Shared drive: lifecycle e governance
A differenza dei file in My Drive, uno shared drive non appartiene a un singolo utente: è di proprietà dell’organizzazione. Questo è il concetto chiave per l’esame, perché quando un dipendente lascia l’azienda i file dello shared drive restano dove sono, mentre solo i file personali in My Drive richiedono un data transfer verso un altro utente dalla Admin console. Non usare mai lo shared drive come “backup” dei file personali di qualcuno.
Ogni shared drive è associato a una organizational unit (OU), e sono le sharing policy applicate a quella OU (via ereditarietà e override) a decidere se il drive può avere membri esterni, se i Viewer/Commenter possono scaricare, stampare o copiare, e se un utente può creare nuovi shared drive. I membri hanno ruoli graduati: Manager, Content manager, Contributor, Commenter, Viewer. La best practice è assegnare la membership tramite un Google Group anziché a singoli utenti: aggiungere o rimuovere una persona dal gruppo aggiorna l’accesso a tutti gli shared drive collegati, riducendo l’errore umano. Per il dato sensibile combina questo con Drive DLP, Drive labels e, dove serve massima riservatezza, client-side encryption.
Calendar e calendar resource
Distingui sempre il calendario individuale dalla calendar resource. Il calendario individuale è la agenda di una persona, su cui puoi concedere delega (delegation) affinché un assistente gestisca eventi per conto del titolare. La calendar resource è invece un oggetto prenotabile — una sala riunioni, un proiettore, un’auto aziendale — creato dall’admin sotto Buildings and resources; viene aggiunta come “invitato” a un evento e tipicamente auto-accetta se libera.
Per gli spazi fisici configura buildings, floor e feature (capienza, videoconferenza) così che gli utenti filtrino le sale adatte; le sale con hardware Google Meet permettono di avviare la riunione dal dispositivo in sala. Per capire l’occupazione reale non basta guardare gli inviti: usa i report di utilizzo (Reports nella Admin console e Work Insights) per vedere quanto una risorsa viene prenotata e ottimizzare gli spazi.
Google Groups: tipi e access control
Google Groups for Business serve sia come mailing list sia come unità di autorizzazione. Conosci i tipi:
- Dynamic group: la membership è calcolata da una query sugli attributi utente (es. reparto = Sales); si aggiorna da sola.
- Security group: pensato per l’access control su risorse, non per la collaborazione via email; etichetta un gruppo come strumento di autorizzazione.
- Identity-mapped group: gruppo che riflette un gruppo di un IdP esterno o di Active Directory, tipicamente popolato da GCDS (che sincronizza in una sola direzione, da LDAP/AD verso Google Workspace, mai il contrario).
- POSIX group: porta un gid Unix agli utenti, utile per scenari Cloud Identity/Linux.
L’uso più esaminato è impiegare un gruppo per i permessi di uno shared drive. Sulle group access settings decidi chi può entrare (who can join): “Only invited users” impedisce auto-iscrizioni indesiderate, ed è così che restringi i membri a persone approvate. Ricorda che GCDS gestisce la membership dei gruppi sincronizzati: modifiche manuali in Google verrebbero sovrascritte alla sync successiva.
Trappole tipiche d’esame
- L’utente lascia l’azienda e i suoi file dello shared drive “spariscono” → soluzione: i file dello shared drive restano nel drive; solo i file di My Drive richiedono un data transfer. Non trasferire lo shared drive.
- Serve gestire l’accesso a molti shared drive senza errori → soluzione: membership via Google Group, non utenti singoli; aggiorni un solo oggetto.
- Impedire download/stampa/copia ai Viewer esterni → soluzione: sharing policy sulla OU a cui è associato lo shared drive, non un’impostazione del singolo file.
- Prenotare una sala riunioni ricorrente → soluzione: calendar resource creata in Buildings and resources, aggiunta come invitato; non un calendario individuale condiviso.
- Restringere chi può essere membro di un gruppo → soluzione: group access setting “who can join” impostato su Only invited users; l’access control vive nel gruppo, non nell’invito.
- Recuperare un file cancellato definitivamente → soluzione: né shared drive né Vault “ripristinano” dati; Vault serve a retention, legal hold ed eDiscovery, non è un backup.