WEB問題集
管理者が新入社員 1 名を管理コンソールから手動で追加します。最初のログインで本人にパスワードを必ず変更させたい場合、ユーザー作成時に行う最も適切な操作はどれですか。
解説
正解の根拠
管理コンソールの新規ユーザー追加画面には「次回ログイン時にパスワードを変更するよう要求する」というオプションがあり、有効にして作成すると、本人が最初にサインインした時点でパスワード変更画面が強制的に表示され、変更を完了するまで先に進めません。管理者が発行する初期パスワードは管理者や連絡経路にも知られている値なので、作成と同時にこのフラグを立てておくことで、初期パスワードがそのまま常用パスワードとして残るのを防げます。追加のスクリプトや後追いの操作が不要な、標準の手順です。
初回ログイン強制変更の方法比較
| 方法 | 事前設定 | 運用負荷 |
|---|---|---|
| 新規ユーザー作成画面のチェック | 可能 | 低 |
| 後からパスワードリセット | 追加操作必要 | 中 |
| API による属性付与 | 可能だが過剰 | 高 |
不正解の理由
- A: 後からのリセットは追加手順となり、初回ログイン時の強制変更フラグを直接設定するほうが効率的です。
- C: API は同じ属性を扱えますが、UI で完結する場面で API を使うのは過剰です。
- B: アカウント回復フローはユーザー側の操作であり、管理者の事前設定として不適切です。
退職者が出ました。本人のメールや Drive のデータは別の社員に引き継ぎたいですが、ライセンスはすぐに開放したくありません。どの順序で操作するのが適切ですか。
解説
正解の根拠
退職処理ではまずアカウントを停止 (suspend) してサインインとメール受信を止め、資格情報が使われ続ける状態を断ちます。停止中もデータはそのまま保持されるため、この状態で Gmail のデータ移行や管理コンソールの Data transfer による Drive の所有権移管を行えば、引き継ぎ先の社員がファイルとメールをそのまま利用できます。移管後に Archived User ライセンスへ切り替えると、サインインできない状態でデータだけが残り、Vault での検索や書き出しの対象として保持したまま、通常ライセンスより低いコストで長期保管できます。停止から移行、そして Archived User という順序が、ライセンスをすぐ開放せずデータを引き継ぐ要件に一致します。
退職処理の選択肢比較
| 処理 | データ保持 | ライセンス |
|---|---|---|
| 削除 | 20 日のみ復元可 | 即解放 |
| 停止 | 保持 | 占有 |
| Archived User | 長期保持 | 低コスト |
不正解の理由
- A: 先に削除すると復元できるのは 20 日以内に限られ、削除済みアカウントは Data transfer の送信元に指定できないため、引き継ぎの手段そのものを失います。
- C: 退職者本人にエクスポートと引き継ぎを任せる方式は、実施の完了を管理者が確認できず、対象漏れやデータの持ち出しを防げません。
- D: サービスをオフにしてもアカウントは通常ライセンスを消費し続け、ファイルの所有者も退職者のままなので、引き継ぎは行われません。
営業部 200 名を一度に Workspace に追加します。最も標準的かつスケールする方法はどれですか。
解説
正解の根拠
管理コンソールには CSV による一括追加機能があり、最大 150,000 行まで一度に処理できます。テンプレート CSV をダウンロードし、必須列 (First Name、Last Name、Email Address、Password、Org Unit Path) を埋めてアップロードします。
追加方法のスケール比較
| 手段 | 件数目安 | 用途 |
|---|---|---|
| 手動 | ~10 | 少数 |
| CSV 一括 | ~150,000 | 大量追加 |
| Directory API/GCDS | 継続的 | HR システム連携 |
不正解の理由
- A: 200 名を 1 件ずつ追加するのは時間がかかり実務に合いません。
- B: Workspace アカウントは管理者が作成するもので、ユーザーが招待で自己登録する仕組みではありません。
- C: フォーム集計後に手動入力するのは CSV 一括より工数がかかります。
本社の HR システム (Active Directory) を信頼できる単一のユーザーソースとして、Workspace のユーザーを継続的に同期したいです。Google が公式に提供する同期ツールはどれですか。
解説
正解の根拠
GCDS は Active Directory などの LDAP ディレクトリを読み取り専用で参照し、Workspace 側のユーザー、グループ、組織単位、共有連絡先を LDAP 側の状態に一致させる公式ツールです。同期は LDAP から Workspace への一方向で、Workspace 側の変更が AD に書き戻されることはありません。差分だけを適用し、削除件数の上限などの安全弁、Simulate sync による事前確認、スケジューラでの定期実行に対応するため、HR システムを単一の信頼できるソースとして継続同期する要件に合致します。
主要ツールの目的比較
| ツール | 主目的 |
|---|---|
| GCDS | LDAP からのユーザー同期 |
| Workspace Migrate | 他社サービスからのデータ移行 |
| Drive for desktop | Drive のクライアント同期 |
| Apps Script | 軽量自動化 |
不正解の理由
- A: Workspace Migrate は他システムからメールやファイルなどのデータを移行するためのツールで、ディレクトリを継続的に突き合わせて同期し続ける機能はありません。
- C: Drive for desktop は端末と Drive のファイルを同期するクライアントで、ユーザーやグループといったディレクトリ情報は扱いません。
- D: Apps Script のトリガーで API を呼ぶ方式は自作の実装となり、削除の安全弁も事前シミュレーションも無く、実行時間の上限もあるため継続同期の基盤にはなりません。
本社の Active Directory に対して GCDS を使用したテスト同期を行いたいです。本番に変更を加える前に差分の確認だけを行いたい場合、どのオプションを使いますか。
解説
正解の根拠
GCDS の Configuration Manager には、LDAP 側 (Active Directory) と Workspace 側の状態を突き合わせて差分だけを算出し、Workspace には一切書き込まないシミュレーション実行があります。実行するとレポートに追加されるユーザー、削除されるユーザー、更新される属性が一覧され、検索フィルタや除外ルールの誤りでアカウントが大量に削除される、といった事故を反映前に発見できます。GCDS は LDAP 側を正とする一方向同期で、実行すれば削除も含めて差分がそのまま適用されるため、構成を変更したときはまずシミュレーションで件数と対象を確認し、想定どおりであってから実際の同期を行うのが推奨手順です。
GCDS の実行モード
| モード | 動作 |
|---|---|
| Simulate sync | 差分を表示するのみ・書き込みなし |
| Sync & apply changes | 差分を Workspace に反映 |
不正解の理由
- A: これは算出した差分をそのまま Workspace に書き込むモードで、確認する前に実データが変更されてしまうため、テスト目的では使えません。
- B: GCDS には同期結果を巻き戻すロールバック機能がありません。誤同期は LDAP 側や設定を直したうえで再同期して整合させる必要があり、事前確認の代わりにもなりません。
- D: 監査ログは実行後に何が起きたかを残す記録で、これから何が変更されるかを事前に提示するものではないため、反映前の差分確認には使えません。