組織の Google アプリを設定する

組織管理者が Haruno ダッシュボードでアプリを設定し、メンバーは次回の接続または再接続から使用します。

これは何ですか

メンバーが Gmail、Google カレンダー、Google ドライブに接続するとき、Haruno は内蔵アプリまたは組織に設定された Google アプリを通じて Google の許可を求めます。

組織管理者が Google Cloud でデスクトップ OAuth アプリを作成し、Haruno ダッシュボードの組織ページに登録します。メンバーは詳細をローカルで編集できません。Gmail とカレンダーは設定済みの組織アプリを使用し、Google ドライブではマイドライブモードだけが使用します。

接続は作成時のアプリを保持します

組織アプリを置き換えたり削除したりしても、既存の認可は変更されません。各接続は、メンバーが意図的に再接続するまで作成時のアプリを保持します。暗号化されたアプリ情報は管理者がダッシュボードで管理し、ローカル編集画面はありません。

必要なもの

Haruno の組織と、そのダッシュボードへの組織管理者アクセス。
Gmail、Calendar、Drive API を有効にした Google Cloud プロジェクト。
アプリケーションの種類が「デスクトップアプリ」の Google OAuth クライアント。
ダウンロードした JSON ファイル、またはクライアント ID とクライアントシークレット。

管理者は組織について一度設定します。メンバーは引き続き Haruno の「設定」→「統合」から各アカウントを接続または再接続します。

始める前に知っておきたいこと

時間をかける前に知っておきたい点が 2 つあります。どちらも手順 3 での選択によって決まります。

通常の Gmail アカウントの場合

新しい外部アプリは、審査を受けるまでテスト状態です。その間、メンバーは週に 1 回ほど再ログインが必要で、Google が「確認されていないアプリ」と表示します。組織管理者が対象ユーザーとテストユーザーを管理します。

警告画面では、組織管理者が組織のアプリであることを確認した場合に限り、「詳細」を開いて続行してください。

Google Workspace アカウントの場合

手順 3 で「外部」ではなく「内部」を選んでください。週 1 回の再ログインも、警告画面も、審査も不要になります。内部アプリは自分の組織のメンバーだけが使えます。

組織管理者は外部アプリの審査と公開を Google に申請して、週 1 回の再ログインをなくせます。審査には時間がかかり、制限付き Gmail アクセスでは組織が手配するセキュリティ評価が必要になる場合があります。

組織の Google アプリを作成する

組織管理者として Google Cloud コンソールを開き、組織用のプロジェクトを作成します（名前は「Haruno」などで構いません）。
作成したプロジェクトで「API とサービス」を開き、Gmail API、Google Calendar API、Google Drive API の 3 つを有効にします。1 つしか接続する予定がなくても、あとで戻らずに済むよう 3 つとも有効にしておきます。
同意画面（コンセント画面）の設定を開き、アプリ名とご自身のメールアドレスを入力します。対象ユーザーは、通常の Gmail アカウントなら「外部」、Google Workspace があり週 1 回の再ログインを避けたい場合は「内部」を選びます。
「外部」を選んだ場合は、Haruno に接続する可能性があるすべてのメンバーアカウントをテストユーザー一覧に追加します。テスト中は、この一覧にないアカウントはログインできません。
「認証情報」を開き、認証情報の作成から「OAuth クライアント ID」を選び、アプリケーションの種類は「デスクトップアプリ」を選びます。ウェブアプリケーションのクライアントではハルノでは使えません。
クライアントを作成した直後に Google が表示するダウンロードボタンから、JSON ファイルをすぐにダウンロードします。シークレットが表示されるのはこのときだけです。
Haruno ダッシュボードを開き、組織ページでダウンロードしたファイルをアップロードするか、クライアント ID とクライアントシークレットを入力します。アプリ管理はダッシュボード専用で、Windows クライアントにローカル編集画面はありません。メンバーは Haruno の「設定」→「統合」から Gmail、Google カレンダー、またはマイドライブを接続または再接続します。

