google-workspace-cli

Google Workspace CLI

类别： 工程 领域： Google Workspace 管理

概述

Google Workspace CLI 技能提供用于审计 Google Workspace 配置、生成身份验证设置文档以及诊断常见 GWS 问题的工具。它帮助 IT 管理员维护安全且配置完善的 Workspace 环境，无需在复杂的管理控制台中操作。

先行确认

运行前，请确认以下输入。如果任何一项未知或含糊，请先询问，不要自行假设：

• 任务 — 安全审计、身份验证设置指南或诊断（决定使用 workspace_audit.py、auth_setup_guide.py 还是 gws_doctor.py）
• 配置导出文件或身份验证方法 — 要审计的 GWS 配置 JSON，或设置指南所需的身份验证方法和范围（设置 --config 或 --method/--scopes）
• 输出模式 — 面向用户阅读还是用于自动化的 JSON（设置 --format json）

停止规则：只询问对输出影响最大的 2-3 项。如果用户说“先起草一份”，就继续，并在文档开头列出你的假设。

快速开始

# Audit Workspace security configuration
python scripts/workspace_audit.py --config gws-config.json

# Generate auth setup guide
python scripts/auth_setup_guide.py --method oauth --scopes admin,drive

# Run diagnostics
python scripts/gws_doctor.py --check all

# JSON output for automation
python scripts/workspace_audit.py --config gws-config.json --format json

工具概览

workspace_audit.py

审计 Google Workspace 配置导出文件，检查是否符合安全最佳实践。

功能	说明
强制启用双重验证	检查是否要求进行两步验证
密码策略	验证密码强度要求
共享设置	检查外部共享配置
应用访问权限	检查第三方应用访问策略
管理员角色	检查管理员角色分配
移动设备管理	检查设备管理策略
Drive 设置	验证 Drive 共享和访问控制

auth_setup_guide.py

生成 GWS API 访问的分步身份验证设置文档。

功能	说明
OAuth 设置	生成 OAuth 2.0 配置指南
服务账号	创建服务账号设置文档
API 范围	列出各 API 所需的范围
域范围委派	记录域范围委派设置
测试指南	提供验证步骤

gws_doctor.py

用于诊断常见 Google Workspace 配置问题的工具。

功能	说明
DNS 检查	验证 MX、SPF、DKIM、DMARC 记录格式
SSL/TLS	检查证书和传输安全设置
集成健康状况	验证常见集成模式
配置一致性	检查是否存在冲突设置
最佳实践	与 GWS 推荐设置进行比较

工作流

安全审计工作流

1. 导出配置 - 通过 Admin SDK 或手动导出，将 GWS 设置导出为 JSON
2. 审计 - 使用 workspace_audit.py 审计配置文件
3. 检查发现项 - 优先处理严重的安全缺口
4. 修复 - 在 Admin Console 中应用建议的设置
5. 重新审计 - 验证更改是否解决了发现的问题

API 设置工作流

1. 规划 - 确定所需的 API 和范围
2. 生成指南 - 使用所需的方法运行 auth_setup_guide.py
3. 按步骤操作 - 在 Google Cloud Console 中创建凭据
4. 配置 - 如有需要，设置域范围委派
5. 验证 - 使用提供的验证步骤测试 API 访问

健康检查工作流

1. 运行诊断 - 执行 gws_doctor.py 并运行所有检查
2. 检查结果 - 检查 DNS、电子邮件和集成健康状况
3. 修复问题 - 按优先级顺序处理故障
4. 重新检查 - 验证修复通过诊断

定期维护

# Monthly security audit
python scripts/workspace_audit.py --config gws-export.json --format json > audit_$(date +%Y%m).json

# Weekly health check
python scripts/gws_doctor.py --check dns,email --format json

参考文档

• GWS 管理员指南 - 安全设置、API 配置、DNS 要求

常见模式速查

安全优先级

设置	优先级	影响
强制启用 2FA	严重	防止账户被接管
密码策略	严重	减少凭据攻击
外部共享	高	防止数据泄露
应用访问控制	高	限制第三方风险
移动设备管理	中	保障设备访问安全
管理员角色审查	中	限制权限暴露

用于电子邮件的 DNS 记录

记录	用途	示例
MX	电子邮件路由	ASPMX.L.GOOGLE.COM
SPF	发件人验证	v=spf1 include:_spf.google.com ~all
DKIM	电子邮件签名	特定域名的 CNAME
DMARC	策略强制执行	v=DMARC1; p=reject; rua=mailto:...

API 范围

API	范围	用途
Admin SDK	admin.directory.user	用户管理
Drive	drive.readonly	文件列表
Gmail	gmail.settings.basic	电子邮件设置
Calendar	calendar.readonly	日历访问

常见问题

问题	症状	解决方法
未启用 2FA	账户被接管的风险	强制启用 2FA
密码强度弱	凭据填充攻击	设置至少 12 个字符
共享权限开放	数据泄露	限制外部共享
未设置 DMARC	电子邮件欺骗	添加 DMARC DNS 记录
管理员信息过时	权限过多	每季度审查管理员角色