Google Workspace Admin

核心用法

Google Workspace Admin 技能通过 Maton 网关代理原生 Admin SDK API，提供完整的目录管理能力。开发者使用标准 HTTP 方法（GET/POST/PUT/PATCH/DELETE）操作用户、群组、组织单位、角色和域设置，所有请求通过 Authorization: Bearer 头携带 Maton API 密钥认证。

连接管理采用托管 OAuth 模式：在 ctrl.maton.ai 创建连接后，用户通过浏览器完成 Google 授权，后续 API 调用自动注入令牌。支持多连接场景，可通过 Maton-Connection 头指定特定连接。

显著优点

1. 原生 API 完整覆盖：直接透传 Admin SDK Directory API，支持用户生命周期管理、群组权限控制、OU 层级结构、角色分配等企业级功能
2. 托管 OAuth 简化运维：无需自行维护刷新令牌、处理 token 过期或密钥轮换，Maton 自动管理凭证安全
3. 多连接灵活切换：支持同一 Maton 账户绑定多个 Google Workspace 组织，通过 header 动态指定目标环境
4. 标准化错误透传：Google 原生的 403 权限不足、404 资源不存在、429 速率限制等状态码直接返回，便于调试

潜在局限

• 速率限制：明确标注 10 req/sec 每账户，大规模批量操作需自行实现重试和分页逻辑
• 依赖第三方网关：所有流量经过 gateway.maton.ai，存在单点故障和网络延迟风险
• 权限前置要求：调用者 Google 账户必须具备 Workspace 管理员权限，否则 403 错误
• 无内置批处理：原生 API 为单资源操作，批量创建/更新用户需自行循环调用

适合人群

• 需要自动化用户入职/离职流程的 IT 管理员
• 构建内部身份管理工具的开发团队
• 多租户 SaaS 产品集成 Google Workspace 目录同步的场景

常规风险

• 权限过度授予：OAuth 授权范围若包含敏感操作，泄露的 API 密钥可能导致域级数据泄露
• 误操作不可逆：DELETE 用户或修改组织单位结构无软删除机制，建议生产环境操作前验证连接和参数
• 密码策略合规：创建用户时的临时密码必须符合 Google 复杂度要求，否则调用失败

核心用法

该 Skill 提供 Google Workspace Admin SDK 的托管式 OAuth 集成能力，通过 Maton API 网关代理访问 Google 官方管理接口。管理员可通过标准化 REST API 完成域名内的用户生命周期管理、群组权限控制、组织单元划分及角色分配等核心运维操作。

关键特性：

• 托管 OAuth 2.0 认证，无需自建令牌刷新机制
• 完整覆盖 Directory API：用户/群组/成员/组织单元/域名/角色六大资源类型
• 支持多连接管理，可切换不同 Google Workspace 域

显著优点

| 维度 | 优势 |

|------|------|

| **安全架构** | T2 可信组织背书，S+ 顶级安全评级，全链路 HTTPS/TLS 1.2+ |

| **运维效率** | 纯文档技能零依赖，REST 接口即调即用，支持批量分页查询 |

| **权限粒度** | 细到组织单元级别的用户分层管理，支持 OWNER/MANAGER/MEMBER 三级群组角色 |

| **合规保障** | 通过 GDPR/CCPA 隐私合规检查，不静默收集敏感数据 |

潜在局限

• 权限门槛：调用方 Google 账号必须具备 Workspace 管理员权限，否则返回 403
• 速率限制：每账号 10 req/sec，大规模用户同步需实现指数退避
• 网关依赖：核心功能绑定 Maton 服务可用性，存在单一供应商风险
• 功能边界：仅封装 Directory API，不涉及 Gmail/Calendar/Drive 等垂直产品管理

适合人群

• 企业 IT 管理员：批量入职/离职账号开通、组织架构调整
• SaaS 厂商：基于 Google Workspace 构建多租户身份联邦
• DevOps 工程师：将账号管理纳入 Infrastructure as Code 流水线

常规风险

| 风险场景 | 等级 | 缓解措施 |

|----------|------|----------|

| API Key 泄露 | 高 | 始终使用环境变量 `MATON_API_KEY`，禁止硬编码 |

| 误删生产用户 | 中 | 操作前执行 `GET` 确认，关键操作开启审计日志 |

| OAuth 令牌过期 | 低 | Maton 自动刷新，关注 `connection.status` 异常告警 |

| 权限过度授予 | 中 | 遵循最小权限原则，按需分配 `isAdmin` 或自定义角色 |

使用建议

1. 连接管理：首次使用需在浏览器完成 ctrl.maton.ai OAuth 授权，多域场景通过 Maton-Connection 头部显式指定连接 ID
2. 分页处理：用户列表默认 100 条/页，生产环境务必处理 nextPageToken
3. 密码策略：创建用户时密码需满足 Google 复杂度要求，建议强制 changePasswordAtNextLogin: true
4. 监控告警：关注 429 限流响应，结合指数退避实现容错重试

> 认证状态：CLS-Certify v2.1.0 全面扫描，静态/动态/依赖/网络/隐私/威胁六维全满分，0 安全发现。