Admin SDK Users via Apps Script

Admin SDK inschakelen

De Admin SDK is een Advanced Service die je handmatig moet activeren in je Apps Script project. Open je script via Extensies > Apps Script, klik in het linkermenu op Services (de plusknop) en schakel de "Admin SDK API" in. De service wordt dan beschikbaar als het globale object AdminDirectory.

function controleerActivering() {
  try {
    AdminDirectory.Users.list({ domain: 'bedrijf.nl', maxResults: 1 });
    Logger.log('Admin SDK actief');
  } catch (e) {
    Logger.log('Activeer Admin SDK in Services: ' + e.message);
  }
}

Het script moet worden uitgevoerd door een gebruiker met superbeheerdersrechten, of door een beheerdersrol met de rechten voor gebruikersbeheer. Voor onbeheerde achtergrondtaken zonder ingelogde beheerder gebruik je een serviceaccount met domeinbrede delegatie.

Gebruikers opvragen

function haalGebruikersOp() {
  const opties = {
    domain: 'bedrijf.nl',
    maxResults: 200,
    orderBy: 'familyName',
    projection: 'full',
  };

  let pageToken;
  const alleGebruikers = [];

  do {
    if (pageToken) opties.pageToken = pageToken;
    const resultaat = AdminDirectory.Users.list(opties);

    if (resultaat.users) {
      alleGebruikers.push(...resultaat.users);
    }
    pageToken = resultaat.nextPageToken;
  } while (pageToken);

  Logger.log(`Totaal gebruikers: ${alleGebruikers.length}`);
  return alleGebruikers;
}

Gebruikers aanmaken

Een nieuw account vereist een wachtwoord van 8 tot 100 tekens. De Directory API accepteert ofwel platte tekst, ofwel een hash met het bijbehorende hashFunction-veld. Als je een hash meestuurt, moet die hexadecimaal (base16) gecodeerd zijn, niet base64. Voor de meeste scripts is platte tekst in combinatie met changePasswordAtNextLogin eenvoudiger en minder foutgevoelig.

function maakGebruikerAan() {
  const nieuweGebruiker = {
    primaryEmail: 'jan.smit@bedrijf.nl',
    name: {
      givenName: 'Jan',
      familyName: 'Smit',
    },
    password: Utilities.getUuid(),
    changePasswordAtNextLogin: true,
    orgUnitPath: '/Medewerkers/Sales',
  };

  const aangemaakt = AdminDirectory.Users.insert(nieuweGebruiker);
  Logger.log(`Aangemaakt: ${aangemaakt.primaryEmail} (ID: ${aangemaakt.id})`);
}

Utilities.getUuid() levert een willekeurig, lang wachtwoord dat de gebruiker bij de eerste login meteen vervangt. Wil je toch een hash sturen, gebruik dan een hexadecimale codering, bijvoorbeeld een SHA-1-hash via Utilities.computeDigest(...) die je zelf naar hex omzet, met hashFunction: 'SHA-1'.

Gebruikers bijwerken

function bijwerkenGebruiker() {
  const email = 'jan.smit@bedrijf.nl';

  AdminDirectory.Users.update({
    name: {
      givenName: 'Johannes',
      familyName: 'de Smit',
    },
    orgUnitPath: '/Medewerkers/Management',
  }, email);
}

update werkt als een gedeeltelijke wijziging: alleen de velden die je meestuurt veranderen, de rest blijft staan. Wil je een account opschorten of weer activeren, dan zet je los het veld suspended:

function schortOp(email) {
  AdminDirectory.Users.update({ suspended: true }, email);
}

function activeer(email) {
  AdminDirectory.Users.update({ suspended: false }, email);
}

Wachtwoord resetten

function resetWachtwoord(email) {
  const nieuwWachtwoord = Utilities.getUuid();

  AdminDirectory.Users.update({
    password: nieuwWachtwoord,
    changePasswordAtNextLogin: true,
  }, email);

  Logger.log(`Wachtwoord gereset voor ${email}, gebruiker moet bij eerste login wijzigen`);
}

Deel het nieuwe wachtwoord niet in platte tekst per e-mail. Beter is een veilig kanaal of een proces waarbij de beheerder de gebruiker mondeling of via een wachtwoordkluis informeert.

Aliassen beheren

function beheerAliassen() {
  const email = 'jan.smit@bedrijf.nl';

  AdminDirectory.Users.Aliases.insert({
    alias: 'j.smit@bedrijf.nl',
  }, email);

  const aliassen = AdminDirectory.Users.Aliases.list(email);
  if (aliassen.aliases) {
    aliassen.aliases.forEach(a => Logger.log(a.alias));
  }

  AdminDirectory.Users.Aliases.remove(email, 'oud.alias@bedrijf.nl');
}

Bulk gebruikersbeheer vanuit een spreadsheet

Een veelvoorkomende workflow is het aanmaken van veel accounts vanuit een sheet met kolommen als Voornaam, Achternaam, E-mail, Organisatie-eenheid en Status. De kolom Status voorkomt dubbel aanmaken bij een herstart.

function bulkAanmaakVanuitSheet() {
  const blad = SpreadsheetApp.getActiveSpreadsheet().getSheetByName('Nieuwe gebruikers');
  const data = blad.getDataRange().getValues();
  const headers = data[0];

  const voornaamIdx = headers.indexOf('Voornaam');
  const achternaamIdx = headers.indexOf('Achternaam');
  const emailIdx = headers.indexOf('E-mail');
  const ouIdx = headers.indexOf('Organisatie-eenheid');
  const statusIdx = headers.indexOf('Status');

  for (let i = 1; i < data.length; i++) {
    if (data[i][statusIdx] === 'Aangemaakt') continue;

    try {
      AdminDirectory.Users.insert({
        primaryEmail: data[i][emailIdx],
        name: {
          givenName: data[i][voornaamIdx],
          familyName: data[i][achternaamIdx],
        },
        password: Utilities.getUuid(),
        changePasswordAtNextLogin: true,
        orgUnitPath: data[i][ouIdx] || '/Medewerkers',
      });

      blad.getRange(i + 1, statusIdx + 1).setValue('Aangemaakt');
      Utilities.sleep(150);
    } catch (e) {
      blad.getRange(i + 1, statusIdx + 1).setValue('Fout: ' + e.message);
    }
  }
}

De Utilities.sleep(150) houdt je onder de snelheidslimiet van de Admin SDK en voorkomt rateLimitExceeded-fouten bij grote batches. Geef elke gebruiker een uniek, willekeurig startwachtwoord in plaats van één gedeeld wachtwoord voor de hele lijst.

Houd er rekening mee dat een verwijderde gebruiker in Workspace nog 20 dagen herstelbaar is. Daarna is het account en de bijbehorende data definitief weg, dus plan permanente verwijdering bewust en niet te snel.

De Admin SDK Users service is het fundament van geautomatiseerd gebruikersbeheer in Google Workspace. Combineer het met de Groups service voor volledig lifecyclebeheer van medewerkers, van onboarding tot offboarding.