Comment détecter les lacunes de couverture de sauvegarde dans Google Workspace avec la console d’administration et les API

Mettre en place un processus complet et structuré de détection des lacunes de couverture de sauvegarde Google présente de nombreux avantages pour les MSP. Avant tout, cela garantit que chaque utilisateur sous licence et chaque jeu de données est protégé. Les administrateurs peuvent ainsi plus facilement :

• repérer rapidement les erreurs de configuration ou les angles morts de couverture,
• documenter les résultats pour les audits et les rapports trimestriels d’activité,
• justifier les mesures correctives ou des investissements supplémentaires en sauvegarde SaaS.

Comment vérifier les données de sauvegarde Google

📌 Prérequis :

• Vous devez disposer du rôle Super Admin ou d’un rôle d’administrateur délégué avec accès à la console d’administration Google et à Vault.
• Si vous utilisez des API, il vous faut un projet Google Cloud dans lequel les API Directory et Reports du SDK Admin sont activées.
• Des identifiants OAuth 2.0 sont nécessaires pour l’accès délégué.
• Vous devez disposer d’un inventaire de référence des utilisateurs, des OU (unités organisationnelles) et des groupes pour effectuer les recoupements.
• Vous devez déjà avoir un tableur ou une plateforme de documentation pour consigner vos constats.

📌 Stratégies de déploiement recommandées :

Cliquez pour choisir une méthode	💻 Idéal pour les utilisateurs individuels	💻💻💻 Idéal pour les grandes entreprises
Méthode 1 : valider la couverture des utilisateurs depuis la console d’administration		✓
Méthode 2 : vérifier les exceptions liées aux OU (unités organisationnelles) et aux groupes		✓
Méthode 3 : examiner les politiques de conservation de Vault		✓
Méthode 4 : utiliser l’API Directory du SDK Admin pour détecter les comptes non couverts		✓
Méthode 5 : utiliser l’API Reports pour repérer les risques de suppression		✓
Méthode 6 : documenter les constats et créer un registre des lacunes		✓

Méthode 1 : valider la couverture des utilisateurs depuis la console d’administration

1. Ouvrez la console d’administration Google.
2. Allez dans Menu > Annuaire > Utilisateurs.
3. Cliquez sur l’icône Télécharger en haut à droite.
4. Sélectionnez Tous les utilisateurs.
5. Vous pourrez choisir de télécharger les données sous forme de fichier CSV ou de les placer dans Google Sheets. Choisissez l’option la plus adaptée à vos préférences et aux politiques de votre entreprise.
6. Comparez les données de la console Google avec celles de votre liste de sauvegarde SaaS.
7. Signalez toute entrée manquante ou divergente. Si un utilisateur n’apparaît pas dans le fichier de sauvegarde SaaS, c’est qu’il n’est pas correctement rattaché à une politique de sauvegarde.

Méthode 2 : vérifier les exceptions liées aux OU (unités organisationnelles) et aux groupes

1. Passez en revue les différentes unités organisationnelles et les groupes utilisés pour appliquer la sauvegarde dans votre entreprise.
2. Assurez-vous que toutes les organisations sont couvertes et que chaque utilisateur est rattaché à une politique de sauvegarde appropriée.
3. Si des utilisateurs ou des groupes ne sont pas couverts, signalez-les immédiatement. Cela peut arriver lorsque l’OU (unité organisationnelle) est récente ou que les utilisateurs viennent d’être déplacés vers un nouveau groupe.
4. Vérifiez que vos politiques de sauvegarde s’appliquent de manière cohérente à tous les utilisateurs, groupes et unités organisationnelles.

Méthode 3 : examiner les politiques de conservation de Vault

1. Ouvrez Google Vault.
2. Allez dans Conservation.
3. Vérifiez que les règles de conservation pour Gmail, Drive, Chat et Meet s’appliquent de manière cohérente à toutes vos unités organisationnelles.
4. Si les règles ne sont pas appliquées de façon cohérente, documentez les lacunes.
5. Reprenez votre documentation et modifiez chaque paramètre afin que les règles s’appliquent uniformément à l’ensemble de vos unités organisationnelles.

Surtout, gardez à l’esprit que Google Vault aide à conserver les données à des fins de conformité et de mise en suspens juridique, mais qu’il ne remplace pas une sauvegarde SaaS tierce. Vault ne garantit pas :

• les restaurations à un instant précis,
• la récupération granulaire,
• la protection contre les erreurs de configuration des administrateurs.

Méthode 4 : utiliser l’API Directory du SDK Admin pour détecter les comptes non couverts

Vous pouvez également utiliser Windows PowerShell pour exécuter une requête sur l’API Directory du SDK afin de repérer les lacunes de couverture. (N’oubliez pas que les jetons doivent être générés avec OAuth 2.0 ou des comptes de service disposant d’une délégation à l’échelle du domaine.)

Voici un exemple de script que vous pouvez utiliser :

# Example PowerShell snippet using Google Admin SDK Directory API $uri = "https://admin.googleapis.com/admin/directory/v1/users?customer=my_customer&maxResults=500" $headers = @{ Authorization = "Bearer $AccessToken" } $response = Invoke-RestMethod -Uri $uri -Headers $headers $response.users | Select-Object primaryEmail, suspended, orgUnitPath

« Bearer $AccessToken » doit être remplacé par un jeton d’API valide.

Ce script vous permet de vous connecter à Google Workspace via l’API du SDK Admin et affiche :

• une liste de 500 utilisateurs avec leurs adresses e-mail,
• s’ils sont suspendus ou non,
• les unités organisationnelles auxquelles ils appartiennent.

Exportez les données au format CSV et comparez-les à celles de vos outils de sauvegarde. Signalez tout compte manquant ou divergent afin de repérer les utilisateurs non couverts.

