Tarvitseeko IT-palveluntarjoajasi pääkäyttäjän oikeudet? 14 toimintoa, jotka Google Workspace sallii vain pääkäyttäjälle

Lähes jokainen Google Workspacea ylläpitävä IT-palveluntarjoaja pyytää pääkäyttäjän (super admin) tiliä. Se on kätevämpää. Pääkäyttäjä voi kuitenkin tehdä kaiken: vaihtaa minkä tahansa työntekijän salasanan, lukea minkä tahansa käyttäjän postin Vaultin kautta, poistaa tilejä, antaa itselleen tai muille oikeuksia, kytkeä tietoturva-asetukset pois. Yritykselle, jonka data on arvokasta, ja erityisesti valvotulle yritykselle, tämä on kysymys, joka pitää esittää ennen sopimuksen allekirjoittamista, ei vasta tietoturvapoikkeaman jälkeen.

Mitä Google varaa vain pääkäyttäjälle

Google julkaisee listan toiminnoista, joita ei voi delegoida millekään mukautetulle järjestelmänvalvojan roolille. Googlen järjestelmänvalvojan dokumentaation mukaan (luettu 29.9.2026) ne ovat:

1. Järjestelmänvalvojan roolien luominen ja myöntäminen.
2. Muiden järjestelmänvalvojien hallinta, mukaan lukien heidän salasanojensa ja toisen tekijän vaihtaminen.
3. Kaksivaiheisen vahvistuksen pakottaminen käyttöön.
4. Google Workspace Marketplace -sovellusten asentaminen koko verkkotunnukselle.
5. Verkkotunnuksen laajuisen delegoinnin (domain-wide delegation) myöntäminen ja API-asiakkaiden pääsyn hallinta.
6. Googlen määrittäminen SAML-identiteetintarjoajaksi, SAML-sovellusten lisääminen tai muuttaminen.
7. Poistettujen käyttäjien palauttaminen.
8. Tiedostojen omistajuuden siirto käyttäjää poistettaessa.
9. Tuotteen käyttöehtojen hyväksyminen.
10. Usean osapuolen hyväksynnän (multi-party approval) kytkeminen päälle tai pois.
11. Datan migraatiopalvelun käyttö.
12. Hallitsemattomien tilien kutsuminen hallituiksi tileiksi.
13. Kalenteriresurssien käyttöoikeustasojen hallinta.
14. Toisen järjestelmänvalvojan tilin asetusten muuttaminen.

Huomaa, mitä tällä listalla ei ole: käyttäjien luominen ja hallinta, ryhmien hallinta, Gmail- ja Drive-asetukset, tietoturva-asetukset, DLP-säännöt, raportit ja tarkastuslokit, Hälytyskeskus, Vault. Kaikki tämä on delegoitavissa mukautetulla roolilla, ja monilla alueilla on lisäksi erilliset luku- ja hallintaoikeudet.

Mitä tämä tarkoittaa päivittäiselle ylläpidolle

Pääkäyttäjän 14 toiminnosta yhtäkään ei tarvita päivittäisessä valvonnassa. Suurin osa niistä on kertaluonteisia (käyttöönoton aikana) tai poikkeustapauksia (järjestelmänvalvojan pääsyn palautus, varmuuskopiotuotteen vaihto). Siksi palveluntarjoajan pääsy voidaan jakaa kolmeen tilaan:

• Pysyvä pääsy – mukautettu rooli lukuoikeuksilla: raportit ja tarkastuslokit, Hälytyskeskus, tietoturvapaneeli, käyttäjien, ryhmien ja organisaatioyksiköiden lukeminen, DLP-sääntöjen katselu. Se riittää valvontaan, lokien läpikäyntiin ja todisteiden valmisteluun.
• Oma järjestelmänvalvojasi kirjallisen ohjeen mukaan – kaikki muutokset, jotka vaativat hallintaoikeuksia, tekee oma järjestelmänvalvojasi, ja palveluntarjoaja kertoo, mitä ja miksi pitää muuttaa. Toiminto pysyy sinun käsissäsi ja sinun tililläsi.
• Tilapäinen korotus – jos haluat, että palveluntarjoaja suorittaa tietyn tehtävän, pääkäyttäjäsi myöntää tarvittavan oikeuden ennen työtä ja poistaa sen työn jälkeen. Google ei tarjoa sisäänrakennettua määräaikaista myöntämistä, joten myöntäminen ja poistaminen ovat kaksi tietoista toimenpidettä, molemmat näkyvissä järjestelmänvalvojan tarkastuslokissa.

Miten valvot palveluntarjoajaa

• Nimetyt tilit jokaiselle palveluntarjoajan henkilölle, ei jaettuja tilejä. Jokainen toimenpide on kohdistettavissa ihmiseen.
• Hälytyssäännöt järjestelmänvalvojan roolien muutoksista ja palveluntarjoajan tilin järjestelmänvalvojatoimenpiteistä, jotka lähetetään myös omalle IT-vastaavallesi.
• Kuukausittainen ote järjestelmänvalvojan tarkastuslokista, suodatettuna palveluntarjoajan tilien mukaan, jonka sinun puolesi allekirjoittaa.
• Fyysinen suojausavain (FIDO2) palveluntarjoajan tilillä ja Enterprise-versioissa kontekstiriippuvainen pääsytaso: vain hallitusta laitteesta, vain Latviasta.
• Neljännesvuosittainen pääsyoikeuksien uudelleensertifiointi, jossa palveluntarjoajan rooli ja kaikki vuosineljänneksen aikana myönnetyt korotukset ovat oma rivinsä.

Palveluntarjoaja ei voi muokata tarkastuslokia, joten voit milloin tahansa tarkistaa hänen toimenpiteensä ilman hänen osallistumistaan.

Milloin pääkäyttäjää kuitenkin tarvitaan

Käyttöönottovaiheessa – roolien luomiseen, 2SV:n pakottamiseen, verkkotunnuksen laajuiseen delegointiin varmuuskopio- tai MDM-integraatiota varten. Silloinkin on vaihtoehtoja: pääkäyttäjäsi tekee toimenpiteet palveluntarjoajan läsnä ollessa näytönjaossa, tai palveluntarjoajan tili saa pääkäyttäjän roolin tietyksi työikkunaksi ja menettää sen sen jälkeen. Molemmat vaihtoehdot ovat hyväksyttäviä, jos ne on dokumentoitu ja ne näkyvät lokissa.

Jos palveluntarjoaja sanoo, että ylläpito ei ole mahdollista ilman pysyvää pääkäyttäjää, pyydä häntä nimeämään, mitä 14 toiminnosta hän tarvitsee joka päivä. Yleensä vastaus on – ei mitään.

Tarjoamme Google Workspacen tietoturvavalvontaa ilman pysyviä pääkäyttäjän oikeuksia. Pääsymalli on kuvattu tietoturva-auditoinnin ja valvonnan palvelusivulla.