Een medewerker koppelt een handige tool aan zijn Workspace-account, geeft toestemming voor toegang tot Gmail en Drive, en klaar. Maar die tool houdt die toegang, ook als niemand er nog naar omkijkt. Vermenigvuldig dat met honderden gebruikers en je hebt een onzichtbaar toegangsnetwerk. OAuth-app-beheer geeft je daar grip op.
Hoe OAuth-toegang werkt
Wanneer een gebruiker een externe app koppelt, vraagt die app via OAuth toestemming voor bepaalde scopes: lezen van mail, beheren van Drive-bestanden, versturen namens de gebruiker. De gebruiker geeft toestemming en de app krijgt een token waarmee het herhaaldelijk toegang heeft, zonder steeds opnieuw in te loggen.
Dat is handig, maar ook een risico. Een gecompromitteerde of kwaadaardige app met brede scopes kan veel data benaderen. En tokens blijven geldig tot ze worden ingetrokken.
Scopes bepalen de impact
De gevoeligheid van een OAuth-koppeling zit in de scopes. Toegang tot alleen de basisprofielgegevens is laag risico; volledige lees- en schrijftoegang tot Gmail en Drive is hoog risico. Beoordeel apps op de scopes die ze vragen, niet alleen op de naam.
App access control
Met app access control bepaal je centraal wat externe apps mogen. Je vindt dit in de Admin Console onder Security, Access and data control, API controls, App access control (klik op Manage Third-Party App Access). Per app of per dienst stel je het toegangsniveau in:
- Trusted: de app krijgt toegang tot alle Google Workspace-diensten en scopes, ook beperkte.
- Specific Google data: de app krijgt alleen toegang tot de scopes die jij expliciet opgeeft.
- Limited: de app krijgt alleen toegang tot niet-beperkte diensten.
- Blocked: de app krijgt geen enkele toegang tot Google-data.
Apps die je niet hebt ingesteld, worden standaard geblokkeerd. Vraagt een gebruiker toegang tot zo'n app, dan komt het verzoek in een lijst die jij kunt goedkeuren, blokkeren of negeren.
Werk met een allowlist
Hanteer voor gevoelige scopes een allowlist-aanpak: blokkeer standaard alle apps en sta alleen expliciet goedgekeurde toe. Dat is veiliger dan reageren op risico's nadat apps al toegang hebben gekregen.
Verleende toegang controleren
In de Admin Console zie je een overzicht van apps die toegang hebben en hoeveel gebruikers ze koppelden. Loop dit periodiek na. Apps met brede scopes en weinig gebruikers, of apps die je niet herkent, verdienen extra aandacht.
Ongewenste OAuth-toegang intrekken
- Ga naar Security, Access and data control, API controls.
- Open het overzicht van apps met toegang en bekijk de gevraagde scopes.
- Identificeer apps die je niet herkent of die te brede toegang hebben.
- Stel de app onder App access control op Blocked.
- Trek bestaande tokens in zodat de huidige toegang direct vervalt.
- Informeer betrokken gebruikers en bied indien nodig een goedgekeurd alternatief.
Toegang intrekken
Een app blokkeren voorkomt nieuwe koppelingen, maar bestaande tokens moet je actief intrekken om lopende toegang te stoppen. Doe beide bij een verdachte of ongewenste app. Bij een vermoeden van misbruik trek je de toegang direct in en onderzoek je wat de app heeft benaderd, bijvoorbeeld via het securityonderzoekvenster en de logboeken.
Blokkeer niet blind
Het blokkeren van een veelgebruikte app kan workflows verstoren als gebruikers erop leunen. Communiceer voor je een breed gebruikte app blokkeert, en bied waar mogelijk een goedgekeurd alternatief, anders zoeken gebruikers riskante omwegen.
Beleid en bewustwording
Stel een beleid op voor welke apps gebruikers mogen koppelen en maak duidelijk hoe ze een nieuwe app laten goedkeuren. Combineer techniek met bewustwording: gebruikers die begrijpen waarom je apps controleert, koppelen bewuster en melden eerder iets verdachts.
Wat is een OAuth-scope?
Een scope is het specifieke recht dat een app vraagt, bijvoorbeeld mail lezen of Drive-bestanden beheren. De scopes bepalen hoeveel toegang en dus hoeveel risico een koppeling met zich meebrengt.
Stopt een app blokkeren de bestaande toegang?
Niet automatisch. Blokkeren voorkomt nieuwe koppelingen, maar bestaande tokens moet je apart intrekken om lopende toegang direct te stoppen.
Hoe weet ik welke apps toegang hebben?
In de Admin Console onder Security, Access and data control, API controls staat een overzicht van gekoppelde apps, de gevraagde scopes en het aantal gebruikers. Loop dit periodiek na.
Wat is een allowlist-aanpak?
Je blokkeert standaard alle apps voor gevoelige scopes en staat alleen expliciet goedgekeurde apps toe. Dat is veiliger dan achteraf reageren op apps die al toegang hebben.
Welke toegangsniveaus zijn er per app?
Trusted geeft toegang tot alle diensten, Specific Google data tot alleen de scopes die je opgeeft, Limited alleen tot niet-beperkte diensten, en Blocked tot niets.
Welke rechten heb ik nodig om dit in te stellen?
Je hebt de beheerdersrechten voor service-instellingen nodig. Vraag je organisatiebeheerder om deze rol als je de API controls niet ziet.