Modèle d’accès et libre-service

La sauvegarde Afi pour Google Workspace fournit un modèle de rôles flexible et granulaire qui vous permet de :

• déléguer l’administration des sauvegardes à un groupe d’utilisateurs de confiance (appelés Backup Operators) ;
• désigner des administrateurs dotés d’un périmètre d’accès limité afin qu’ils gèrent et consultent certains groupes de ressources ;
• activer un accès limité en libre-service pour les utilisateurs du locataire Google Workspace.

Grâce à la granularité du modèle de rôles, l’administrateur peut n’accorder que les autorisations adaptées à ses exigences de sécurité et à ses besoins métier. Le groupe Backup Operators peut par exemple être configuré pour surveiller la progression et l’état des sauvegardes, et effectuer des opérations de restauration à la demande d’un utilisateur, sans toutefois pouvoir exporter les données sauvegardées. Pour des raisons de sécurité, le libre-service est désactivé par défaut et les administrateurs doivent l’activer explicitement si nécessaire.

Modèle d’accès Afi

Afi adopte un modèle d’organisation et d’accès multilocataire qui vous permet d’ajouter et de gérer plusieurs locataires (par exemple, Google Workspace et Microsoft 365) dans un même compte (organisation) Afi. Le modèle d’accès Afi exige que les autorisations soient accordées explicitement et permet de configurer précisément l’accès à tous les niveaux : organisation entière, locataires précis, groupes de ressources ou ressources sélectionnées d’un locataire, conformément au principe du moindre privilège.

Les paramètres d’accès de l’organisation sont gérés dans l’onglet Configuration → Admins et accordent l’accès à toute l’organisation Afi et à tous ses locataires. Les paramètres d’accès par locataire sont gérés dans l’onglet Service → Settings → Access groups.

Par défaut, le compte d’une organisation Afi est créé avec un seul administrateur : l’utilisateur qui a configuré le compte. Les administrateurs d’organisation peuvent être ajoutés ou supprimés dans l’onglet Configuration → Admins (voir le groupe Organization Administrators) et disposent d’un accès complet à l’organisation et à tous ses locataires. Les paramètres d’accès de l’organisation sont décrits dans cet article. La suite porte sur les paramètres d’accès des locataires Google Workspace.

Groupe Administrators

Les Administrators du locataire disposent d’un accès complet au locataire. Toutefois, même dans une organisation Afi ne comportant qu’un seul locataire, ils ne peuvent pas accéder aux paramètres au niveau de l’organisation, tels que les licences, la gestion des accès de l’organisation ou le journal d’audit Afi de l’organisation.

Information

L’accès des administrateurs de l’organisation et du locataire aux données de sauvegarde peut être entièrement restreint en désactivant l’autorisation de navigation dans les données du locataire, ou partiellement en limitant l’aperçu du contenu des e-mails et des conversations et/ou le téléchargement des données.

Groupe Backup Operators

Le groupe Backup Operators est un groupe d’accès par défaut de chaque locataire Afi. Il permet d’accorder, à l’échelle du locataire, des autorisations limitées de gestion des sauvegardes, d’accès aux données, de restauration et d’exportation. La capture d’écran ci-dessous présente le groupe Backup Operators avec un seul membre qui peut gérer les sauvegardes et les stratégies SLA de sauvegarde, parcourir les données sauvegardées et exécuter des restaurations sur place.

Groupes d’accès personnalisés

Les groupes d’accès personnalisés permettent de créer plusieurs groupes d’administrateurs dotés d’autorisations limitées pour un locataire et d’accorder un accès granulaire aux ressources appartenant à une unité organisationnelle ou à un groupe Google donné, ou à un ensemble de ressources sélectionné manuellement. Les membres du groupe d’accès (les utilisateurs auxquels il accorde l’accès) peuvent être configurés manuellement en sélectionnant des utilisateurs du locataire ou être synchronisés depuis un groupe Google du locataire. Vous pouvez également définir une durée de vie limitée pour les groupes d’accès personnalisés ; par défaut, elle est illimitée.

