Il ciclo di vita degli utenti è la parte più densa del primo dominio e all’esame arriva quasi sempre sotto forma di scenario: quattrocento persone da inserire dopo un’acquisizione, un dipendente che se ne va domani, una casella che non deve sparire. La competenza richiesta non è ricordare i clic, ma abbinare il caso allo strumento giusto.

Creare account: a mano, in blocco, o non crearli affatto

Un ingresso singolo si gestisce da Directory → Users → Add new user: nome, cognome, indirizzo primario e unità organizzativa di destinazione. Quest’ultima è la scelta che pesa di più, perché determina quali servizi e quali impostazioni la persona erediterà.

Per numeri alti esiste il caricamento CSV. Da Directory → Users apri Bulk update users, scarichi il modello vuoto e compili le colonne First Name, Last Name, Email Address, Password e Org Unit Path, dove la sola barra indica l’unità di primo livello e /Vendite una unità figlia. Un file arriva a 150.000 record e 35 MB, ma se il caricamento assegna anche nuove licenze il limite scende a 200 utenti. L’operazione è asincrona: l’avanzamento si segue nella lista Tasks, un report arriva via email e possono passare fino a 24 ore prima che i nuovi account vedano tutti i servizi. Attenzione, il caricamento non invia credenziali a nessuno: le password vanno consegnate su un altro canale.

La terza risposta, in un’organizzazione che ha già una directory, è non creare account a mano.

Automatizzare provisioning, deprovisioning e SSO

Tre strumenti di prima parte coprono i casi tipici e l’esame vuole che tu li sappia distinguere. Directory Sync è cloud, non richiede software installato, si configura dall’Admin console e sincronizza utenti non amministratori e gruppi da Microsoft Active Directory e da Azure AD; un ciclo completo riparte un’ora dopo la fine del precedente. Google Cloud Directory Sync (GCDS) gira su un server tuo, on-premise, e parla con qualsiasi directory conforme a LDAP, Active Directory e OpenLDAP incluse: sincronizza utenti, gruppi, risorse di calendario, contatti esterni e password, e sa perfino assegnare licenze e archiviare account con regole LDAP. Qui vale una regola secca: licenze e archiviazione si governano con GCDS oppure dall’Admin console, mai con entrambi. Inbound SCIM è cloud e funziona in push, cioè è l’identity provider o il sistema HR compatibile SCIM 2.0 a spingere utenti e gruppi verso Google.

Provisioning e SSO restano due configurazioni distinte, e confonderle è l’errore classico: l’SSO decide come una persona si autentica, il provisioning decide se il suo account esiste. Un SAML SSO di base si costruisce creando un SSO profile con IdP entity ID, sign-in page URL, sign-out page URL, change password URL e il certificato X.509 in formato PEM con cui Google verifica le asserzioni. Il profilo si assegna a unità organizzative o gruppi, mai a singoli utenti, così puoi tenere l’SSO acceso su una parte dell’organizzazione e spento altrove. Gli SSO profile sostituiscono la vecchia configurazione legacy SSO, che era unica per tutto il dominio.

Migrare i dati: abbinare la fonte allo strumento

Quando gli account esistono, i contenuti vanno portati dentro, e ogni strumento ha un suo perimetro. Il Data migration service copre indicativamente da uno a mille utenti e importa posta da Gmail e da server IMAP, da Exchange Online, oltre a chat di Microsoft Teams e file da OneDrive, SharePoint Online e Dropbox. GWMME, cioè Google Workspace Migration for Microsoft Exchange, si installa su un server e serve Exchange on-premise dalla versione 2007 alla 2019 e i file PST; se la fonte è IMAP o Gmail copia soltanto email ed etichette. GWMMO è il prodotto lato utente finale per i PST, adatto a pochissime persone. Google Workspace Migrate è la scelta per le migrazioni oltre i mille utenti.

Attributi, password e licenze

Nome visualizzato, indirizzo primario e indirizzi alternativi si modificano dalla scheda utente: un alias è solo un recapito che consegna nella casella principale, ne puoi aggiungere fino a 30 per utente senza costo, e non è un Google Account, quindi con quell’indirizzo non si accede.

Le regole sulle password vivono in Security → Authentication → Password management: lunghezza minima e massima fra 8 e 100 caratteri, divieto di riuso, scadenza e l’opzione che impone il rispetto della policy al prossimo accesso. Non si applicano alle password create da caricamento CSV, API o strumenti di sincronizzazione. La robustezza si controlla in Reporting → User Reports → Accounts. Per un reset puntuale usa Directory → Users → Reset password e poi azzera anche i cookie di accesso, altrimenti le sessioni aperte restano valide.

Le licenze si assegnano automaticamente per unità organizzativa, oppure a mano sul singolo utente e in blocco via CSV; cambiare sottoscrizione a una persona significa liberare una licenza e consumarne un’altra.

Uscite: sospendere, archiviare, eliminare, trasferire

La sospensione blocca accesso, posta e inviti lasciando i dati intatti, ma l’account continua a costare come uno attivo. L’archiviazione con licenza Archived User conserva i dati ricercabili ed esportabili a costo ridotto. L’eliminazione permette a un super admin di trasferire Drive, Gmail e calendario primario durante la cancellazione, lascia comunque i file dei Drive condivisi, e concede 20 giorni per ripristinare l’account prima che l’indirizzo torni disponibile. Il trasferimento della proprietà dei file si può fare anche separatamente da Apps → Google Workspace → Drive and Docs → Transfer ownership: nasce una cartella di trasferimento nel My Drive del destinatario e l’operazione può richiedere fino a 36 ore.