整合 Google Workspace 與 Google SecOps

本文說明如何將 Google Workspace 與 Google Security Operations (Google SecOps) 整合。

整合版本：19.0

用途

整合 Google Workspace 和 Google SecOps 可協助您解決下列用途：

  • 使用者離職和帳戶安全：使用 Google SecOps 功能觸發工作流程，撤銷 Google Workspace 存取權、停用帳戶，並將離職員工的電子郵件轉寄給其他員工。

事前準備

在 Google SecOps 中設定 Google Workspace 整合功能之前，請先完成下列必要步驟：

  1. 建立服務帳戶。
  2. 建立 JSON 金鑰。
  3. 為整合項目建立自訂角色。
  4. 將自訂角色指派給使用者。
  5. 將全網域授權委派給服務帳戶。
  6. 為專案啟用 Admin SDK API。

建立服務帳戶

如要建立服務帳戶，請完成下列步驟：

  1. 前往 Google Cloud 控制台的「憑證」頁面。

    前往「憑證」

  2. 在「建立憑證」選單中，選取「服務帳戶」。

  3. 在「服務帳戶詳細資料」下方，於「服務帳戶名稱」欄位中輸入名稱。

  4. 選用：編輯服務帳戶 ID。

  5. 按一下「建立並繼續」。系統會顯示「權限」畫面。

  6. 按一下「繼續」。系統會顯示「具備存取權的主體」畫面。

  7. 按一下 [完成]。

將 Google Cloud IAM 角色授予服務帳戶

為確保服務帳戶在專案中具備所有必要權限，請指派下列 IAM 角色： Google Cloud

  1. 在 Google Cloud 控制台中，依序前往「IAM & Admin」(IAM 與管理)>「IAM」(身分與存取權管理)。

  2. 點選「授予存取權」。

  3. 在「New principals」(新增主體) 欄位中，輸入您建立的服務帳戶電子郵件地址。

  4. 在「Select a role」(請選擇角色) 清單中，搜尋並選取 Service Account Token Creator (roles/iam.serviceAccountTokenCreator) 角色。

  5. 按一下 [儲存]。

建立 JSON 金鑰

如要建立 JSON 金鑰，請完成下列步驟：

  1. 選取服務帳戶，然後前往「金鑰」。
  2. 按一下「Add key」。
  3. 選取「建立新的金鑰」。
  4. 金鑰類型請選取「JSON」，然後按一下「建立」。系統會顯示「已將私密金鑰儲存至您的電腦中」對話方塊，並將私密金鑰副本下載到您的電腦。

為整合項目建立自訂角色

  1. 在 Google 管理控制台中，依序前往「帳戶」>「管理員角色」。
  2. 按一下 [建立新角色]。
  3. 為新的自訂角色命名，然後按一下「繼續」。
  4. 在「選取權限」頁面中，前往「Admin API」權限部分。

  5. 在「Admin API privileges」(Admin API 權限) 下方，選取下列權限：

    • 機構單位
    • 使用者
    • 網路論壇

  6. 按一下「繼續」。

  7. 如要建立新的自訂角色，請按一下「建立角色」。

為使用者指派自訂角色

  1. 如要建立新使用者，請前往「目錄」>「使用者」頁面。
  2. 新增與服務帳戶相關聯的使用者。
  3. 開啟新建立的使用者設定。系統會開啟使用者帳戶分頁。
  4. 按一下 [管理員角色與權限]。
  5. 按一下「編輯」。
  6. 選取您建立的自訂角色。
  7. 針對所選角色，將切換鈕切換為「已指派」。

將全網域授權委派給服務帳戶

  1. 在網域的 Google 管理控制台中，依序前往「主選單」「安全性」「存取權與資料控管」「API 控制項」。
  2. 在「全網域委派」窗格中，選取「管理全網域委派設定」。
  3. 按一下「新增」。
  4. 在「用戶端 ID」欄位中，輸入從先前服務帳戶建立步驟取得的用戶端 ID。

  5. 在「OAuth 範圍」欄位中，輸入下列以半形逗號分隔的範圍清單，這些範圍是應用程式的必要範圍：

    https://mail.google.com/,
https://www.googleapis.com/auth/cloud-platform,
https://www.googleapis.com/auth/admin.directory.user,
https://www.googleapis.com/auth/admin.directory.group.member,
https://www.googleapis.com/auth/admin.directory.customer.readonly,
https://www.googleapis.com/auth/admin.directory.domain.readonly,
https://www.googleapis.com/auth/admin.directory.group,
https://www.googleapis.com/auth/admin.directory.orgunit,
https://www.googleapis.com/auth/admin.directory.user.alias,
https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly,
https://www.googleapis.com/auth/apps.groups.settings,
https://www.googleapis.com/auth/admin.directory.user.security,
https://www.googleapis.com/auth/admin.reports.audit.readonly,
https://www.googleapis.com/auth/admin.directory.device.chromebrowsers.readonly,
https://www.googleapis.com/auth/chrome.management.policy,
https://www.googleapis.com/auth/chrome.management.appdetails.readonly

  6. 按一下 [授權]。

為專案啟用 Admin SDK API

  1. 在 Google Cloud 控制台中，前往「API 和服務」。

    前往「API 與服務」頁面

  2. 點選「啟用 API 和服務」。

  3. 為專案啟用 Admin SDK API。

整合參數

Google Workspace 整合功能需要下列參數：

參數 說明
Verify SSL

選填。

如果選取這個選項，整合服務會在連線至 Google Workspace 時驗證 SSL 憑證。

(此為預設選項)。
User's Service Account JSON

選填。

服務帳戶金鑰 JSON 檔案的內容。

您可以設定這個參數或 Workload Identity Email 參數。

如要設定這個參數，請提供您建立服務帳戶時下載的服務帳戶金鑰 JSON 檔案完整內容。
Delegated Email

必填。

整合功能使用的電子郵件地址。
Workload Identity Email

選填。

服務帳戶的用戶端電子郵件地址。

您可以設定這個參數或 User's Service Account JSON 參數。

如要使用 Workload Identity Federation 模擬服務帳戶，請將 Service Account Token Creator 角色授予服務帳戶。如要進一步瞭解工作負載身分和使用方式，請參閱「工作負載的身分」。

如需在 Google SecOps 中設定整合功能的操作說明，請參閱「設定整合功能」。

如有需要，您可以在稍後階段進行變更。設定整合執行個體後，您就可以在劇本中使用該執行個體。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「回覆『你的工作台』中的待處理動作」和「執行手動動作」。