Pour configurer un groupe d’accès personnalisé, procédez comme suit :

1. Accédez à l’onglet Service → Settings → Access groups.
2. Cliquez sur + Group pour ajouter un groupe ou sélectionnez un groupe existant afin d’en modifier les paramètres.
3. Dans la boîte de dialogue qui s’affiche, choisissez le périmètre d’accès (c’est-à-dire les ressources auxquelles les membres du groupe peuvent accéder). Les périmètres suivants sont disponibles :
   • All resources : accorde l’accès à toutes les ressources et aux paramètres correspondants du locataire.
   • Organizational Units & Groups : accorde l’accès aux ressources des unités organisationnelles et groupes Google sélectionnés.
   • Dynamic groups : accorde l’accès aux ressources des groupes de ressources dynamiques sélectionnés, qui sont constitués selon les critères configurés (par exemple, nom ou adresse e-mail).
   • Self-service : accorde un accès en libre-service à leurs propres sauvegardes aux utilisateurs sélectionnés ou aux membres du groupe Google sélectionné.
   • Custom : accorde uniquement l’accès aux ressources que vous sélectionnez.
4. Choisissez les membres du groupe qui doivent accéder aux ressources du périmètre sélectionné.
5. Configurez les autorisations à accorder à ces membres pour les ressources concernées.

Groupes d’accès à durée limitée

Dans certains cas, il est utile de configurer un groupe d’accès à durée de vie limitée afin de n’accorder l’accès que pendant une période donnée. Vous pouvez par exemple accorder un accès temporaire à un ensemble de ressources au cours d’une enquête interne ou d’un audit. La durée de vie d’un groupe d’accès peut être modifiée à l’aide du paramètre Expiration date, au bas de la boîte de dialogue de configuration.

Synchroniser les membres d’un groupe d’accès depuis un groupe Google

Les membres d’un groupe d’accès peuvent être synchronisés depuis un groupe Google. Les autorisations peuvent ainsi être gérées de façon centralisée dans Google Workspace, les modifications étant propagées vers Afi. Pour créer un groupe d’accès et accorder l’accès aux membres d’un groupe Google, sélectionnez l’option Google Group dans le menu déroulant de la section Group members, puis indiquez le nom du groupe. Une fois le groupe d’accès créé, vous devez déclencher la synchronisation de ses membres avec Google Workspace afin qu’Afi les découvre (sinon, ils seront ajoutés lors de la synchronisation périodique effectuée par le service toutes les 24 heures) :

Une fois les membres synchronisés depuis Google Workspace, ils apparaissent dans la section Group members. Les changements d’appartenance aux groupes sont propagés vers Afi toutes les 24 heures lors des synchronisations périodiques avec Google Workspace.

Accès en libre-service

Afi permet aux administrateurs de l’organisation ou du locataire d’activer le libre-service pour les utilisateurs finaux du locataire. Ceux-ci peuvent alors accéder à leurs propres sauvegardes dans le portail Afi et effectuer eux-mêmes les exportations ou les restaurations, sans faire appel aux administrateurs. Les utilisateurs du libre-service peuvent accéder au portail Afi via Google SSO avec leur compte utilisateur du locataire Google Workspace. Les actions qu’ils effectuent, notamment l’accès aux données de sauvegarde, les requêtes de recherche et les tâches d’exportation ou de restauration, sont consignées dans le journal d’audit de la même façon que celles des administrateurs et des opérateurs de groupes d’accès.

L’accès en libre-service peut également être étendu aux Drive partagés gérés par un utilisateur (ceux pour lesquels il dispose de l’accès Gestionnaire (Manager) dans Google Workspace).

Information

L’accès en libre-service est désactivé par défaut pour les locataires Afi.

Configurer l’accès en libre-service pour certains utilisateurs et groupes

Vous pouvez limiter l’accès en libre-service à certains utilisateurs ou groupes d’utilisateurs du locataire Google Workspace en créant un groupe d’accès personnalisé au libre-service. Pour ce faire, sélectionnez l’option Self Service dans la section Access scope de la boîte de dialogue de configuration du groupe d’accès, puis ajoutez dans la section Group members les utilisateurs ou groupes auxquels accorder l’accès en libre-service.

