OAuth-integraties met apps van derden in uw Google Workspace zijn handig en nuttig, maar kunnen beveiligingsrisico’s opleveren als u ze niet controleert. Een regelmatige Google OAuth-machtigingsreview is essentieel om de gegevens van uw organisatie en uw klanten veilig en beschermd te houden.
Door regelmatig te controleren welke applicaties toegang hebben tot uw Google Workspace, voorkomt u ongeautoriseerde toegang tot gegevens en laterale bewegingen. Zo ontdekt u ook ongebruikte applicaties die nog steeds risicovolle machtigingen met een brede scope hebben en zorgt u ervoor dat uw organisatie voldoet aan beveiligingsprotocollen zoals HIPAA, SOC 2, ISO 27001 enzovoort.
Hebt u liever een visuele uitleg van dit onderwerp? Bekijk dan onze video: Zo controleert u OAuth-machtigingen van apps van derden in Google Workspace.
Ondersteun veilig toegangsbeheer in uw hele Google Workspace-omgeving.
Verschillende manieren om een audittrail van OAuth-tokens op te stellen
De efficiëntste manier om Google-tokens van apps van derden te controleren en te verwijderen is via de Google Beheerdersconsole. Beheerders kunnen de toegangsgegevens van apps ook exporteren met command line- en PowerShell-tools.
📌 Vereisten:
- U hebt een Google Workspace-beheerdersaccount of superbeheerdersaccount nodig.
- Toegang tot de Google Beheerdersconsole of de Google Workspace Admin SDK is vereist.
- PowerShell 7+ met ingeschakelde Google API’s is vereist, zeker als u gegevens exporteert.
- Optioneel: Google Cloud-project met OAuth-tokenreview ingeschakeld
- Optioneel: NinjaOne of andere RMM-tools om het app-gebruik per device en gebruiker te taggen, te monitoren en te rapporteren
📌 Aanbevolen implementatiestrategieën:
Klik om een methode te kiezen | 💻 Het beste voor individuele gebruikers | 💻💻💻 Het beste voor ondernemingen |
| Methode 1: OAuth-apps controleren via de Google Beheerdersconsole | ✓ | |
| Methode 2: toegangsgegevens van apps exporteren met de Google Workspace Reports API | ✓ | |
| Methode 3: risicovolle of inactieve apps opsporen en verwijderen | ✓ | |
| Methode 4: bevindingen over OAuth-apps taggen of vastleggen in het register (voor RMM-inzicht) | ✓ |
Methode 1: OAuth-apps controleren via de Google Beheerdersconsole
- Open uw browser.
- Ga naar admin.google.com.
- Ga naar deze locatie: Beveiliging > Toegangs- en gegevensbeheer > API-beheer > Toegangsbeheer voor apps.
- Bekijk de lijst met apps van derden die toegang hebben tot uw Google Workspace-gegevens.
- Bekijk de lijst met aangevraagde OAuth-scopes.
- Spoor de applicaties met gevoelige scopes op. Let hierop:
- Applicaties met volledige toegang tot Gmail (gmail.modify, gmail.compose)
- Applicaties met schrijf- of deelrechten in Drive
- Applicaties die API’s op beheerdersniveau gebruiken, zoals admin.directory.user.readonly
Methode 2: toegangsgegevens van apps exporteren met de Google Workspace Reports API
Optie 1: Google Apps Manager gebruiken
Google Apps Manager is een command line-tool waarmee u toegang krijgt tot Google Workspace-tools.
💡Let op: Google Apps Manager heeft toegang tot de API’s van Google nodig om te werken. Ga om dat te regelen naar uw Google Apps-beheerdersconsole > Beveiliging > API-referentie en klik op API-toegang inschakelen > Wijzigingen opslaan.
- Open het Startmenu en zoek naar Opdrachtprompt.
- Klik met de rechtermuisknop op Opdrachtprompt > Als administrator uitvoeren.
- Typ gam en druk op Enter. Hiermee start u Google Apps Manager. Gebruikt u de tool voor het eerst, dan helpt de Opdrachtprompt u bij het toekennen van de vereiste machtigingen en referenties.
- Typ gam report tokens en druk op Enter. Dit levert de volgende informatie op:
- Naam van de app
- Client-ID
- Gebruiker onder wie de app is geautoriseerd
- OAuth-scopes
- Tijdstempel van het laatste gebruik
- Wilt u de gegevens naar een CSV-bestand exporteren, typ dan gam report tokens > oauth_tokens.csv en druk op Enter.
Optie 2: Windows PowerShell met de Google API-client gebruiken
📌 Vereiste: de Google API .NET-clientbibliotheken moeten al in Windows PowerShell zijn geïnstalleerd.
- Open het Startmenu en zoek naar Windows PowerShell.
- Klik met de rechtermuisknop op Windows PowerShell > Als administrator uitvoeren.
- Dit is een voorbeeldscript dat u kunt uitvoeren:
Invoke-RestMethod -Uri @{Authorization = "Bearer <access_token>"} |
Vervang <access_token> door het toegangstoken van uw account.
Methode 3: risicovolle of inactieve apps opsporen en verwijderen
- Open uw browser.
- Ga naar admin.google.com.
- Ga naar deze locatie: Beveiliging > Toegangs- en gegevensbeheer > API-beheer > Toegangsbeheer voor apps.
- Klik op elke app van derden en bekijk het scopegebruik en welke gebruikers de applicatie hebben geautoriseerd.
- Blokkeer applicaties die niet voldoen aan het beveiligingsbeleid van uw organisatie. Klik om een applicatie te blokkeren op Toegang wijzigen > Toegang blokkeren.