新增群組成員

使用「將成員新增至群組」動作，將使用者新增至群組。

這項操作會對 User 實體執行。

「將成員新增至群組」動作可解決下列用途：

  • 自動化新進人員訓練和離職程序。
  • 授予臨時存取權，以便進行事件應變。
  • 動態專案協作。

動作輸入內容

「將成員新增至群組」動作需要下列參數：

參數 說明
Group Email Address

必填。

要新增成員的群組電子郵件地址。

User Email Addresses

選填。

請以半形逗號分隔清單的形式列出要新增至群組的使用者。

動作會執行您為這個參數設定的值，以及 User 實體。

動作輸出內容

「將成員新增至群組」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼結果 可用
指令碼結果

下表說明使用「將成員新增至群組」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

封鎖擴充功能

使用「封鎖擴充功能」動作，封鎖機構單位中的特定 Chrome 擴充功能。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「封鎖擴充功能」動作需要下列參數：

參數 說明
Organization Unit Name

必填。

要封鎖擴充功能的機構單位名稱。
Extension ID

必填。

要封鎖的擴充功能 ID。

動作輸出內容

「封鎖擴充功能」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例顯示使用「封鎖擴充功能」動作時收到的 JSON 結果輸出內容：

[
        {
            "targetKey": {
                "targetResource": "orgunits/example-org-unit-id",
                "additionalTargetKeys": {
                    "app_id": "chrome:exampleextensionid"
                }
            },
            "value": {
                "policySchema": "chrome.users.apps.InstallType",
                "value": {
                    "appInstallType": "BLOCKED"
                }
            },
            "sourceKey": {
                "targetResource": "orgunits/example-org-unit-id"
            },
            "addedSourceKey": {
                "targetResource": "orgunits/example-org-unit-id"
            }
        }
]
輸出訊息

「封鎖擴充功能」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully blocked extension EXTENSION_ID in Organization Unit ORGANIZATION_NAME using Google Workspace.

 動作成功。
Error executing action "Block Extension". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「區塊擴充功能」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

建立群組

Google Workspace 群組管理員可以使用「建立群組」動作，透過 Google 管理控制台、Groups API 或 Google Cloud Directory Sync，為機構建立群組。

如果您使用網路論壇企業版，也可以在 Google 網路論壇中為機構建立群組。

這項操作會對所有 Google SecOps 實體執行。

您可以在下列情況使用「建立群組」動作：

  • 成立事件應變團隊。
  • 遏止網路釣魚活動。
  • 為新使用者和使用者群組提供入門訓練。
  • 在專案中協同合作。
  • 設定私密資料的存取控管機制。

動作輸入內容

「建立群組」動作需要下列參數：

參數 說明
Email Address

必填。

新群組的電子郵件地址。
Name

選填。

新群組的名稱。
Description

選填。

新群組的說明。

動作輸出內容

「建立群組」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
指令碼結果 可用
JSON 結果

以下範例說明使用「建立群組」動作時收到的 JSON 結果輸出內容：

[
   {
      "kind":"admin#directory#group",
      "id":"ID",
      "etag":"TAG/var>",
      "email":"user@example.com",
      "name":"example",
      "description":"",
      "adminCreated":"True"
   }
]
指令碼結果

下表說明使用「建立群組」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

建立機構單位

使用「建立機構單位」動作建立新的機構單位。

這項操作會對所有 Google SecOps 實體執行。

您可以使用「建立 OU」動作解決下列用途：

  • 協助新部門導入服務。
  • 隔離遭入侵的帳戶。
  • 根據地理位置實作資料落地政策。

動作輸入內容

「建立機構單位」動作需要下列參數：

參數 說明
Customer ID

必填。

客戶 Google Workspace 帳戶的專屬 ID。

如要設定帳戶 customerId，您也可以使用下列預留位置：my_customer。
Name

選填。

新 OU 的名稱。
Description

選填。

新機構單位的說明。
Parent OU Path

必填。

新機構單位的上層機構單位完整路徑。

動作輸出內容

「建立 OU」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
指令碼結果 可用
JSON 結果

以下範例說明使用「建立 OU」動作時收到的 JSON 結果輸出內容：

[
   {
      "kind":"admin#directory#orgUnit",
      "etag":"TAG",
      "name":"example",
      "orgUnitPath":"/example_folder",
      "orgUnitId":"id:ID",
      "parentOrgUnitPath":"/",
      "parentOrgUnitId":"id:ID"
   }
]
指令碼結果

下表說明使用「建立 OU」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

建立使用者

使用「建立使用者」動作建立新使用者。

在 Google Workspace 帳戶中新增使用者時，您會提供貴公司網域的電子郵件地址，以及可存取 Google Workspace 服務的帳戶。

這項操作會對所有 Google SecOps 實體執行。

您可以使用「建立使用者」動作解決下列用途：

  • 自動完成新使用者的新手上路流程。
  • 為約聘人員提供臨時存取權。
  • 使用沙箱進行事件應變。

動作輸入內容

「建立使用者」動作需要下列參數：

參數 說明
Given Name

必填。

使用者的名字。
Family Name

必填。

使用者的姓氏。
Password

必填。

新使用者的密碼。
Email Address

必填。

使用者的主要電子郵件地址。
Phone

選填。

使用者的電話號碼。
Gender

選填。

使用者的性別。

有效值如下：female、male、other、unknown。
Department

選填。

使用者所屬部門的名稱。
Organization

選填。

使用者所屬機構的名稱。
Change Password At Next Login

選填。

如果選取這個選項，系統會要求使用者在下次嘗試登入時變更密碼。

預設為未選取。

動作輸出內容

「建立使用者」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
指令碼結果 可用
JSON 結果

以下範例說明使用「建立使用者」動作時收到的 JSON 結果輸出內容：

[
   {
      "kind":"admin#directory#user",
      "id":"ID",
      "etag":"TAG",
      "primaryEmail":"example@example.com",
      "name":{
         "givenName":"FIRST_NAME",
         "familyName":"LAST_NAME"
      },
      "isAdmin":"False",
      "isDelegatedAdmin":"False",
      "creationTime":"2020-12-22T13:44:29.000Z",
      "organizations":[
         {
            "name":"ExampleOrganization"
         }
      ],
      "phones":[
         {
            "value":"(800) 555‑0175"
         }
      ],
      "gender":{
         "type":"male"
      },
      "customerId":"ID",
      "orgUnitPath":"/",
      "isMailboxSetup":"False"
   }
]
指令碼結果

下表說明使用「建立使用者」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

刪除擴充功能

預先發布版。使用「刪除擴充功能」動作，從機構單位封鎖清單中刪除指定的 Chrome 擴充功能。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「刪除擴充功能」動作需要下列參數：

參數 說明
Organization Unit Name

必填。

要刪除擴充功能的機構單位名稱。
Extension ID

必填。

要刪除的擴充功能 ID。

動作輸出內容

「刪除擴充功能」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

下列範例顯示使用「刪除擴充功能」動作時收到的 JSON 結果輸出內容：

[
  {
    "deleted_extensions": ["chrome:exampleextensionid"]
  }
]
輸出訊息

「Delete Extension」(刪除擴充功能) 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully deleted extension EXTENSION_ID from Organization Unit ORGANIZATION_NAME using Google Workspace.

