Un gruppo in Google Workspace non è solo una lista di indirizzi: a seconda di come lo configuri diventa una lista di distribuzione, una casella condivisa gestita da più persone, un insieme calcolato automaticamente o un contenitore di sicurezza a cui agganciare le policy. Riconoscere quale dei quattro serve in uno scenario è metà del lavoro.

Progettare la struttura prima di creare il primo gruppo

Parti dalla domanda a cui il gruppo deve rispondere. Serve solo per recapitare posta a un insieme di persone, e allora basta una lista di distribuzione. Serve per lavorare insieme su richieste che arrivano a un indirizzo unico, e allora la risposta è una casella condivisa. L’appartenenza deve seguire un dato già presente nella directory, come il reparto, e allora è un gruppo dinamico. Il gruppo serve a controllare accessi a dati sensibili o a ricevere policy, e allora deve essere un gruppo di sicurezza.

Definisci anche una convenzione di nomi coerente, perché i gruppi crescono in fretta e i limiti arrivano prima di quanto sembri. Il numero di membri di un gruppo non ha un tetto, ma una persona può appartenere direttamente a circa 3.600 gruppi e a circa 9.000 contando anche quelli indiretti, e può essere proprietaria al massimo di 1.500 gruppi. I gruppi dinamici hanno un limite proprio, 500 per organizzazione, aumentabile su richiesta.

Le regole di casa: le impostazioni valide per tutta l’organizzazione

Prima delle singole configurazioni ci sono le policy generali, in Apps → Google Workspace → Groups for Business → Sharing settings. Qui decidi se i gruppi sono accessibili solo agli utenti interni oppure a chiunque sul web, chi può creare gruppi (dai soli amministratori fino a chiunque su internet), se i proprietari possono aggiungere membri esterni e ricevere messaggi dall’esterno, quale sia la visibilità predefinita delle conversazioni e se i gruppi nuovi debbano restare nascosti dalla directory.

Il punto da ricordare è la relazione fra i due livelli: queste scelte definiscono il perimetro entro cui i proprietari possono muoversi. Se disattivi la partecipazione esterna, nessun proprietario potrà abilitarla per il proprio gruppo. Tu come amministratore mantieni comunque il controllo su tutti i gruppi dell’organizzazione, anche su quelli di cui non sei membro.

Creare e limitare una lista di distribuzione

Un gruppo si crea da Directory → Groups → Create group. Il nome arriva a 73 caratteri e non accetta il segno di uguale né le parentesi angolari, l’indirizzo a 63 caratteri, poi ci sono la descrizione facoltativa e l’eventuale proprietario.

Al passo successivo scegli il tipo di accesso fra Public, Team, Announcement only e Restricted, che sono combinazioni predefinite di permessi. Modificando anche una sola voce il tipo diventa Custom. Le voci da capire sono sempre le stesse: chi può contattare i proprietari, chi può vedere le conversazioni, chi può pubblicare messaggi, chi può vedere l’elenco dei membri e come si entra nel gruppo. Al gruppo puoi anche assegnare indirizzi alias aggiuntivi. Dopo la creazione lascia passare qualche minuto prima del primo invio, e considera che la comparsa nella directory dell’organizzazione può richiedere fino a 24 ore.

Per i gruppi delicati esiste la restrizione dell’appartenenza: puoi stabilire quali tipi di membri sono ammessi fra utenti, altri gruppi e service account, e limitare l’ingresso in base al customer ID, cioè distinguere interni ed esterni. Il gruppo viene poi valutato come conforme o non conforme rispetto ai criteri impostati.

Caselle condivise con Collaborative Inbox

Quando un indirizzo unico raccoglie richieste che più persone devono lavorare, la risposta corretta non è creare un account condiviso con la password in giro, ma attivare Collaborative Inbox su un gruppo. Si abilita dall’app Google Groups, non dall’Admin console, e richiede che Groups for Business sia attivo per l’organizzazione.

La funzione aggiunge alla conversazione un flusso di lavoro: i membri con i permessi adeguati possono assegnare una conversazione a una persona e seguirne lo stato fino alla chiusura. Rispetto a una lista di distribuzione, che è semplice recapito uno-a-molti, qui il gruppo diventa uno strumento di presa in carico, adatto a supporto, amministrazione o help desk interno.

Appartenenza dinamica ed etichetta Security

Un gruppo dinamico calcola i propri membri da una query sugli attributi degli utenti, per esempio il reparto o il paese, con una sintassi del tipo user.addresses.exists(address, address.country_code=='US') e con operatori logici AND, OR e negazione. Ogni gruppo ammette una sola query, lunga al massimo 10.000 caratteri. I vincoli sono altrettanto importanti: non puoi aggiungere o togliere membri a mano, non puoi inserire altri gruppi come membri né usare un gruppo dinamico dentro un altro gruppo, e per impostazione predefinita gli utenti guest restano esclusi. La funzione è disponibile nelle edizioni Frontline Standard e Plus, Enterprise Standard e Plus, Education Standard e Plus, Enterprise Essentials Plus e Cloud Identity Premium.

Il gruppo di sicurezza, infine, si ottiene applicando l’etichetta Security in fase di creazione oppure dopo, da Group Information → Labels. La scelta è permanente e non si torna indietro. Da quel momento solo un gruppo di sicurezza della stessa organizzazione può entrare come membro, e soltanto se ha permessi di appartenenza uguali o più restrittivi; gli account esterni restano fuori. La raccomandazione di Google è netta: qualunque gruppo a cui applichi delle policy dovrebbe essere un gruppo di sicurezza.