Skip to content
Workspace Forensics

Cet outil n'est ni affilié à Google LLC, ni approuvé ni sponsorisé par Google LLC. Google Workspace, Gmail et Google Drive sont des marques de Google LLC. Les autres noms sont des marques de leurs propriétaires respectifs.

Glossaire

Délégation au niveau du domaine

Paramètre Google Workspace qui permet à un compte de service ou client API d'agir en tant que n'importe quel utilisateur, sans son consentement.

La délégation au niveau du domaine (DWD, domain-wide delegation) permet à un compte de service ou à un client API d'usurper n'importe quel utilisateur d'un domaine Google Workspace, pour les scopes OAuth qu'un super-administrateur liste sous Security → API controls → Manage Domain Wide Delegation. Aucun consentement de l'utilisateur n'intervient.

Elle fait fonctionner des outils de sauvegarde, de migration et d'administration, et c'est une persistance de grande valeur pour un attaquant. Les nouvelles délégations sont journalisées dans le journal Admin sous AUTHORIZE_API_CLIENT_ACCESS. La recherche DeleFriend de 2023 a montré que le droit, dans Google Cloud, de créer des clés pour un compte de service délégué suffit à réutiliser sa délégation.

Voir : les risques de la délégation au niveau du domaine et la documentation de Google.

Cet outil n'est ni affilié à Google LLC, ni approuvé ni sponsorisé par Google LLC. Google Workspace, Gmail et Google Drive sont des marques de Google LLC. Les autres noms sont des marques de leurs propriétaires respectifs.