 動作成功。
Error executing action "Delete Extension". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「刪除擴充功能」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

刪除群組

使用「刪除群組」動作刪除 Google Workspace 目錄群組。

這項操作不會在 Google SecOps 實體上執行。

您可以使用「刪除群組」動作解決下列用途：

  • 自動停用使用者的帳戶。
  • 解決安全性事件。
  • 清除過時的群組。

動作輸入內容

「刪除群組」動作需要下列參數：

參數 說明
Group Email Address

必填。

要刪除的群組電子郵件地址。

動作輸出內容

「刪除群組」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
輸出訊息

「刪除群組」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Google Workspace group GROUP_EMAIL deleted.

Action was not able to find Google Workspace group for deletion.

動作成功。
Failed to connect to the Google Workspace! Error is ERROR_DESCRIPTION

動作失敗。

檢查伺服器的連線、輸入參數或憑證。
指令碼結果

下表說明使用「刪除群組」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

刪除機構單位

使用「刪除機構單位」動作刪除機構單位。

如果機構內有使用者、裝置或子機構，您就無法刪除該機構。在刪除機構前，請務必將當中的所有使用者和裝置移至其他機構，並移除任何子機構。

這項操作會對所有 Google SecOps 實體執行。

您可以使用「刪除機構單位」動作解決下列用途：

  • 自動停用使用者的帳戶。
  • 解決安全性事件。
  • 管理專案資源及執行專案清理作業。

動作輸入內容

「刪除機構單位」動作需要下列參數：

參數 說明
Customer ID

必填。

客戶 Google Workspace 帳戶的專屬 ID。

如要設定帳戶 customerId，您也可以使用下列預留位置：my_customer。
OU Path

必填。

機構單位的完整路徑。

如果機構單位位於根 (/) 路徑下方，請提供機構單位名稱，但不要包含路徑。

動作輸出內容

「Delete OU」(刪除 OU) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼結果 可用
指令碼結果

下表說明使用「刪除 OU」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

刪除使用者

使用「刪除使用者」動作刪除使用者帳戶。

刪除使用者後，對方就無法存取或使用貴機構的任何 Google Workspace 服務。

您可以使用「刪除使用者」動作解決下列用途：

  • 為離職員工辦理離職手續。
  • 針對遭盜用的帳戶採取補救措施。
  • 自動清理臨時帳戶。

這項操作會對所有 Google SecOps 實體執行。

動作輸入內容

「刪除使用者」動作需要下列參數：

參數 說明
Email Address

必填。

要刪除的使用者電子郵件地址。

動作輸出內容

「刪除使用者」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼結果 可用
指令碼結果

下表說明使用「刪除使用者」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

充實實體

使用「Enrich Entities」(擴充實體) 動作，透過 Google Workspace 的資訊擴充 Google SecOps 實體。

這項操作會對 User 實體執行。

您可以使用「Enrich Entities」(擴充實體) 動作解決下列用途：

  • 調查使用者。
  • 分析網路釣魚電子郵件。
  • 調查資料竊取行為。
  • 偵測惡意軟體。

動作輸入內容

無

動作輸出內容

「Enrich Entities」(擴充實體) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
實體擴充資料表 可用
JSON 結果 可用
指令碼結果 可用
實體充實

「Enrich Entities」(豐富實體) 動作支援下列實體豐富功能：

補充資料欄位名稱 充實邏輯
Phones 如果 JSON 結果中存在該值，則傳回該值。
isDelegatedAdmin 如果 JSON 結果中存在該值，則傳回該值。
suspended 如果 JSON 結果中存在該值，則傳回該值。
id 如果 JSON 結果中存在該值，則傳回該值。
nonEditableAliases 如果 JSON 結果中存在該值，則傳回該值。
archived 如果 JSON 結果中存在該值，則傳回該值。
isEnrolledIn2Sv 如果 JSON 結果中存在該值，則傳回該值。
includeInGlobalAddressList 如果 JSON 結果中存在該值，則傳回該值。
Relations 如果 JSON 結果中存在該值，則傳回該值。
isAdmin 如果 JSON 結果中存在該值，則傳回該值。
etag 如果 JSON 結果中存在該值，則傳回該值。
lastLoginTime 如果 JSON 結果中存在該值，則傳回該值。
orgUnitPath 如果 JSON 結果中存在該值，則傳回該值。
agreedToTerms 如果 JSON 結果中存在該值，則傳回該值。
externalIds 如果 JSON 結果中存在該值，則傳回該值。
ipWhitelisted 如果 JSON 結果中存在該值，則傳回該值。
kind 如果 JSON 結果中存在該值，則傳回該值。
isEnforcedIn2Sv 如果 JSON 結果中存在該值，則傳回該值。
isMailboxSetup 如果 JSON 結果中存在該值，則傳回該值。
emails 如果 JSON 結果中存在該值，則傳回該值。
organizations 如果 JSON 結果中存在該值，則傳回該值。
primaryEmail 如果 JSON 結果中存在該值，則傳回該值。
name 如果 JSON 結果中存在該值，則傳回該值。
gender 如果 JSON 結果中存在該值，則傳回該值。
creationTime 如果 JSON 結果中存在該值，則傳回該值。
changePasswordAtNextLogin 如果 JSON 結果中存在該值，則傳回該值。
customerId 如果 JSON 結果中存在該值，則傳回該值。
JSON 結果

以下範例說明使用「Enrich Entities」動作時收到的 JSON 結果輸出內容：

[{
    "Phones":
       [{
          "customType": "",
          "type": "custom",
          "value": "(800) 555‑0175"
       }],
   "isDelegatedAdmin": false,
   "suspended": false,
   "id": "ID",
   "nonEditableAliases": ["user@example.com"],
   "archived": false,
   "isEnrolledIn2Sv": true,
   "includeInGlobalAddressList": true,
   "Relations":
        [{
          "type": "manager",
          "value": "user@example.com"
        }],
   "isAdmin": false,
   "etag": "E_TAG_VALUE",
   "lastLoginTime": "2019-02-11T12:24:41.000Z",
   "orgUnitPath": "/OU-1",
   "agreedToTerms": true,
   "externalIds": [{"type": "organization",
                    "value": ""}],
   "ipWhitelisted": false,
   "kind": "admin#directory#user",
   "isEnforcedIn2Sv": true,
   "isMailboxSetup": true,
   "emails":
       [{
          "primary": true,
          "address": "user@example.com"
        },
        {
          "address": "user@example.com"
        }],
    "organizations":
        [{
           "department": "R&D",
           "customType": "", "name": "Company"
         }],
     "primaryEmail": "user@example.com",
     "name":
         {
            "fullName": "NAME SURNAME",
            "givenName": "NAME",
            "familyName": "SURNAME"
         },
     "gender": {"type": "male"},
     "creationTime": "2017-10-26T06:57:13.000Z",
     "changePasswordAtNextLogin": false,
     "customerId": "CUSTOMER_ID"
}]
指令碼結果

下表說明使用「Enrich Entities」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得擴充功能詳細資料

使用「Get Extension Details」(取得擴充功能詳細資料) 動作，擷取特定 Chrome 擴充功能的相關資訊。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「取得擴充功能詳細資料」動作需要下列參數：

參數 說明
Extension ID

必填。

以半形逗號分隔的擴充功能 ID 清單，用於擴充功能。
Max Requesting Users To Return

必填。

要求安裝擴充功能的傳回使用者人數上限。

最大值為 1000。
Max Requesting Devices To Return

必填。

要求安裝擴充功能的裝置數量上限。

最大值為 1000。

動作輸出內容

「取得擴充功能詳細資料」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例顯示使用「取得擴充功能詳細資料」動作時收到的 JSON 結果輸出內容：

[
  {
    "Entity": "Example Extension Name",
    "EntityResult": {
      "name": "customers/example-customer-id/apps/chrome/exampleextensionid",
      "displayName": "Example Extension Name",
      "description": "A description for an example extension.",
      "appId": "exampleextensionid",
      "revisionId": "11.3.0.0",
      "type": "CHROME",
      "iconUri": "https://lh3.googleusercontent.com/KxYKwMcAzhn_DBMVIb0mtvIOsAME2d8-csv5d_vnKYX6PL3D6BGbVy3hH68ky8nM9yTDGAPl6B77pA7tpu4_jeUkXw",
      "detailUri": "https://chromewebstore.google.com/detail/exampleextensionid",
      "firstPublishTime": "2011-12-14T06:57:01.918Z",
      "latestPublishTime": "2025-07-01T02:05:04.252Z",
      "publisher": "example-publisher",
      "reviewNumber": "5423",
      "reviewRating": 4,
      "chromeAppInfo": {
        "supportEnabled": true,
        "minUserCount": 3000000,
        "permissions": [
          {
            "type": "offscreen"
          },
          {
            "type": "scripting",
            "documentationUri": "https://developer.chrome.com/docs/extensions/reference/scripting/",
            "accessUserData": false
          },
          {
            "type": "storage",
            "documentationUri": "https://developer.chrome.com/docs/extensions/reference/storage/",
            "accessUserData": false
          },
          {
            "type": "tabs",
            "documentationUri": "https://developer.chrome.com/docs/extensions/reference/tabs#type-Tab",
            "accessUserData": true
          }
        ],
        "siteAccess": [
          {
            "hostMatch": "https://*/*"
          },
          {
            "hostMatch": "http://*/*"
          }
        ],
        "isTheme": false,
        "googleOwned": true,
        "isCwsHosted": true,
        "kioskEnabled": false,
        "isKioskOnly": false,
        "type": "EXTENSION",
        "isExtensionPolicySupported": false,
        "manifestVersion": "3",
        "requestingUserDetails": [
          {
            "email": "user@example.com",
            "justification": "Example justification for the request."
          }
        ],
        "requestingDeviceDetails": [
          {
            "device": "example-device-id",
            "justification": "Example justification for the request."
          }
        ]
      }
    }
  }
]
輸出訊息

「取得擴充功能詳細資料」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned information about the following extensions in Google Workspace: EXTENSION_IDS.

Action wasn't able to return information about the following extension in Google Workspace: EXTENSION_IDS.

No information about the provided extensions were found.

 動作成功。
Error executing action "Get Extension Details". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「取得擴充功能詳細資料」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得群組詳細資料

使用「取得群組詳細資料」動作，擷取 Google Workspace 中群組的相關資訊。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「取得群組詳細資料」動作需要下列參數：

參數 說明
Group Email Addresses

必填。

以半形逗號分隔的群組電子郵件地址清單，供檢查。

動作輸出內容

「取得群組詳細資料」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例說明使用「取得群組詳細資料」動作時收到的 JSON 結果輸出內容：

{
        "Entity": "group@example.com",
        "EntityResult": {
            "kind": "groupsSettings#groups",
            "email": "group@example.com",
            "name": "GROUP_NAME",
            "description": "DESCRIPTION",
            "whoCanJoin": "CAN_REQUEST_TO_JOIN",
            "whoCanViewMembership": "ALL_MEMBERS_CAN_VIEW",
            "whoCanViewGroup": "ALL_MEMBERS_CAN_VIEW",
            "whoCanInvite": "ALL_MANAGERS_CAN_INVITE",
            "whoCanAdd": "ALL_MANAGERS_CAN_ADD",
            "allowExternalMembers": "false",
            "whoCanPostMessage": "ANYONE_CAN_POST",
            "allowWebPosting": "true",
            "primaryLanguage": "en_US",
            "maxMessageBytes": 26214400,
            "isArchived": "false",
            "archiveOnly": "false",
            "messageModerationLevel": "MODERATE_NONE",
            "spamModerationLevel": "MODERATE",
            "replyTo": "REPLY_TO_IGNORE",
            "includeCustomFooter": "false",
            "customFooterText": "",
            "sendMessageDenyNotification": "false",
            "defaultMessageDenyNotificationText": "",
            "showInGroupDirectory": "true",
            "allowGoogleCommunication": "false",
            "membersCanPostAsTheGroup": "false",
            "messageDisplayFont": "DEFAULT_FONT",
            "includeInGlobalAddressList": "true",
            "whoCanLeaveGroup": "ALL_MEMBERS_CAN_LEAVE",
            "whoCanContactOwner": "ANYONE_CAN_CONTACT",
            "whoCanAddReferences": "NONE",
            "whoCanAssignTopics": "NONE",
            "whoCanUnassignTopic": "NONE",
            "whoCanTakeTopics": "NONE",
            "whoCanMarkDuplicate": "NONE",
            "whoCanMarkNoResponseNeeded": "NONE",
            "whoCanMarkFavoriteReplyOnAnyTopic": "NONE",
            "whoCanMarkFavoriteReplyOnOwnTopic": "NONE",
            "whoCanUnmarkFavoriteReplyOnAnyTopic": "NONE",
            "whoCanEnterFreeFormTags": "NONE",
            "whoCanModifyTagsAndCategories": "NONE",
            "favoriteRepliesOnTop": "true",
            "whoCanApproveMembers": "ALL_MANAGERS_CAN_APPROVE",
            "whoCanBanUsers": "OWNERS_AND_MANAGERS",
            "whoCanModifyMembers": "OWNERS_AND_MANAGERS",
            "whoCanApproveMessages": "OWNERS_AND_MANAGERS",
            "whoCanDeleteAnyPost": "OWNERS_AND_MANAGERS",
            "whoCanDeleteTopics": "OWNERS_AND_MANAGERS",
            "whoCanLockTopics": "OWNERS_AND_MANAGERS",
            "whoCanMoveTopicsIn": "OWNERS_AND_MANAGERS",
            "whoCanMoveTopicsOut": "OWNERS_AND_MANAGERS",
            "whoCanPostAnnouncements": "OWNERS_AND_MANAGERS",
            "whoCanHideAbuse": "NONE",
            "whoCanMakeTopicsSticky": "NONE",
            "whoCanModerateMembers": "OWNERS_AND_MANAGERS",
            "whoCanModerateContent": "OWNERS_AND_MANAGERS",
            "whoCanAssistContent": "NONE",
            "customRolesEnabledForSettingsToBeMerged": "false",
            "enableCollaborativeInbox": "false",
            "whoCanDiscoverGroup": "ALL_IN_DOMAIN_CAN_DISCOVER",
            "defaultSender": "DEFAULT_SELF"
        }
    }
輸出訊息

