Dawap relie Google Workspace au RH, à l’IAM, au CRM, à l’ERP, au support et aux applications métier. L’intégration distingue le domaine, l’identité, les groupes, les fichiers, les boîtes et les agendas : suspendre un compte ne transfère pas ses documents, ne retire pas ses délégations Gmail et ne réattribue pas ses événements. Chaque action conserve donc son autorité, son scope, son identifiant stable, son état relu et sa preuve de reprise.
Réponse immédiate
Dawap construit le middleware entre Google Workspace et vos outils RH, IAM, CRM, ERP ou applications métier. Le flux choisit entre OAuth utilisateur, partage direct, compte de service, rôle administrateur borné et délégation de domaine ; il conserve les IDs stables, suit les changements avec les mécanismes propres à Drive, Gmail et Calendar, puis rapproche l’état courant avant toute mutation ou reprise.
Dossier témoin · parcours illustratif
Un départ Workspace n’est pas une case à cocher. L’identité, les groupes, Drive, Gmail et Calendar produisent cinq preuves distinctes avant que RH, sécurité et métier puissent clore le dossier.
Fin d’accès prévue · 18:00 Europe/Paris
L’adresse n’est pas l’identité. L’ID stable relie la décision RH aux ressources, même après changement d’alias.
admin.directory.user.readonly
Une mutation demande une nouvelle décision.
Les ressources sans owner restent en quarantaine ; le compte n’est jamais réactivé par compensation automatique.
Premier lot recommandé
La première passe inventorie sans écrire. Le lot n’autorise les mutations qu’après avoir nommé les owners, exercé les échecs et défini la preuve attendue pour chaque API.
Quand le domaine paraît sous contrôle
Admin SDK, Drive, Gmail et Calendar ne partagent ni les mêmes objets, ni les mêmes permissions, ni le même mécanisme de synchronisation. Un workflow unique ne suffit pas à prouver que le départ, le transfert ou la reprise est terminé.
Groupes, alias, rôles, fichiers, délégations et événements doivent être inventoriés puis traités selon leurs propres owners. Réactiver automatiquement le compte n’est pas un rollback acceptable.
Le partage direct d’un document, un rôle administrateur borné, OAuth utilisateur et la délégation à l’échelle du domaine répondent à des besoins différents. Le choix le plus large n’est jamais le choix par défaut.
Drive signale qu’un changement est disponible, Gmail fournit un historyId et Calendar exige ses propres canaux et sync tokens. Le worker doit relire, paginer, réconcilier et rattraper les messages absents.
Contrats Google Workspace
Google Workspace rassemble plusieurs APIs. Le projet attribue les droits et la vérité au niveau de chaque ressource au lieu de traiter le domaine comme un bloc unique.
Le flux ne persiste pas seulement une adresse modifiable. Domaine, unité organisationnelle, utilisateur, alias et groupe conservent leur identité et leur relation.
OAuth utilisateur, partage direct, compte de service, rôle administrateur et délégation de domaine sont comparés ; chaque scope et chaque utilisateur impersonné sont bornés.
Création, mise à jour, suspension, alias, memberships et rôles produisent des verdicts distincts et conservent une validation pour les effets sensibles.
My Drive, Drive partagé, file ID, owners, permissions et changes feed sont rapprochés ; la notification déclenche la lecture du journal de changements.
Gmail conserve historyId et renouvelle watch via Pub/Sub ; Calendar persiste syncToken, canal, expiration et calendrier surveillé.
Notifications absentes, doublons, 410 Calendar, canaux expirés, quota et droits retirés alimentent une file attribuée, un état relu et un replay ciblé.
Méthode tenant-first
Dawap part d’un domaine et d’un dossier qui a déjà créé un doute. RH, sécurité, métier et support nomment la source, l’owner, le credential, le scope, l’identifiant, la sortie attendue et le mode dégradé pour chaque ressource. Le connecteur commence en lecture seule, exerce les cinq échecs et n’ouvre les mutations qu’après validation commune.
Utiliser le partage ou le rôle borné lorsqu’une délégation à l’échelle du domaine n’est pas justifiée.
Distinguer décision RH, identité Google, membership, propriété du fichier, délégation et organisation d’événement.
Conserver historyId, page tokens, sync tokens et scans périodiques pour détecter un signal absent.
Donner au support un reçu par ressource, une exception attribuée et une commande de replay bornée.
Premier lot Google Workspace
On part d’un compte de test ou d’un dossier rejouable : identité, groupes, fichiers Drive, délégations Gmail et événements Calendar. La première passe reste en lecture seule. Les mutations ne sont autorisées qu’après validation de la matrice, des exceptions et des owners métier.
Sorties attendues
Matrice domaine–unité–utilisateur–groupes–ressources avec ID stable, source, owner et décision autorisée.
Comparatif OAuth, partage direct, compte de service, rôle administrateur et délégation de domaine avec scopes minimaux.
Inventaire de départ : fichiers et Drives partagés, délégations de boîte, agendas, événements futurs, alias et groupes.
Cinq contre-tests : droit retiré, événement dupliqué, notification absente, token expiré et ressource sans nouvel owner.
Journal corrélé des lectures et mutations, état relu côté Google, exceptions en quarantaine et commande de reprise bornée.
