Glossar
Domainweite Delegierung
Einstellung in Google Workspace, mit der ein Dienstkonto oder API-Client ohne Einwilligung als jeder Nutzer der Domain handeln kann.
Mit domainweiter Delegierung (DWD, domain-wide delegation) kann ein Dienstkonto oder API-Client jeden Nutzer einer Google-Workspace-Domain imitieren, und zwar für die OAuth-Scopes, die ein Super-Admin unter Security → API controls → Manage Domain Wide Delegation einträgt. Eine Einwilligung der Nutzer gibt es dabei nicht.
Sie treibt Backup-, Migrations- und Admin-Werkzeuge an und ist für Angreifer eine sehr wertvolle Persistenz. Neue Delegierungen stehen im Admin-Log als AUTHORIZE_API_CLIENT_ACCESS. Die DeleFriend-Forschung von 2023 hat gezeigt, dass die Google-Cloud-Berechtigung, Schlüssel für ein delegiertes Dienstkonto zu erstellen, genügt, um dessen Delegierung zu nutzen.
Siehe: Sicherheitsrisiken der domainweiten Delegierung und die Dokumentation von Google.