Methode 4: bevindingen over OAuth-apps taggen of vastleggen in het register (voor RMM-inzicht)
U kunt de informatie uit uw machtigingsaudit vastleggen in het Windows-register en uw RMM-tool gebruiken om de gegevens te volgen, te verifiëren en bij te werken.
- Open het Startmenu en zoek naar Windows PowerShell.
- Klik met de rechtermuisknop op Windows PowerShell > Als administrator uitvoeren.
- Typ deze opdracht en druk op Enter:
New-Item -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -ForceSet-ItemProperty -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -Name "LastAuditDate" -Value (Get-Date).ToString("u")Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -Name "FlaggedApps" -Value "Dropbox, SlackBot" |
- Open om de informatie in de registersleutels te controleren de Opdrachtprompt met verhoogde machtigingen.
- Typ deze opdracht en druk op Enter:
reg query HKLM\SOFTWARE\Org\OAuthAudit
⚠️ Problemen oplossen en aandachtspunten
Problemen | Mogelijke gevolgen | Oplossingen |
| De applicatie verschijnt opnieuw nadat u de toegang hebt geblokkeerd. | De applicatie houdt toegang tot gegevens waartoe u die toegang niet wilt geven. | Gebruikers hebben mogelijk nog tokens in de cache. Trek deze tokens in via Google Beheerdersconsole > Beveiliging > Toegang van derden beheren. |
| Er ontbreken gegevens in Google Apps Manager. | U beschikt niet over nauwkeurige gegevens voor uw machtigingsaudit van apps van derden. | Controleer of de Reports API is ingeschakeld en of Google Apps Manager gedelegeerde beheerdersrechten heeft. |
| Er zijn geen OAuth-logboeken. | U kunt de audit van apps van derden niet uitvoeren. | Controleer of het bewaren van audittrails actief is in de Google Beheerdersconsole. De logboeken starten pas nadat u deze functie hebt geactiveerd. |
| U kunt de tokencache niet vinden. | U kunt de audit van apps van derden niet uitvoeren. | De tokencache wordt mogelijk opgeslagen in browsersessies of beheerd in de cloud. U kunt deze informatie verifiëren in de Reports API. |
Aanvullende aandachtspunten bij het opstellen van een audittrail van OAuth-tokens
- Veel OAuth-tokens van derden verlopen niet tenzij u ze intrekt. Wilt u niet langer dat een applicatie toegang heeft tot Google Workspace, dan moet u de machtigingen actief intrekken.
- OAuth-scopes kunnen na de authenticatie worden uitgebreid zonder dat u daarvan een melding krijgt. Voer daarom regelmatig audits uit zodat applicaties alleen de machtigingen hebben die het beveiligingsbeleid van uw organisatie toestaat.
- Eindgebruikers accepteren scopes en machtigingen soms zonder de risico’s te begrijpen. Door scopes en machtigingen regelmatig te controleren, voorkomt u beveiligingsincidenten.
- Apps met machtigingen op deviceniveau kunnen zich zonder melding opnieuw authenticeren. U moet ze op beheerdersniveau blokkeren.
Houd grip op app-toegang met geautomatiseerde monitoring en beheer.
NinjaOne-diensten voor het controleren van machtigingen van Google-apps van derden
NinjaOne ondersteunt IT-beheerders bij het controleren van de machtigingen van Google-apps van derden in Google Workspace door:
- Devices te taggen met OAuth-tokens of bijbehorende registersleutels
- Scripts uit te rollen die Google-tokenartefacten op uw endpoints opsporen
- Beheerders te waarschuwen wanneer er risicovolle applicaties worden aangetroffen in gebruikersprofielen of opslagplaatsen voor referenties
- Een registerscan uit te voeren en de applicatiefootprint van elk device en elke gebruiker te rapporteren
- Herstelacties te automatiseren, zoals het verwijderen van lokale applicatieclients of het wissen van opgeslagen tokens wanneer dat nodig is
Quick-start guide
NinjaOne beschikt wel degelijk over mogelijkheden om OAuth-app-machtigingen in Google Workspace te beheren. Dit zijn de belangrijkste details
1. Authenticatieproces:
- NinjaOne gebruikt de Dropsuite Google-app om zijn SaaS backup-product te autoriseren in Google Workspace.
Bij het instellen van een back-up moet u:
- Inloggen met beheerdersreferenties van Google Workspace
- De back-upapp installeren vanuit de Google Workspace Marketplace
- De benodigde machtigingen verlenen
2. Soorten machtigingen:
Het systeem deelt machtigingen in twee hoofdtypen in:
A. Gevoelige machtigingen:
- Toegang tot gebruikersgegevens zoals Agenda-afspraken en Drive-bestanden
- Alleen-lezen toegang tot directorygegevens
Voorbeelden:
- Gebruikersgegevens bekijken
- Domeingegevens bekijken
- Groepslidmaatschappen bekijken
- Toegang tot Agenda en Contacten
B. Beperkte machtigingen:
- Strengere toegang waarvoor extra verificatie nodig is
Bevat machtigingen voor:
- Google Drive (bestanden bekijken, bewerken, maken en verwijderen)
- Gmail (e-mails lezen, opstellen en verzenden)
3. Gebruikersbeheer:
- Gebruikers automatisch of handmatig toevoegen
- Mogelijkheid om specifieke gebruikers uit te sluiten van de back-up
- Machtigingen beheren via het back-upportaal
Bescherm de gegevens van uw organisatie met regelmatige audits van OAuth-machtigingen van derden
Het controleren van OAuth-machtigingen van derden in Google Workspace is een cruciaal onderdeel van een gezonde cloudbeveiliging. Zo weet u zeker dat geen enkele applicatie meer machtigingen heeft dan nodig en beschermt u de gegevens van uw organisatie en uw klanten tegen beveiligingsinbreuken.
Gerelateerde links:
