1. ドメイン・ユーザー・ディレクトリ
ドメインの追加と検証・メール認証
Google Workspace はプライマリドメインで開始し、必要に応じてセカンダリドメインやドメインエイリアスを追加します。追加時は所有確認（TXT / CNAME / MX レコード、または HTML ファイル・メタタグ）が必要です。
| 種類 | 特徴 |
|---|---|
| プライマリドメイン | アカウントの基本ドメイン。ユーザー名の既定サフィックス |
| セカンダリドメイン | 別ドメインのアドレスを持つ別ユーザーを作れる（例：user@sub.example.jp） |
| ドメインエイリアス | 既存ユーザーに別ドメインのメールアドレスを追加（ユーザーは増えない） |
メール関連の DNS
| レコード | 目的 |
|---|---|
| MX | Gmail へメールを配送。現行は smtp.google.com（優先度1）の単一レコード。従来の ASPMX.L.GOOGLE.COM 系も利用可 |
| SPF (TXT) | 送信元サーバーの許可リスト。v=spf1 include:_spf.google.com ~all |
| DKIM (TXT) | 送信メールへの電子署名。管理コンソールで鍵を生成（2048 ビット推奨）し、google._domainkey に公開鍵を登録後「認証を開始」 |
| DMARC (TXT) | _dmarc に設定。SPF/DKIM 不一致時の扱い（none / quarantine / reject）とレポート送付先を指示 |
DMARC は SPF か DKIM のどちらかが「アライメント付きで合格」すれば通る。まず
p=none で監視 → quarantine → reject と段階的に強化する。ユーザーの作成・変更・削除
ユーザーは管理コンソールから個別作成、CSV 一括アップロード、GCDS（ディレクトリ同期）、外部 IdP の自動プロビジョニング、Directory API で作成できます。
| 操作 | ポイント |
|---|---|
| 停止（Suspend） | ログイン不可にするがデータ・ライセンスは保持。メールは受信可能。退職予定者の一時対応に |
| 削除（Delete） | 削除から約20日間は復元可能。削除時にドライブ等のデータを他ユーザーへ移行できる |
| アーカイブユーザー | ライセンス（Archived User）に切り替えてデータを保持（Vault 保持・法的保全目的）。ログイン不可 |
| データ移行（Transfer） | ドライブ／ドキュメント、カレンダー、グループ等の所有権を別ユーザーに移す |
| パスワードリセット | 管理者がリセットし「次回ログイン時に変更」を強制できる |
メールアドレスのエイリアス追加はユーザー作成不要で別名受信を実現。ユーザー名変更時は旧アドレスが自動でエイリアスになる。
ディレクトリ同期とライセンス
Google Cloud Directory Sync（GCDS）は、AD / LDAP の情報を一方向（オンプレ → Google）に同期するツール。設定は Configuration Manager で行い、最初は必ずシミュレーションで削除対象などを確認してから本番同期します。同期対象はユーザー、グループ、OU、共有連絡先など。パスワードの同期には別途 Google Password Sync を使うか、SSO を採用します。
- Microsoft Entra ID / Okta 等からの自動プロビジョニング（SCIM 相当）も利用可能
- 管理コンソールが「正」ならディレクトリ同期は使わない。AD を「正」にするなら GCDS で上書き
エディションとライセンス
Business Starter / Standard / Plus、Enterprise Starter / Standard / Plus、Essentials、Frontline など。上位ほどストレージ・Meet 人数・Vault・DLP・Context-Aware Access・高度なモバイル管理等が増えます。ライセンスは OU 単位で自動割り当てでき、ユーザー作成時に自動付与できます。
管理者ロール
| ロール | 概要 |
|---|---|
| スーパー管理者 | 全権限。日常業務には使わず、複数（目安2〜4名）を専用アカウントで持つ。2SV／セキュリティキー必須化を推奨 |
| グループ管理者 | グループの作成・管理 |
| ユーザー管理管理者 | ユーザー作成・パスワードリセット（スーパー管理者は除く） |
| ヘルプデスク管理者 | パスワードリセット等の限定権限（非管理者ユーザー対象） |
| サービス管理者 | サービス設定の管理 |
| モバイル管理者 | モバイルデバイスの管理 |
| カスタムロール | 必要な権限だけを選んで作成し、OU やグループ単位の範囲で付与（最小権限） |
スーパー管理者のアカウントが 1 つだけだと復旧が困難。管理者アカウントのリカバリ手段を事前に整備する。