Méthode 5 : utiliser l’API Reports pour repérer les risques de suppression

Des suppressions fréquentes et des actions « Vider la corbeille » peuvent compromettre la capacité de récupération. L’API Reports vous permet de repérer ce type d’actions grâce à ce script :

# === CONFIGURATION === $AccessToken = "<YOUR_ACCESS_TOKEN>" # Paste your OAuth token here $Application = "admin" # 'admin' = Admin Console events $EventName = "DELETE_USER" # Type of deletion event $StartTime = (Get-Date).AddDays(-30).ToString("yyyy-MM-ddTHH:mm:ssZ") # Last 30 days $OutputCsv = "C:\Reports\UserDeletions.csv"# === INITIALIZE === $uri = "https://admin.googleapis.com/admin/reports/v1/activity/users/all/applications/$Application?eventName=$EventName&startTime=$StartTime" $headers = @{ Authorization = "Bearer $AccessToken" }$allEvents = @() $pageToken = $nullWrite-Host "Fetching deletion events from Reports API..."do { $fullUri = if ($pageToken) { "$uri&pageToken=$pageToken" } else { $uri } try { $response = Invoke-RestMethod -Uri $fullUri -Headers $headers -Method Get } catch { Write-Error "API call failed: $_" break }if ($response.items) { foreach ($item in $response.items) { $eventDetails = [PSCustomObject]@{ EventId = $item.id.uniqueQualifier Time = $item.id.time ActorEmail = $item.actor.email ActorType = $item.actor.type EventName = $item.events[0].name TargetUser = ($item.events[0].parameters | Where-Object { $_.name -eq "USER_EMAIL" }).value } $allEvents += $eventDetails } }$pageToken = $response.nextPageToken } while ($pageToken) # === EXPORT === if ($allEvents.Count -gt 0) { $allEvents | Export-Csv -Path $OutputCsv -NoTypeInformation -Encoding UTF8 Write-Host "Export complete. $($allEvents.Count) deletion events saved to $OutputCsv" } else { Write-Host "No deletion events found." }

Vous obtiendrez ainsi tous les événements de suppression survenus dans votre environnement Google Workspace. Documentez les tendances observées et assurez-vous que les règles Vault ou votre couverture de sauvegarde tiennent compte de ces situations.

Méthode 6 : documenter les constats et créer un registre des lacunes

Dès qu’une lacune est identifiée, vous devez :

• consigner le service ou la charge de travail, l’utilisateur ou l’OU (unité organisationnelle) concerné, le problème à traiter et les mesures correctives ;
• désigner les personnes chargées de la résolution et leur fixer une échéance ;
• conserver le registre dans un document partagé pour la gouvernance et les rapports trimestriels d’activité.

Tableau récapitulatif des bonnes pratiques de couverture de sauvegarde Google Workspace

Élément	Bénéfice apporté
Export de la liste des utilisateurs vs liste de sauvegarde	Permet de détecter les comptes non protégés et d’y remédier.
Revue des politiques d’OU (unité organisationnelle) et de groupe	Évite les erreurs de configuration et garantit que chaque unité organisationnelle et chaque groupe est couvert.
Vérification de la conservation dans Vault	Garantit que les règles Google Vault sont alignées sur celles de votre entreprise.
Requêtes sur l’API Directory	Détecte automatiquement les lacunes dans votre environnement Google Workspace.
Audit via l’API Reports	Identifie les tendances de suppression à risque et vous donne l’occasion d’y remédier.
Registre des lacunes	Assure le suivi de la remédiation et favorise la responsabilisation.

Exemple de workflow de détection quotidienne des lacunes

1. Déployez un script qui récupère la liste des utilisateurs via l’API Directory du SDK Admin.
2. Comparez cette liste à celle de votre sauvegarde SaaS.
3. Exportez les écarts dans un fichier CSV.
4. Déclenchez la création de tickets dans votre logiciel PSA pour les comptes non couverts.
5. Archivez les résultats chaque semaine pour les audits.

L’intégration NinjaOne pour gérer la couverture de sauvegarde

Les outils NinjaOne vous aident à :

• exécuter des scripts planifiés pour interroger les API Directory ou Reports,
• générer automatiquement des tickets pour les comptes non couverts,
• stocker les registres de lacunes dans NinjaOne Docs pour une transparence totale vis-à-vis des clients,
• intégrer la conformité de la couverture aux tableaux de bord des rapports trimestriels d’activité,
• automatiser les rappels pour les audits de couverture trimestriels.

En particulier, NinjaOne Backup, qui inclut désormais des fonctionnalités de sauvegarde SaaS pour Google Workspace et Microsoft 365, offre aux équipes une visibilité centralisée sur les éventuelles lacunes de couverture de sauvegarde grâce à des alertes proactives et à une vue de gestion unifiée.

Inscrivez-vous à un essai gratuit du logiciel ou regardez une démo gratuite dès aujourd’hui.

Protégez les comptes utilisateurs grâce à une gouvernance SaaS rigoureuse

En définitive, il est essentiel de détecter les lacunes de couverture de sauvegarde dans l’environnement Google Workspace de votre entreprise afin d’être certain que tous les comptes et services que vous utilisez sont protégés. Pour ce type d’opération, vous pouvez vous appuyer sur :

• les exports de la console d’administration Google,
• les vérifications de conservation dans Vault,
• les API du SDK Admin

afin de mettre au jour méthodiquement les angles morts et de documenter les résultats pour vos clients.

Liens connexes :

• Comment sauvegarder l’agenda Google Workspace
• Comment sauvegarder Gmail dans Google Workspace
• Comment sauvegarder Google Drive dans Google Workspace
• Comment sauvegarder les contacts Google Workspace