Glosario
Delegación de todo el dominio
Ajuste de Google Workspace que permite a una cuenta de servicio o cliente de API actuar como cualquier usuario del dominio, sin su consentimiento.
La delegación de todo el dominio (DWD, domain-wide delegation) permite que una cuenta de servicio o un cliente de API suplante a cualquier usuario de un dominio de Google Workspace, para los scopes OAuth que un superadministrador indique en Security → API controls → Manage Domain Wide Delegation. No interviene el consentimiento del usuario.
Hace funcionar herramientas de copia de seguridad, migración y administración, y es una persistencia muy valiosa para un atacante. Las delegaciones nuevas se registran en el registro de Admin como AUTHORIZE_API_CLIENT_ACCESS. La investigación DeleFriend de 2023 mostró que el permiso de Google Cloud para crear claves de una cuenta de servicio delegada basta para reutilizar su delegación.
Véase: riesgos de la delegación de todo el dominio y la documentación de Google.