Les intégrations d’applications tierces basées sur OAuth dans votre Google Workspace sont pratiques et utiles, mais elles peuvent présenter des risques de sécurité si personne ne les surveille. Réaliser régulièrement un examen des autorisations OAuth de Google est indispensable pour que les données de votre entreprise et de vos clients restent en sécurité.
Auditer régulièrement les applications qui accèdent à votre Google Workspace permet d’éviter les accès non autorisés aux données et les déplacements latéraux. Cela permet aussi de repérer les applications inutilisées qui conservent des autorisations à risque et à portée étendue, et de vérifier que votre entreprise respecte bien les protocoles de sécurité comme HIPAA, SOC 2, ISO 27001, etc.
Renforcez la gestion sécurisée des accès dans tout votre environnement Google Workspace.
Les différentes façons de créer un journal d’audit des jetons OAuth
La méthode la plus efficace pour auditer et supprimer les jetons d’applications tierces Google passe par la console d’administration Google. Les administrateurs peuvent également exporter les détails d’accès des applications à l’aide d’outils en ligne de commande et de PowerShell.
📌 Prérequis :
- Vous aurez besoin d’un compte Google Workspace Admin ou Super Admin.
- Un accès à la console d’administration Google ou au SDK d’administration Google Workspace est nécessaire.
- PowerShell 7+ avec les API Google activées est requis, en particulier si vous exportez des données.
- Facultatif : projet Google Cloud avec l’examen des jetons OAuth activé
- Facultatif : NinjaOne ou d’autres outils RMM pour étiqueter, surveiller et suivre l’utilisation des applications par appareil et par utilisateur
📌 Stratégies de déploiement recommandées :
Cliquez pour choisir une méthode | 💻 Idéal pour les utilisateurs individuels | 💻💻💻 Idéal pour les grandes entreprises |
| Méthode 1 : auditer les applications OAuth depuis la console d’administration Google | ✓ | |
| Méthode 2 : exporter les détails d’accès des applications avec l’API Reports de Google Workspace | ✓ | |
| Méthode 3 : repérer et supprimer les applications à risque ou inactives | ✓ | |
| Méthode 4 : étiqueter ou consigner les résultats OAuth dans le Registre (pour la visibilité RMM) | ✓ |
Méthode 1 : auditer les applications OAuth depuis la console d’administration Google
- Ouvrez le navigateur de votre choix.
- Rendez-vous sur admin.google.com.
- Accédez à cet emplacement : Sécurité > Accès et contrôle des données > Contrôles des API > Contrôle de l’accès aux applications.
- Consultez la liste des applications tierces qui ont accès à vos données Google Workspace.
- Examinez la liste des portées OAuth demandées.
- Repérez les applications dotées de portées sensibles. Voici quelques points à surveiller :
- Les applications disposant d’un accès complet à Gmail (gmail.modify, gmail.compose)
- Les applications disposant d’autorisations d’écriture ou de partage sur Drive
- Les applications qui utilisent des API de niveau administrateur comme admin.directory.user.readonly
Méthode 2 : exporter les détails d’accès des applications avec l’API Reports de Google Workspace
Option 1 : avec Google Apps Manager
Google Apps Manager est un outil en ligne de commande qui donne accès aux outils de Google Workspace.
💡Remarque : Google Apps Manager a besoin d’accéder aux API de Google pour fonctionner. Pour vous en assurer, ouvrez votre console d’administration Google Apps > Sécurité > Référence des API, puis cliquez sur Activer l’accès aux API > Enregistrer les modifications.
- Ouvrez le menu Démarrer et recherchez Invite de commandes.
- Faites un clic droit sur Invite de commandes > Exécuter en tant qu’administrateur.
- Saisissez gam et appuyez sur Entrée. Cela lance Google Apps Manager. S’il s’agit de votre première utilisation, l’invite de commandes vous guidera pour lui accorder les autorisations et les identifiants requis.
- Saisissez gam report tokens et appuyez sur Entrée. Cela génère les informations suivantes :
- Nom de l’application
- ID client
- Utilisateur sous lequel elle est autorisée
- Portées OAuth
- Horodatage de la dernière utilisation
- Pour exporter les données dans un fichier CSV, saisissez gam report tokens > oauth_tokens.csv et appuyez sur Entrée.
Option 2 : utiliser Windows PowerShell avec le client d’API Google
📌 Prérequis : les bibliothèques clientes .NET des API Google doivent déjà être installées dans Windows PowerShell.
- Ouvrez le menu Démarrer et recherchez Windows PowerShell.
- Faites un clic droit sur Windows PowerShell > Exécuter en tant qu’administrateur.
- Voici un exemple de script que vous pouvez exécuter :
Invoke-RestMethod -Uri |
Remplacez <access_token> par le jeton d’accès de votre compte.
Méthode 3 : repérer et supprimer les applications à risque ou inactives
- Ouvrez le navigateur de votre choix.
- Rendez-vous sur admin.google.com.
- Accédez à cet emplacement : Sécurité > Accès et contrôle des données > Contrôles des API > Contrôle de l’accès aux applications.
- Cliquez sur chaque application tierce et examinez l’utilisation de ses portées, ainsi que les utilisateurs qui l’ont autorisée.
- Bloquez les applications qui ne respectent pas les politiques de sécurité de votre entreprise. Pour bloquer une application, cliquez sur Modifier l’accès > Bloquer l’accès.
Méthode 4 : étiqueter ou consigner les résultats OAuth dans le Registre (pour la visibilité RMM)
Vous pouvez consigner les informations issues de votre audit des autorisations d’applications dans le Registre Windows et utiliser votre outil RMM pour suivre, vérifier et mettre à jour ces données.