「取得群組詳細資料」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully enriched the following groups using information from Google Workspace: GROUPS

Action wasn't able to enrich the following group using information from Google Workspace: GROUPS

None of the groups were enriched.

 動作成功。
Error executing action "Get Group Details". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。
指令碼結果

下表說明使用「取得群組詳細資料」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得主機瀏覽器詳細資料

使用「Get Host Browser Details」(取得主機瀏覽器詳細資料) 動作，擷取與指定 Google SecOps Hostname 實體相關聯的瀏覽器資訊。

這項動作會在 Google SecOps Hostname 實體上執行。

動作輸入內容

無

動作輸出內容

「取得主機瀏覽器詳細資料」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

下列範例顯示使用「取得主機瀏覽器詳細資料」動作時收到的 JSON 結果輸出內容：

{
   "Entity": "example.host.com",
   "EntityResult": [
      {
         "deviceId": "example-device-id",
         "kind": "admin#directory#browserdevice",
         "lastPolicyFetchTime": "2025-07-25T12:11:17.546Z",
         "osPlatform": "Linux",
         "osArchitecture": "x86_64",
         "osVersion": "6.12.27-1rodete1-amd64",
         "machineName": "example.host.com",
         "lastRegistrationTime": "2025-07-07T07:45:20.504Z",
         "extensionCount": "15",
         "policyCount": "23",
         "lastDeviceUser": "example-user",
         "lastActivityTime": "2025-07-26T12:13:55.385Z",
         "osPlatformVersion": "Linux 6.12.27-1rodete1-amd64",
         "browserVersions": [
            "140.0.7259.2 (Dev)"
         ],
         "lastStatusReportTime": "2025-07-26T07:46:00.919Z",
         "lastDeviceUsers": [
            {
               "userName": "example-user",
               "lastStatusReportTime": "2025-07-26T07:46:00.919Z"
            }
         ],
         "machinePolicies": [
            {
               "source": "MACHINE_LEVEL_USER_CLOUD",
               "name": "CloudReportingEnabled",
               "value": "true"
            }
         ],
         "browsers": [
            {
               "browserVersion": "140.0.7259.2",
               "channel": "DEV",
               "lastStatusReportTime": "2025-07-26T07:46:00.919Z",
               "executablePath": "/opt/google/chrome-unstable",
               "profiles": [
                  {
                     "name": "Example User Profile",
                     "id": "/home/example_user/.config/google-chrome/Default",
                     "lastStatusReportTime": "2025-07-26T07:46:00.919Z",
                     "lastPolicyFetchTime": "2025-07-25T12:11:17.546Z",
                     "chromeSignedInUserEmail": "user@example.com",
                     "extensions": [
                        {
                           "extensionId": "exampleextensionid",
                           "version": "2.0.6",
                           "permissions": [
                              "alarms",
                              "contextMenus",
                              "management",
                              "storage",
                              "https://accounts.google.com/*",
                              "https://appengine.google.com/*",
                              "https://example.com/*",
                              "https://example.org/*",
                              "https://example-api.com/*",
                              "https://docs.example.com/*",
                              "https://internal.example.net/*",
                              "https://partners.example.com/*",
                              "https://www.google.com/*"
                           ],
                           ],
                           "name": "Example Extension",
                           "description": "This is a description for an example extension.",
                           "appType": "EXTENSION",
                           "homepageUrl": "https://chromewebstore.google.com/detail/exampleextensionid",
                           "installType": "ADMIN",
                           "manifestVersion": 3
                        }
                     ],
                     "userPolicies": [
                        {
                           "source": "USER_CLOUD",
                           "name": "CloudProfileReportingEnabled",
                           "value": "true"
                        }
                     ]
                  }
               ],
               "pendingInstallVersion": "140.0.7312.0"
            }
         ],
         "virtualDeviceId": "example-virtual-device-id",
         "orgUnitPath": "/",
         "deviceIdentifiersHistory": {
            "records": [
               {
                  "identifiers": {
                     "machineName": "example.host.com"
                  },
                  "firstRecordTime": "2025-06-03T08:06:33.895Z",
                  "lastActivityTime": "2025-07-26T07:46:01.325Z"
               }
            ]
         }
      }
   ]
}
輸出訊息

「Get Host Browser Details」(取得主機瀏覽器詳細資料) 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned browsers related to the following hostnames in Google Workspace: HOSTNAME.

No browsers were associated with the following hostnames in Google Workspace: HOSTNAME.

No browsers were associated with provided hostnames.

 動作成功。
Error executing action "Get Host Browser Details". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「取得主機瀏覽器詳細資料」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

列出群組成員

使用「列出群組成員」動作，列出 Google Workspace 群組的成員。

這項操作會對所有 Google SecOps 實體執行。

您可以使用「列出群組成員」動作解決下列用途：

  • 自動化新進人員訓練和離職流程。
  • 執行安全稽核。
  • 回應事件。
  • 支援動態資源存取權。

動作輸入內容

「列出群組成員」動作需要下列參數：

參數 說明
Group Email Address

必填。

群組的電子郵件地址。
Include Derived Membership

選填。

選取後，系統會列出群組中使用者間接成員資格的動作。

(此為預設選項)。

動作輸出內容

「列出群組成員」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
指令碼結果 可用
JSON 結果

以下範例說明使用「列出群組成員」動作時收到的 JSON 結果輸出內容：

{
   "status": "ACTIVE",
   "kind": "admin#directory#member",
   "email": "user1@example.com",
   "etag": "E_TAG_VALUE",
   "role": "MEMBER",
   "type": "USER",
   "id": "ID"
  },{
   "status": "ACTIVE",
   "kind": "admin#directory#member",
   "email": "user2@example.com",
   "etag": "E_TAG_VALUE",
   "role": "MEMBER",
   "type": "USER", "id": "ID"
}
指令碼結果

下表說明使用「列出群組成員」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
members True或False

列出群組權限

使用「列出群組權限」動作，列出與 Google Workspace 群組相關的角色和權限。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「列出群組權限」動作需要下列參數：

參數 說明
Group Email Addresses

選填。

要檢查的群組清單 (以半形逗號分隔)。
Check Roles

選填。

以半形逗號分隔的清單，列出要檢查與群組相關的角色。
Check Privileges

選填。

以半形逗號分隔的權限清單，用於檢查與群組相關的權限。

這項參數需要選取「Expand Privileges」(擴展權限) 參數。如果您設定「檢查角色」參數，動作只會檢查您列出的角色權限。
Expand Privileges

選填。

如果選取這個選項，動作會傳回與群組相關的所有專屬權限資訊。
Max Roles To Return

必填。

要傳回與群組相關聯的角色數量上限。

預設值為 100。
Max Privileges To Return

必填。

要傳回的群組相關權限數量上限。

預設值為 100。

動作輸出內容

「列出群組權限」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例說明使用「列出群組權限」動作時收到的 JSON 結果輸出內容：

{
    "Entity": "user@example.com",
    "EntityResult": {
        "roles": [
            "Role1",
            "_GROUPS_EDITOR_ROLE",
            "example-role"
        ],
        "unique_privileges": [
            "VIEW_SITE_DETAILS",
            "ACCESS_EMAIL_LOG_SEARCH",
            "ACCESS_ADMIN_QUARANTINE",
            "ACCESS_RESTRICTED_QUARANTINE",
            "ADMIN_QUALITY_DASHBOARD_ACCESS",
            "MANAGE_DLP_RULE",
            "DASHBOARD_ACCESS",
            "MANAGE_GSC_RULE",
            "VIEW_GSC_RULE",
            "SECURITY_HEALTH_DASHBOARD_ACCESS",
            "SIT_CALENDAR_VIEW_METADATA",
            "SIT_CHAT_VIEW_METADATA",
            "SIT_CHROME_VIEW_METADATA",
            "SIT_DEVICE_UPDATE_DELETE",
            "SIT_DEVICE_VIEW_METADATA",
            "SIT_DRIVE_UPDATE_DELETE"
        ]
    }
}
輸出訊息

「列出群組權限」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully fetched information for the following groups using information from Google Workspace: GROUPS

Action wasn't able to fetch information for the following groups using information from Google Workspace: GROUPS

None of the specific roles/privileges were found for the following groups in Google Workspace: GROUPS

None of the specific roles/privileges were found for the provided groups in Google Workspace.

No information was found for the provided groups in Google Workspace.

 動作成功。
Error executing action "List Group Privileges". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。
指令碼結果

下表說明使用「列出群組權限」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

列出帳戶的 OU

使用「列出帳戶的機構單位」動作，列出帳戶的機構單位。

這項操作會對所有 Google SecOps 實體執行。

您可以使用「列出帳戶的 OU」動作，解決下列應用情境：

  • 自動執行使用者離職程序。
  • 執行目標明確的安全稽核。
  • 自動管理群組成員。
  • 簡化使用者帳戶管理程序。
  • 自動產生法規遵循報告和稽核。

整合輸入內容

「列出帳戶的機構單位」動作需要下列參數：

參數 說明
Customer ID

必填。

客戶 Google Workspace 帳戶的專屬 ID。

如要代表帳戶的 customerId 值，請使用 my_customer 預留位置。
Organization Unit Path

選填。

要傳回的機構單位路徑。

預設值為 /。
Max Organization Units

必填。

要傳回的機構單位數量上限。

最大值為 100。

預設值為 50。

動作輸出內容

「列出帳戶的機構單位」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
指令碼結果 可用
JSON 結果

以下範例說明使用「列出帳戶的 OU」動作時收到的 JSON 結果輸出內容：

[{
   "kind": "admin#directory#orgUnit",
   "parentOrgUnitPath": "/",
   "name": "OU-1",
   "etag": "E_TAG_VALUE",
   "orgUnitPath": "/OU-1",
   "parentOrgUnitId": "id:1455",
   "blockInheritance": false,
   "orgUnitId": "id:123",
   "description": ""
}]
指令碼結果

下表說明使用「List OU of Account」(列出帳戶的 OU) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
organizational_units True或False

列出使用者權限

使用「列出使用者權限」動作，列出與 Google Workspace 使用者相關的角色和權限。

這項動作會在 Google SecOps User 實體上執行。

動作輸入內容

「列出使用者權限」動作需要下列參數：

參數 說明
User Email Addresses

選填。

以半形逗號分隔的待檢查使用者清單。

這個動作會執行您為這個參數設定的值，以及 User 實體。
Check Roles

選填。

請以逗號分隔清單的形式列出要檢查的使用者相關角色。
Check Privileges

選填。

請以逗號分隔清單的形式列出要驗證的使用者相關權限。

這項參數需要選取「Expand Privileges」(擴展權限) 參數。如果您設定「檢查角色」參數，動作只會檢查您列出的角色權限。
Include Inherited Roles

選填。

如果選取這個選項，這項動作還會傳回從群組繼承的使用者角色。
Expand Privileges

選填。

如果選取，這項動作會傳回與使用者相關的所有專屬權限資訊。
Max Roles To Return

必填。

要傳回與使用者相關的角色數量上限。

預設值為 100。
Max Privileges To Return

必填。

要傳回與使用者相關聯的權限數量上限。

預設值為 100。

動作輸出內容

「列出使用者權限」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例說明使用「列出使用者權限」動作時收到的 JSON 結果輸出：

{
    "Entity": "user@example.com",
    "EntityResult": {
        "roles": [
            "Role1",
            "_GROUPS_EDITOR_ROLE",
            "example-role"
        ],
        "unique_privileges": [
            "VIEW_SITE_DETAILS",
            "ACCESS_EMAIL_LOG_SEARCH",
            "ACCESS_ADMIN_QUARANTINE",
            "ACCESS_RESTRICTED_QUARANTINE",
            "ADMIN_QUALITY_DASHBOARD_ACCESS",
            "MANAGE_DLP_RULE",
            "DASHBOARD_ACCESS",
            "MANAGE_GSC_RULE",
            "VIEW_GSC_RULE",
            "SECURITY_HEALTH_DASHBOARD_ACCESS",
            "SIT_CALENDAR_VIEW_METADATA",
            "SIT_CHAT_VIEW_METADATA",
            "SIT_CHROME_VIEW_METADATA",
            "SIT_DEVICE_UPDATE_DELETE",
            "SIT_DEVICE_VIEW_METADATA",
            "SIT_DRIVE_UPDATE_DELETE"
        ]
    }
}
輸出訊息

「列出使用者權限」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully enriched the following users using information from Google Workspace: USERS

Action wasn't able to enrich the following users using information from Google Workspace: USERS

None of the specific roles/privileges were found for the following users in Google Workspace: USERS

None of the specific roles/privileges were found for the provided users in Google Workspace.

