Google Workspace

Google Workspace は、メール (Gmail)、カレンダー、ファイル共有 (Drive)、ドキュメント作成 (Docs/Sheets/Slides)、ビデオ会議 (Meet)、チャットなどを 1 つにまとめた、Google のクラウド型グループウェア (SaaS) です。組織は独自ドメインでメールを運用しながら、共同編集やオンライン会議といった日常業務のツールをブラウザだけで使え、管理者は専用の管理コンソールからユーザーやセキュリティをまとめて管理できます。

解決する課題

• メール・カレンダー・ファイル共有・会議といった日常の業務ツールを個別に契約・運用する手間をなくしたい
• 自社サーバーを持たずに、独自ドメインのメール (例: 名前＠会社ドメイン) を運用したい
• 同じファイルを複数人で同時に共同編集し、版が分かれる問題を避けたい
• 社外を含む相手と手軽にオンライン会議を開きたい
• 退職・異動のたびに発生するアカウントやアクセス権の管理を一元化したい
• 端末や場所を問わず、ブラウザだけで同じ環境にアクセスできるようにしたい

主要概念と用語

• テナント / 組織 (Organization): 会社や団体ごとに割り当てられる Workspace の単位。独自ドメインを紐づけて運用する
• 管理コンソール (Admin Console): 管理者がユーザー・グループ・デバイス・セキュリティ設定を一括管理する Web 画面
• ユーザーアカウント: 個人ごとのログイン単位。ライセンスを割り当てて各アプリを使えるようにする
• 組織部門 (OU, Organizational Unit): ユーザーを階層的にまとめる単位。部門ごとに異なるポリシーを適用できる
• グループ (Google グループ): メーリングリストや権限のまとまり。複数ユーザーへの一括配信・一括権限付与に使う
• 共有ドライブ (Shared Drive): 個人ではなくチームに帰属するファイル置き場。担当者が退職してもファイルが残る
• Gmail / Calendar / Drive / Docs・Sheets・Slides / Meet / Chat: メール・予定・ストレージ・文書作成・会議・チャットの各アプリ
• エディション (プラン): Business 系や Enterprise 系などの契約区分。容量や管理・セキュリティ機能の範囲が異なる

仕様・制限・クォータ

• 利用はユーザー単位のサブスクリプション (月額/年額) で、契約したライセンス数だけアカウントを作れる
• 独自ドメインの所有確認を行い、DNS にメール用レコード (MX など) を設定して運用を開始する
• 1 ユーザーあたりのストレージ容量はエディションによって異なり、組織全体でプールされる形のプランもある
• Gmail には送信件数や添付容量の上限、Meet には参加人数や録画可否などの上限があり、いずれもエディションで差がある
• 共有ドライブのファイル数・容量などにも上限があり、具体的な数値は変動するため最新は公式ドキュメントで確認する

内部の仕組み

利用者から見ると、Google Workspace は各アプリを Google がクラウドで運用するマネージドな SaaS です。メールサーバーやファイルサーバー、会議システムを自社で構築・保守する必要はなく、ユーザーはブラウザやモバイルアプリからログインして同じ環境にアクセスします。

組織の起点となるのは独自ドメインです。ドメインの所有確認後、DNS にメール配送用のレコードを設定すると、そのドメイン宛のメールが Gmail で送受信できるようになります。ユーザーはドメイン配下のアカウントとして作成され、組織部門 (OU) やグループで束ねられます。OU ごとにポリシーを変えれば、部門単位で異なる設定 (共有範囲やアプリの利用可否など) を適用できます。

ファイルは Drive に保存され、共同編集ではサーバー側で変更がリアルタイムに統合されるため、複数人が同時に編集しても版が分かれません。チームのファイルは共有ドライブに置くことで、個人アカウントに依存せずチームに帰属させられます。可用性・スケーリング・バックエンドの更新はすべて Google 側の責務で、管理者はユーザーと設定の管理に集中します。