Information

Pour accorder l’accès en libre-service aux utilisateurs de plusieurs groupes Google, créez un groupe d’accès pour chacun de ces groupes.

Lorsque vous accordez aux utilisateurs d’un groupe Google l’accès en libre-service à leurs propres sauvegardes, vous pouvez déclencher une synchronisation non planifiée des membres du groupe comme décrit dans la section ci-dessus.

Explication des autorisations

Explication des autorisations des groupes d’accès

Autorisation	Description
Manage access	Tout membre d’un groupe d’accès peut modifier les paramètres d’accès du locataire en créant des groupes d’accès ou en modifiant les paramètres et la composition des groupes existants.
Configure SLA	Tout membre d’un groupe d’accès peut créer, modifier ou supprimer des stratégies SLA de sauvegarde dans le locataire, depuis l’onglet Service → Settings → SLA.
Assign SLA and initiate backup	Un membre d’un groupe d’accès peut attribuer des stratégies SLA de sauvegarde aux ressources couvertes par le périmètre d’accès du groupe et configurer les paramètres de protection automatique.
Browse backup data	Un membre d’un groupe d’accès peut parcourir les données de toutes les sauvegardes couvertes par le périmètre du groupe. Sans autorisations supplémentaires, il ne peut toutefois ni exporter les données ni afficher un aperçu du contenu des e-mails et des conversations.
Preview email and chats content	Un membre d’un groupe d’accès peut afficher un aperçu du contenu des e-mails et des conversations de toutes les sauvegardes couvertes par le périmètre du groupe.
In-place recovery	Un membre d’un groupe d’accès peut déclencher une opération de restauration qui restaure tous les éléments sélectionnés (par exemple, des e-mails ou des fichiers) d’une sauvegarde vers la même ressource, aux emplacements qu’ils occupaient lors de la sauvegarde. Ce mode de restauration doit être utilisé avec prudence, car il remplace les fichiers qui ont été modifiés depuis la sauvegarde.
Recovery to another folder	Un membre d’un groupe d’accès peut restaurer les données de sauvegarde dans un dossier ou un emplacement distinct dans la ressource de destination. Il s’agit de l’option de restauration la plus sûre, car elle garantit qu’aucune donnée ne sera remplacée accidentellement.
Recovery to another resource	Un membre d’un groupe d’accès peut restaurer les données de sauvegarde vers une autre ressource. Cette option est activée avec l’une des options suivantes : Recovery to another folder (par défaut) ou In-place recovery.
Data export	Un membre d’un groupe d’accès peut télécharger les données de toutes les sauvegardes couvertes par le périmètre du groupe.

Explication des autorisations du libre-service

Autorisation	Description
Browse backup data	Tout utilisateur d’un locataire peut parcourir ses propres données de sauvegarde. Sans autorisations supplémentaires, il ne peut toutefois ni les exporter ni afficher un aperçu du contenu des e-mails et des conversations.
Preview email and chats content	Tout utilisateur d’un locataire peut afficher un aperçu du contenu des e-mails et des conversations dans ses propres sauvegardes.
Data export	Tout utilisateur d’un locataire peut télécharger les données de sa propre sauvegarde.
In-place recovery	Tout utilisateur d’un locataire peut restaurer ses propres données à leur emplacement d’origine (l’opération de restauration reconstruit la structure d’origine des dossiers). Ce mode de restauration doit être utilisé avec prudence, car il remplace les fichiers qui ont été modifiés depuis la sauvegarde.
Recovery to another folder	Tout utilisateur d’un locataire peut restaurer ses propres données depuis n’importe quel instantané de sauvegarde sélectionné (par exemple, celui datant d’un mois) vers un dossier distinct de son propre compte.
Recovery to another resource	Tout utilisateur d’un locataire peut restaurer ses propres données depuis n’importe quel instantané de sauvegarde sélectionné vers une autre ressource à laquelle il a accès dans Afi.