Recette RH–sécurité–métier–support, alertes de renouvellement, rattrapage périodique, documentation et runbook.
Recette Google Workspace
Ces scénarios sont illustratifs et doivent être rejoués sur votre domaine, vos éditions, vos APIs activées et vos règles. Ils ne constituent pas des résultats clients ni une intégration Google Workspace déjà livrée.
Workspace, IAM ou application métier ?
L’accompagnement Google Workspace porte les flux propres à la suite. L’IAM garde la stratégie d’identité, l’univers documents le cycle documentaire transverse et l’application métier le parcours utilisateur final.
Cette offre cadre Admin SDK, Drive, Gmail, Calendar, credentials, synchronisations, preuves et run.
L’univers authentification possède le fournisseur d’identité, les sessions, le provisioning global, SCIM et la gouvernance des accès.
L’univers documents possède génération, signature, DAM, stockage, diffusion et archivage lorsque Google Drive n’est qu’un système parmi plusieurs.
Frontières de responsabilité
Google Workspace porte ses ressources. RH, IAM, CRM, ERP et applications métier gardent leurs décisions propres ; le middleware rend leur passage explicite.
Dawap a conçu un poste de pilotage métier pour administrer groupes, comptes, contacts, invitations, rôles, produits, versions, modules, pages et ressources. Activités, statistiques, appels API et suivis de flux prolongent l’administration jusque dans le run, avec des diagnostics reliés aux objets concernés.
Un utilisateur peut dépendre de plusieurs organisations, licences et fonctions. Dawap a transformé cette complexité en contexte actif : tableau de bord personnalisé, rôles clients, invitations, profil, MFA et services autorisés suivent toujours le compte et l’installation sélectionnés, sans mélanger les périmètres accessibles.
Saybus devait transformer une demande d’autocar en commande exploitable sans perdre calcul, paiement ni suivi interne. Dawap a conçu une plateforme avec Google Places, ViaMichelin, Stripe, empreinte bancaire, documents PDF, facturation et back-office pour piloter chaque dossier jusqu’à l’exploitation.
Dawap a industrialisé la plateforme B2B de 1UP Distribution pour protéger commandes, droits, API et traitements Odoo à chaque évolution. Architecture par domaines, tests parallélisés, maintenance contrôlée, sessions préservées, observabilité et reprises bornées permettent aux clients et aux équipes commerciales, administratives et logistiques de continuer à travailler pendant que le produit évolue.
Le départ d’un collaborateur ne se limite pas à suspendre son compte utilisateur. La méthode couvre fichiers personnels et Drives partagés, délégations Gmail, calendriers, scopes minimaux et traitement des exceptions. Elle montre comment inventorier les ressources, tester une coupure puis remettre au support un dossier complet pour chaque compte traité.
Le couple SSO, provisioning et SCIM tient quand la source de vérité est nette, que les rôles se propagent sans dette et que la révocation reste prouvable. La synthèse rappelle le vrai arbitrage : protéger le joiner mover leaver, garder le support lisible et éviter qu’un login valide masque un accès faux, même en audit sûr.
Webhook, polling et rattrapage ne servent pas le même objectif : l’un pousse le signal, l’autre contrôle la reprise. Cette carte montre comment tenir commandes, stocks et tickets sans confondre latence, quota et cohérence métier, tout en gardant un flux lisible pour le support et pour le run. Un vrai repère pour le run.
Audit trail API garde la preuve utile quand le support, la conformité et le run doivent reconstituer une action sans fouiller tout le système. La trace doit montrer qui a fait quoi, quand, sur quel endpoint et avec quel contexte, puis rester exploitable après incident. Il reste utile quand un incident tombe après coup.
Questions fréquentes
Les réponses à clarifier avant de relier Directory, Drive, Gmail ou Calendar à votre SI.
Il conçoit le middleware entre Admin SDK, Drive, Gmail, Calendar, Docs ou Sheets et vos outils RH, IAM, CRM, ERP ou applications métier. Il borne les droits, identifiants, synchronisations, exceptions et reprises.
Non. Un partage direct, OAuth utilisateur ou un rôle administrateur borné peut suffire. La délégation de domaine n’est retenue que si l’application doit agir au nom de plusieurs utilisateurs et si un super-administrateur valide précisément les scopes.
Le connecteur persiste un start page token, lit changes.list jusqu’au nouveau token et peut utiliser changes.watch comme signal. La notification ne contient pas le détail : le journal de changements doit être relu et réconcilié.
Gmail publie vers Cloud Pub/Sub un email et un historyId. Le worker déduplique, appelle history.list depuis le checkpoint, renouvelle watch avant sept jours et prévoit un rattrapage car des notifications peuvent être retardées ou perdues.
Le token n’est plus valide. Le flux arrête les mutations aval, vide son état local concerné, effectue une synchronisation complète, rapproche les événements puis enregistre un nouveau sync token avant de reprendre.
Un compte de test ou un dossier réel rejouable couvrant une identité, un groupe, un fichier, une délégation et un agenda. La lecture seule précède les mutations ; cinq contre-tests et un reçu par ressource conditionnent l’extension.
Google Workspace APIs · identité et collaboration
Dawap cadre le domaine, les credentials, les scopes, les identités, les fichiers, les boîtes, les agendas et leurs checkpoints avant d’ouvrir les mutations.
Cadrer mon flux Workspace