Google はこれらの画面の名称をときどき変更します。上の手順と少し違う表記になっていた場合は、文言そのものではなく同じ意味の項目を探してください。

それぞれの権限でできること

メンバーが接続すると、Google はそのコネクタとアクセスモードに必要な権限を表示します。必須の権限を外すと接続は拒否されます。

Google の画面に表示される権限	ハルノができるようになること
ユーザーに代わってメールを送信	メールの作成と送信、および承認済みの返信の送信。
メールの読み取り、作成、削除	メールの検索と閲覧、添付ファイルを開く、スレッド内での返信、ラベルによる整理、メッセージをゴミ箱へ移動。
メールのラベルの管理	ラベルの作成、名前変更、適用。上の行を許可した場合はすでに含まれています。
すべてのカレンダーの予定の表示と編集	予定の確認と、イベントの作成・変更・キャンセル。
このアプリで使用する Google ドライブのファイルのみの表示・編集・作成・削除	接続フォルダモードは Haruno 内蔵アプリを使用し、アプリが作成した Haruno フォルダをルートにします。Drive のウェブ画面で既存のマイドライブ項目を移動しただけでは表示されません。
Google ドライブのすべてのファイルの表示・編集・作成・削除	マイドライブモードは組織アプリを使用し、完全な Drive 権限を要求して、アカウントのマイドライブをルートにします。フォルダ共有ポリシーで狭めることはできますが、別モードを広げることはできません。

必須アクセスは選択したモードで決まります

Gmail には「ユーザーに代わってメールを送信」が必要です。Google ドライブの接続フォルダモードは Haruno 内蔵アプリの drive.file 権限、マイドライブモードは組織アプリの完全な Drive 権限が必要です。フォルダ共有ポリシーは接続を狭められますが、広げることはできません。

スケジュール実行への影響

「メールの読み取り、作成、削除」を許可すると、あなたが席を外している間に動くスケジュール実行が、事前確認なしにメッセージをゴミ箱へ移したり下書きを用意したりできるようになります。メッセージの送信、返信、イベントへの招待など、コンピューターの外に出る操作は、これまでどおり戻ってきたときの承認待ちになります。ゴミ箱に移したメールは Gmail で 30 日間は復元できます。

組織アプリを置き換える・削除する

組織管理者が Haruno ダッシュボードの組織ページで Google アプリを置き換えたり削除したりします。組織アプリがない場合、新しい Gmail とカレンダー接続は内蔵アプリを使用し、新しいマイドライブ接続は設定されるまで利用できません。

既存の認可はさかのぼって変更されません。接続は作成時のアプリを保持し、メンバーがそのコネクタを意図的に再接続したときに現在の組織アプリへ移ります。

うまくいかないとき

表示される内容	意味と対処
Error 403: access_denied	メンバーのアカウントが組織アプリのテストユーザー一覧にありません。組織管理者に Google Cloud コンソールで追加してもらい、もう一度お試しください。
Google のログイン画面ではなくブラウザのエラーページが表示される	作成したクライアントがウェブアプリケーション用です。作り直して、アプリケーションの種類に「デスクトップアプリ」を選んでください。
週に 1 回ほど Google への再ログインを求められる	組織アプリがまだテスト状態です。不具合ではなく Google の仕様です。再接続は数秒で終わり、Google Workspace の内部アプリにすれば制限はなくなります。
accessNotConfigured を含むメッセージ	3 つのサービスのいずれかがプロジェクトで有効になっていません。「API とサービス」に戻り、Gmail、Google Calendar、Google Drive の API を有効にしてください。
「このアプリは Google で確認されていません」	テスト中の組織アプリでは想定される表示です。組織管理者がアプリの識別情報を確認した場合に限り続行してください。
切り替えのために再ログインを求められる	その接続は別のアプリで作成されています。該当コネクタを再接続すると、組織の現在のアプリへ移行できます。

次のステップ

組織アプリはダッシュボードで管理されます。メンバーはツールを接続または再接続し、Haruno がアクセスできる範囲を確認できます。

コネクタ

ハルノが接続できるアプリを確認します。

権限

ハルノがアクセスできる範囲を確認・変更します。

FAQ

よくある質問への回答です。