None of the provided users were enriched in Google Workspace.

動作成功。
Error executing action "List User Privileges". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。
指令碼結果

下表說明使用「列出使用者權限」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

將使用者列入清單

使用「列出使用者」動作，列出帳戶中的使用者。

這項操作不會在 Google SecOps 實體上執行。

您可以使用「列出使用者」動作解決下列應用情境：

  • 找出可能遭盜用的帳戶。
  • 自動化停用程序。
  • 稽核及管理使用者存取權
  • 調查可疑活動。
  • 管理使用者授權和資源。

動作輸入內容

「列出使用者」動作需要下列參數：

參數 說明
Customer ID

選填。

客戶 Google Workspace 帳戶的專屬 ID。

如果您未提供這項參數值，動作會自動使用 my_customer 預留位置，代表帳戶的客戶 ID。
Domain

選填。

用於搜尋使用者的網域。
Manager Email

選填。

使用者主管的電子郵件地址。
Return Only Admin Accounts?

選填。

如果選取這個選項，動作只會傳回管理員帳戶。

預設為未選取。
Return Only Delegated Admin Accounts?

選填。

如果選取這個選項，動作只會傳回委派的管理員帳戶。

預設為未選取。
Return Only Suspended Users?

選填。

如果選取這個選項，動作只會傳回已停權的帳戶。

預設為未選取。
Org Unit Path

選填。

要從中擷取使用者的機構單位完整路徑。路徑會比對目標單位下列出的所有機構單位鏈。
Department

選填。

要從中擷取使用者的機構部門。
Record Limit

選填。

動作要傳回的資料記錄數量上限。

預設值為 20。
Custom Query Parameter

選填。

要新增至清單使用者搜尋呼叫的自訂查詢參數，例如 orgName='Human Resources'。

您可以透過 email 欄位設定這個參數，也可以將 email 欄位留空，並設定 Email Addresses 參數。如果同時設定 email 欄位和 Email Addresses 參數，產生的查詢就會失敗。
Return only users without 2fa?

選填。

如果選取這個選項，動作只會傳回未啟用雙重驗證 (2FA) 的使用者。

預設為未選取。
Email Addresses

選填。

以半形逗號分隔的電子郵件地址清單，用於搜尋。

如果設定這個參數，請勿在 Custom Query Parameter 參數中設定 email 欄位。

如果您設定這個參數，動作會忽略 Record Limit 參數。

動作輸出內容

「列出使用者」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
案件訊息牆表格

「列出使用者」動作會在案件總覽中提供下表：

資料表名稱：Google G Suite 使用者

資料表欄：

  • ID
  • 電子郵件
  • 名字
  • 姓氏
  • 是否為管理員？
  • Is Delegated Admin?
  • 建立時間
  • 上次登入時間
  • 已暫停？
  • 已封存？
  • 下次登入時變更密碼？
  • 客戶 ID
  • 機構單位路徑
  • 是否已設定信箱？
  • 備援電子郵件地址
JSON 結果

以下範例說明使用「列出使用者」動作時收到的 JSON 結果輸出內容：

{
    "kind": "admin#directory#users",
    "etag": "E_TAG_VALUE",
    "users": [
        {
            "kind": "admin#directory#user",
            "id": "ID",
            "etag": "E_TAG_VALUE",
            "primaryEmail": "user@example.com",
            "name": {
                "givenName": "NAME",
                "familyName": "SURNAME",
                "fullName": "NAME SURNAME"
            },
            "isAdmin": true,
            "isDelegatedAdmin": false,
            "lastLoginTime": "2020-12-22T06:40:34.000Z",
            "creationTime": "2020-07-22T09:23:28.000Z",
            "agreedToTerms": true,
            "suspended": false,
            "archived": false,
            "changePasswordAtNextLogin": false,
            "ipWhitelisted": false,
            "emails": [
                {
                    "address": "user@example.com",
                    "primary": true
                },
                {
                    "address": "user@example.com"
                }
            ],
            "nonEditableAliases": [
                "user@example.com"
            ],
            "customerId": "CUSTOMER_ID",
            "orgUnitPath": "/Management",
            "isMailboxSetup": true,
            "isEnrolledIn2Sv": false,
            "isEnforcedIn2Sv": false,
            "includeInGlobalAddressList": true,
            "recoveryEmail": "email@example.com"
        }
    ]
}
輸出訊息

「列出使用者」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Action successfully returned the Google Workspace Directory user list.

No users were returned.

 動作成功。
Failed to connect to the Google Workspace! Error is ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。
指令碼結果

下表說明使用「列出使用者」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

乒乓

使用「Ping」動作測試與 Google Workspace 的連線。

這項操作會對所有 Google SecOps 實體執行。

動作輸入內容

無

動作輸出內容

「Ping」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼結果 可用
指令碼結果

下表說明使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

從群組中移除成員

使用「Remove Members From Group」(從群組中移除成員) 動作，從 Google Workspace 群組中移除成員。

這項動作會在 Google SecOps User 實體上執行。

您可以使用「列出使用者」動作解決下列應用情境：

  • 自動執行使用者離職程序。
  • 執行動態群組管理作業。
  • 修正存取權控管問題。

動作輸入內容

「從群組中移除成員」動作需要下列參數：

參數 說明
Group Email Address

必填。

要移除成員的群組電子郵件地址。
User Email Addresses

選填。

請以逗號分隔清單的形式列出要從群組中移除的使用者。

動作會執行您為這個參數設定的值，以及 User 實體。

動作輸出內容

「從群組中移除成員」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼結果 可用
指令碼結果

下表說明使用「從群組中移除成員」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

撤銷使用者工作階段

使用「撤銷使用者工作階段」動作，撤銷使用者的網頁和裝置工作階段，並重設 Google Workspace 中的登入 Cookie。

這項動作會在 Google SecOps User 實體上執行。

動作輸入內容

「撤銷使用者工作階段」動作需要下列參數：

參數 說明
User Email Addresses

選填。

以半形逗號分隔的登出使用者清單。這項動作會使用 Google SecOps User 實體，執行這個參數中的值。

動作輸出內容

「撤銷使用者工作階段」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例顯示使用「撤銷使用者工作階段」動作時收到的 JSON 結果輸出內容：

[
   {
       "Entity": "ENTITY_ID",
       "EntityResult": {
           "Status": "done"
       }
   }
]
輸出訊息

「撤銷使用者工作階段」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully signed out the following users using Google Workspace: USERS

Action wasn't able to sign out the following users using Google Workspace: USERS

None of the provided users were found in Google Workspace.

動作成功。
Error executing action "Revoke User Sessions". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。
指令碼結果

下表列出使用「撤銷使用者工作階段」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

搜尋使用者活動事件

使用「Search User Activity Events」(搜尋使用者活動事件) 動作，從特定 Google SecOps User 實體的應用程式中擷取活動事件。

這項動作會在 Google SecOps User 實體上執行。

動作輸入內容

「搜尋使用者活動事件」動作需要下列參數：

參數 說明
User Email Addresses

選填。

以半形逗號分隔的額外使用者電子郵件地址清單，供系統處理。

除了User實體 (如有提供) 之外，這項動作也會處理這份清單中的所有使用者。
Application Names

必填。

要查詢活動事件的應用程式清單。

如需支援的應用程式完整清單，請參閱「ApplicationName 說明文件」。
Event Type Filter

選填。

以半形逗號分隔的待擷取事件類型清單。
Time Frame

選填。

活動搜尋的時間範圍。

可能的值如下：

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

如果選取 Custom，則必須提供 Start Time 參數。

預設值為 Last Hour。
Start Time

選填。

活動搜尋的時間範圍開始時間。

如果為 Time Frame 參數選取 Custom，則必須使用這項參數。

以 ISO 8601 格式設定值。
End Time

選填。

活動搜尋的時間範圍結束時間。

如果為 Time Frame 參數選取 Custom，此參數為選用參數，如未提供，則預設為目前時間。

以 ISO 8601 格式設定值。
Max Events To Return

必填。

每位使用者要傳回的事件數上限。

每個應用程式的每位使用者最多可處理 1000 個事件。

預設值為 200。

最大值為 1000。

動作輸出內容

「搜尋使用者活動事件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例顯示使用「搜尋使用者活動事件」動作時收到的 JSON 結果輸出內容：

{
   "Entity": "user@example.com",
   "EntityResult": [
      {
         "applicationName": "login",
         "type": "login",
         "name": "login_success",
         "parameters": [
            {
               "name": "login_type",
               "value": "google_password"
            },
            {
               "name": "login_challenge_method",
               "multiValue": [
                  "password"
               ]
            },
            {
               "name": "is_suspicious",
               "boolValue": false
            }
         ]
      },
      {
         "applicationName": "token",
         "type": "auth",
         "name": "authorize",
         "parameters": [
            {
               "name": "client_id",
               "value": "example-client-id.apps.googleusercontent.com"
            },
            {
               "name": "app_name",
               "value": "Google Chrome"
            },
            {
               "name": "client_type",
               "value": "NATIVE_DESKTOP"
            },
            {
               "name": "scope_data",
               "multiMessageValue": [
                  {
                     "parameter": [
                        {
                           "name": "scope_name",
                           "value": "https://www.google.com/accounts/OAuthLogin"
                        },
                        {
                           "name": "product_bucket",
                           "multiValue": [
                              "IDENTITY"
                           ]
                        }
                     ]
                  }
               ]
            },
            {
               "name": "scope",
               "multiValue": [
                  "https://www.google.com/accounts/OAuthLogin"
               ]
            }
         ]
      }
   ]
}
輸出訊息

「搜尋使用者活動事件」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully found events for the following users in Google Workspace: USERS.

No events were found for the following users in Google Workspace: USERS.

No events were found for the provided users in Google Workspace.

 動作成功。
Error executing action "Search User Activity Events". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「搜尋使用者活動事件」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新機構單位

使用「更新機構單位」動作更新機構單位 (OU)。

這項操作會對所有 Google SecOps 實體執行。

您可以使用「更新機構單位」動作解決下列用途：

  • 管理安全性群組。
  • 自動化使用者加入和退出程序。
  • 實施資料分離政策。

動作輸入內容

「更新機構單位」動作需要下列參數：

參數 說明
Customer ID

必填。

客戶 Google Workspace 帳戶的專屬 ID。

如要代表帳戶的 customerId 值，請使用 my_customer 預留位置。
Name

選填。

OU 的名稱。
Description

選填。

機構單位的說明。
OU Path

必填。

OU 的完整路徑。

如果機構單位位於根路徑下方 (/)，請只提供機構單位名稱，不要提供路徑。

動作輸出內容

「更新機構單位」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼結果 可用
指令碼結果

下表說明使用「更新 OU」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新使用者

使用「更新使用者」動作更新 Google Workspace 目錄使用者。

這項操作不會在 Google SecOps 實體上執行。

您可以使用「更新使用者」動作解決下列用途：

  • 停用遭入侵的帳戶。
  • 偵測到可疑活動後，強制重設密碼。
  • 完成員工轉移後，更新部門資訊。
  • 停用閒置帳戶。

動作輸入內容

「更新使用者」動作需要下列參數：

參數 說明
Email Address

必填。

以半形逗號分隔的主要電子郵件地址清單，用於識別要更新的使用者。
Given Name

選填。

使用者的名字。
Family Name

選填。

使用者的姓氏。
Password

選填。

新使用者的密碼。
Phone

選填。

使用者的電話號碼。

這項動作會更新 custom 電話號碼類型。
Gender

選填。

使用者的性別。

有效值如下：female、male、other、unknown。
Department

選填。

使用者所屬部門的名稱。
Organization

選填。

使用者所屬機構的名稱。
Change Password At Next Login

選填。

如果選取這個選項，系統會要求使用者在下次嘗試登入時變更密碼。

預設為未選取。
User Status

選填。

要更新的使用者狀態。

根據預設，這項動作不會變更使用者狀態。

可能的值如下：
  • Not Changed
  • Blocked
  • Unblocked

動作輸出內容

「更新使用者」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
輸出訊息

「更新使用者」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully updated the following users in Google Workspace: EMAIL_ADDRESSES.

Action wasn't able to update the following users in Google Workspace: EMAIL_ADDRESSES

None of the provided users were updated.

 動作成功。
Error executing action "Update User". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。
指令碼結果

下表說明使用「更新使用者」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。