- Ouvrez le menu Démarrer et recherchez Windows PowerShell.
- Faites un clic droit sur Windows PowerShell > Exécuter en tant qu’administrateur.
- Saisissez cette commande et appuyez sur Entrée :
New-Item -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -ForceSet-ItemProperty -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -Name "LastAuditDate" -Value (Get-Date).ToString("u")Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -Name "FlaggedApps" -Value "Dropbox, SlackBot" |
- Pour vérifier les informations contenues dans les clés de Registre, ouvrez l’invite de commandes avec des autorisations élevées.
- Saisissez cette commande et appuyez sur Entrée :
reg query HKLM\SOFTWARE\Org\OAuthAudit
⚠️ Dépannage et points de vigilance
Problèmes | Conséquences possibles | Solutions |
| L’application réapparaît même après que vous avez bloqué son accès. | L’application conserve l’accès à des données que vous souhaitez lui interdire. | Des jetons peuvent encore être en cache chez les utilisateurs. Révoquez-les depuis la console d’administration Google > Sécurité > Gérer l’accès tiers. |
| Des données sont absentes dans Google Apps Manager. | Vous ne disposerez pas de données fiables pour votre audit des autorisations d’applications tierces. | Vérifiez que l’API Reports est activée et que Google Apps Manager dispose de droits d’administration délégués. |
| Il n’y a aucun journal OAuth. | Vous ne pourrez pas réaliser l’audit des applications tierces. | Vérifiez que la conservation des journaux d’audit est active dans la console d’administration Google. Les journaux ne commenceront qu’après l’activation de cette fonction. |
| Vous ne trouvez pas le cache des jetons. | Vous ne pourrez pas réaliser l’audit des applications tierces. | Le cache des jetons peut être stocké dans les sessions de navigateur ou géré dans le cloud. Vous pouvez vérifier cette information dans l’API Reports. |
Autres points à prendre en compte pour créer un journal d’audit des jetons OAuth
- De nombreux jetons OAuth tiers n’expirent jamais tant qu’ils ne sont pas révoqués. Si vous ne voulez plus qu’une application accède à Google Workspace, vous devez révoquer explicitement ses autorisations.
- Les portées OAuth peuvent être élargies après l’authentification, sans aucune notification. Réalisez donc des audits réguliers pour vous assurer que les applications ne disposent que des autorisations permises par les protocoles de sécurité de votre entreprise.
- Les utilisateurs finaux peuvent accepter des portées et des autorisations sans en mesurer les risques. Auditer régulièrement les portées et les autorisations des applications permet d’éviter toute violation de sécurité.
- Les applications dotées d’autorisations liées à l’appareil peuvent se réauthentifier sans notification. Vous devez les bloquer au niveau administrateur.
Gardez la maîtrise des accès aux applications grâce à la surveillance et à la gestion automatisées.
Les services NinjaOne pour auditer les autorisations des applications tierces Google
NinjaOne accompagne les administrateurs informatiques dans l’audit des autorisations des applications tierces Google dans Google Workspace en :
- étiquetant les appareils porteurs de jetons OAuth ou de clés de Registre associées ;
- déployant des scripts capables de repérer les artefacts de jetons Google sur vos terminaux ;
- alertant les administrateurs lorsque des applications à haut risque sont détectées dans les profils utilisateurs ou les magasins d’identifiants ;
- réalisant une analyse du Registre et un reporting de l’empreinte applicative de chaque appareil et de chaque utilisateur ;
- automatisant la remédiation, par exemple en supprimant les clients d’application locaux ou en effaçant les jetons stockés si nécessaire.
Guide de démarrage rapide
NinjaOne propose bien des fonctions pour gérer les autorisations des applications OAuth dans Google Workspace. Voici les points essentiels
1. Processus d’authentification :
- NinjaOne s’appuie sur l’application Google Dropsuite pour autoriser son produit de sauvegarde SaaS dans Google Workspace.
Lors de la configuration d’une sauvegarde, vous devrez :
- vous connecter avec des identifiants d’administrateur Google Workspace ;
- installer l’application de sauvegarde depuis Google Workspace Marketplace ;
- accorder les autorisations nécessaires.
2. Types d’autorisations :
Le système classe les autorisations en deux grandes catégories :
A. Autorisations sensibles :
- accès aux données des utilisateurs, comme les événements d’agenda ou les fichiers Drive ;
- accès en lecture seule aux informations de l’annuaire.
Par exemple :
- consulter les informations des utilisateurs ;
- consulter les détails du domaine ;
- consulter les appartenances aux groupes ;
- accéder à Agenda et à Contacts.
B. Autorisations restreintes :
- un accès plus strict, qui exige une vérification supplémentaire
Comprend les autorisations pour :
- Google Drive (voir, modifier, créer et supprimer des fichiers)
- Gmail (lire, rédiger et envoyer des e-mails)
3. Gestion des utilisateurs :
- ajout des utilisateurs automatique ou manuel ;
- possibilité d’exclure certains utilisateurs de la sauvegarde ;
- gestion des autorisations depuis le portail de sauvegarde.
Protégez les données de votre entreprise en auditant régulièrement les autorisations OAuth des applications tierces
L’audit des autorisations OAuth des applications tierces dans Google Workspace est un pilier d’une bonne hygiène de sécurité dans le cloud. Il garantit qu’aucune application ne détient plus d’autorisations que nécessaire et protège les données de votre entreprise et de vos clients contre les violations de sécurité.
Liens connexes :