設計パターン / ベストプラクティス

• 組織部門 (OU) で部門ごとにポリシーを分ける。全社共通の基本設定を上位に置き、必要な部門だけ個別に上書きする
• チームのファイルは共有ドライブに集約する。個人マイドライブに業務ファイルを溜めず、退職・異動でファイルが失われない構成にする
• 権限はグループ単位で付与する。個人ごとに共有設定すると管理が破綻しやすいので、グループに権限を与えメンバー入れ替えで運用する
• 外部共有のポリシーを明確にする。社外共有の可否やリンク共有の既定をルール化し、機密度に応じて制限する
• 二段階認証 (多要素認証) を全社で必須化し、アカウント乗っ取りのリスクを下げる
• 退職時のオフボーディング手順を定型化する。アカウント停止・データ移管・共有ドライブへの引き継ぎを手順化しておく

運用・監視

• 管理コンソールのレポート/監査ログで、ログイン状況・ファイル共有・管理操作などのアクティビティを継続的に確認する
• アラート機能を設定し、不審なログインや大量の外部共有といった兆候を早期に検知する
• ライセンスの割り当て状況を定期的に棚卸しし、未使用ライセンスや退職者アカウントを整理してコストを抑える
• 重要な設定変更 (共有ポリシーやセキュリティ設定) は変更前後を記録し、影響範囲を把握できるようにする
• データ保護機能を持つエディションでは、保持ルールや電子情報開示 (eDiscovery) を要件に応じて整備する

コスト

課金は基本的にユーザー (ライセンス) 単位のサブスクリプションで、エディションごとに 1 ユーザーあたりの月額/年額が決まります。容量や管理・セキュリティ機能の範囲がプランで異なるため、必要な機能から逆算して選びます。単価や無料枠・含まれる機能は変動するため、最新は公式の料金ページで確認します。

セキュリティ

• 二段階認証 (多要素認証) を必須化し、パスワード漏えいだけでは侵入されない状態にする
• 管理者権限は最小限の担当者に限定し、強い権限のアカウントほど認証を厳格にする
• 外部共有ポリシーを設計し、社外へのファイル共有やリンク共有の既定を機密度に応じて制限する
• 端末管理 (モバイルデバイス管理) で、紛失端末のリモートワイプや画面ロック必須などのルールを適用する
• 上位エディションでは、データ損失防止 (DLP)・保持ルール・eDiscovery・高度な監査などでデータ保護とコンプライアンスを強化できる
• 不審なログインや大量共有をアラートで検知し、必要に応じてセッション失効やパスワード再設定を行う

関連サービス・比較

Workspace のアカウントは Google Cloud のログイン基盤としても使え、組織のユーザー管理 (Cloud Identity と連携) を通じて GCP のリソースアクセスとつなげられます。社外向けのアプリ認証など別用途には Identity Platform が適します。AWS には Workspace 全体に正面から相当するグループウェアはなく、機能ごとに WorkMail (メール) や WorkDocs などが対応します。最も近い競合は Microsoft の Microsoft 365 です。

ハンズオン / CLI例

# Google Workspace の管理は主に管理コンソール (admin.google.com) で行うが、
# ユーザー一括管理は Admin SDK / GAM などの API/ツール経由でも自動化できる。
# ここでは Google Cloud 側の連携設定を gcloud で確認する例を示す。

# 1) Cloud Identity / Admin SDK 関連 API を有効化（自動化の前提）
gcloud services enable \
  cloudidentity.googleapis.com \
  admin.googleapis.com \
  --project=MY_PROJECT

# 2) 組織 (Workspace ドメインに対応) を確認する
gcloud organizations list

# 3) 組織内のグループを一覧表示する（Cloud Identity 連携）
gcloud identity groups search-transitive-groups \
  --organization=ORG_ID

# 4) 自動化サービス用のサービスアカウントを作成する例
gcloud iam service-accounts create workspace-automation \
  --display-name="Workspace automation" \
  --project=MY_PROJECT