dispositivos con tokens OAuth o claves del Registro relacionadas
- El despliegue de scripts capaces de identificar artefactos de tokens de Google en tus endpoints
- Alertas para los administradores cuando se detectan aplicaciones de alto riesgo en perfiles de usuario o almacenes de credenciales
- Un análisis del Registro con informes sobre las aplicaciones presentes en cada dispositivo y usuario
- La automatización de la remediación, como eliminar clientes de aplicaciones locales o borrar tokens almacenados cuando sea necesario
Guía de inicio rápido
NinjaOne sí cuenta con funciones para gestionar los permisos de las aplicaciones OAuth en Google Workspace. Estos son los detalles clave
1. Proceso de autenticación:
- NinjaOne utiliza la aplicación de Dropsuite para Google con el fin de autorizar su producto de copia de seguridad SaaS en Google Workspace.
Al configurar una copia de seguridad, tendrás que:
- Iniciar sesión con credenciales de administrador de Google Workspace
- Instalar la aplicación de copia de seguridad desde Google Workspace Marketplace
- Conceder los permisos necesarios
2. Tipos de permisos:
El sistema clasifica los permisos en dos tipos principales:
A. Permisos sensibles:
- Acceso a datos del usuario, como eventos de Calendar o archivos de Drive
- Acceso de solo lectura a la información del directorio
Algunos ejemplos:
- Ver la información del usuario
- Ver los detalles del dominio
- Ver las pertenencias a grupos
- Acceder a Calendar y Contacts
B. Permisos restringidos:
- Un acceso más estricto que requiere verificación adicional
Incluye permisos para:
- Google Drive (ver, editar, crear y eliminar archivos)
- Gmail (leer, redactar y enviar correos)
3. Gestión de usuarios:
- Puedes añadir usuarios de forma automática o manual
- Existe la opción de excluir usuarios concretos de la copia de seguridad
- Los permisos se gestionan desde el portal de copias de seguridad
Protege los datos de tu organización auditando con regularidad los permisos OAuth de terceros
Auditar los permisos OAuth de terceros en Google Workspace es una parte esencial de una buena higiene de seguridad en el cloud. Así te aseguras de que ninguna aplicación tenga más permisos de los necesarios y proteges los datos de tu organización y de tus clientes frente a brechas de seguridad.
Enlaces relacionados:
