Konfiguration von Enterprise-Daten-Konnektoren und ACL-Berechtigungszuordnung in Glean für Google Workspace und Slack

Die Vertrauenswürdigkeit einer unternehmensweiten Suchplattform und generativer KI-Assistenten steht und fällt mit der zugrunde liegenden Zugriffskontrollarchitektur. Wenn IT-Administratoren Glean über Google Workspace und Slack hinweg bereitstellen, gilt eine unverhandelbare Prämisse: Weder Suchergebnisse noch KI-generierte Antworten dürfen vertrauliche Dokumente, geschützte private Slack-Kanäle oder persönliche Direktnachrichten (DMs) für unbefugte Mitarbeiter sichtbar machen.

Glean definiert hierfür keine isolierten, redundanten Sicherheitsrichtlinien. Stattdessen spiegelt es die nativen Zugriffskontrolllisten (Access Control Lists, ACLs) der Quellsysteme über eine Dual-Engine-Architektur wider: Berechtigungsbewusste Indizierung bei der Aufnahme (Ingestion-time Permission-Aware Indexing) für asynchrone Dokumentenablagen wie Google Drive und föderierte Zero-Copy-Echtzeitsuche (Slack RTS, Real Time Search) für hochdynamische Kommunikationsplattformen wie Slack. Die Synchronisation beider Welten erfolgt über den automatisierten Identitätsgraphen (Identity Graph) von Glean, der E-Mail-Aliase, anwendungsübergreifende UIDs und verschachtelte Gruppenmitgliedschaften gegen den zentralen Identity Provider (IdP) auflöst.

Diese Anleitung führt IT-Administratoren und Sicherheitsverantwortliche Schritt für Schritt durch die Konfiguration der Konnektoren, das Berechtigungs-Mapping, die Handhabung nativer Freigaberegeln und die Verifikation der ACL-Konformität.

1. Architektur: Das Dual-Engine-Modell und der Identitätsgraph

Um Glean vorschriftsmäßig einzurichten, müssen Administratoren verstehen, wie Berechtigungen in Abhängigkeit vom Quellsystem verarbeitet werden:

                           +-------------------------------------+
                           |    Zentraler IdP (Identitätsanbieter|
                           |  (Okta / Entra ID / Google Identity)|
                           +------------------+------------------+
                                              |
                                              v
                           +-------------------------------------+
                           |     Glean Einheitlicher Identitäts- |
                           |                 graph               |
                           |  - Abgleich von E-Mail-Aliasen      |
                           |  - Auflösung verschachtelter Gruppen|
                           |  - Zuordnung von UIDs (z. B. Slack) |
                           +------------------+------------------+
                                              |
                     +------------------------+------------------------+
                     |                                                 |
                     v                                                 v
  +-------------------------------------+   +-------------------------------------+
  |     Google Workspace Konnektor      |   |            Slack Konnektoren        |
  | (Google Drive / Gmail / Groups)     |   | (Slack Metadaten + Slack RTS)       |
  +------------------+------------------+   +------------------+------------------+
                     |                                                 |
  - GCP-Dienstkonto & domänenweite Delegation - Zentrale Marketplace-App (OAuth)
  - Indizierung von Inhalt & ACL-Tokens       - Identitäts-Crawls & Relevanzsignale
  - Änderungen-APIs / Webhooks in Echtzeit    - Föderierte Zero-Copy-Abfrage (RTS)
  - Exakte Spiegelung von Link-Freigaben      - Native Autorisierung privater Kanäle
                     |                                                 |
                     +------------------------+------------------------+
                                              |
                                              v
                           +-------------------------------------+
                           |     Sicherheitsfilter zur Abfrage   |
                           | Benutzer-Prinzipale ∩ Dokument-ACLs |
                           |      + Echtzeit-Föderationsstrom    |
                           +------------------+------------------+
                                              |
                                              v
                           +-------------------------------------+
                           |  Vollständig ACL-konforme Such-     |
                           |   ergebnisse und KI-Antworten       |
                           +-------------------------------------+

Berechtigungsbewusste Indizierung bei der Aufnahme (Google Drive)

Für statische Dateisysteme wie Google Drive erfasst Glean bei der Indizierung den Inhalt parallel zu den verknüpften Sicherheitsprinzipalen (einzelne Benutzerkonten, Google Groups, unternehmensweite Richtlinien). Jedes Dokument wird zusammen mit einem eindeutigen Set an ACL-Sicherheitstokens im Index abgelegt. Wenn ein Mitarbeiter eine Suche ausführt, ermittelt Glean die aktiven Identitäten des Benutzers (einschließlich aller geerbten Gruppenmitgliedschaften) und filtert die Treffermenge auf Indexebene. Dokumente ohne Zugriffsberechtigung werden noch vor der Relevanzberechnung oder KI-Synthese vollständig ausgeschlossen.

Föderierte Zero-Copy-Echtzeitsuche (Slack RTS)

Konversationen in Slack entstehen in Sekundenschnelle, und Kanalmitgliedschaften ändern sich fortlaufend. Eine klassische Batch-Indizierung wäre hier zu träge und sicherheitstechnisch bedenklich. Glean setzt daher auf Slack Real Time Search (RTS) – einen föderierten Zero-Copy-Konnektor. Glean speichert die Nachrichtentexte aus Slack nicht persistent im zentralen Suchindex. Stattdessen ruft Glean im Moment der Benutzerabfrage die nativen Such-APIs von Slack (assistant.search.context und search.messages) im Kontext des suchenden Benutzers auf. Slack entscheidet selbst, ob der Benutzer berechtigt ist, den öffentlichen Kanal, privaten Kanal oder Gruppen-DM einzusehen. Unberechtigte Konversationen werden auf Protokollebene gar nicht erst übertragen.

Der einheitliche Identitätsgraph

Zugriffskontrollen versagen, wenn das Suchsystem nicht weiß, dass die Slack-Benutzer-ID U12345678 zur Google Workspace-Adresse benutzer@firma.de gehört. Glean synchronisiert sich mit dem zentralen IdP (z. B. Okta, Microsoft Entra ID oder Google Workspace Identity), um ein kanonisches Profil zu erstellen, das Hauptadressen, sekundäre Aliase und anwendungsspezifische UIDs bündelt.

2. Konfiguration des Google Workspace Konnektors und Berechtigungsabgleich

Die Anbindung von Google Workspace erfordert ein Dienstkonto auf der Google Cloud Platform (GCP) sowie die Einrichtung einer domänenweiten Delegation (Domain-Wide Delegation) in der Google Workspace Admin-Konsole. Dadurch kann Glean als autorisierter Administrator Verzeichnisdaten und Datei-ACLs synchronisieren, während die Sicherheit auf Dokumentebene (DLS) gewahrt bleibt.

Schritt 1: GCP-Dienstkonto anlegen

1. Melden Sie sich in der Google Cloud Console unter dem Projekt Ihrer Organisation an.
2. Navigieren Sie zu IAM & Verwaltung → Dienstkonten und klicken Sie auf Dienstkonto erstellen.
3. Vergeben Sie einen eindeutigen Namen (z. B. glean-enterprise-connector) und eine Beschreibung.
4. Öffnen Sie nach der Erstellung das Dienstkonto, wechseln Sie zum Reiter Schlüssel, wählen Sie Schlüssel hinzufügen → Neuen Schlüssel erstellen, entscheiden Sie sich für JSON und speichern Sie die Datei sicher ab.
5. Kopieren Sie in den Kontodetails die rein numerische OAuth 2-Client-ID (Eindeutige ID). Verwenden Sie für die Delegation niemals die E-Mail-Adresse des Dienstkontos.

Schritt 2: Domänenweite Delegation in Google Workspace autorisieren

1. Öffnen Sie die Google Workspace Admin-Konsole (admin.google.com) als Super-Administrator.
2. Navigieren Sie zu Sicherheit → Zugriffs- und Datenkontrolle → API-Steuerung → Domänenweite Delegation verwalten.
3. Klicken Sie auf Neu hinzufügen und fügen Sie die numerische Client-ID aus der GCP-Konsole ein.
4. Tragen Sie im Feld OAuth-Bereiche die exakte, kommagetrennte Liste der erforderlichen Scopes ein:
   • https://www.googleapis.com/auth/drive.readonly (Metadaten, Inhalte und ACLs von Google Drive lesen)
   • https://www.googleapis.com/auth/admin.directory.user.readonly (Benutzerprofile und Kontostatus abrufen)
   • https://www.googleapis.com/auth/admin.directory.group.readonly (Google Groups und Mitgliedschaften einsehen)
   • https://www.googleapis.com/auth/apps.groups.settings (Gruppensicherheitseinstellungen prüfen)
   • Bei Bedarf für Gmail und Google Calendar: https://www.googleapis.com/auth/gmail.readonly und entsprechende Kalender-Scopes.
5. Klicken Sie auf Autorisieren.

Schritt 3: Konfiguration in der Glean Admin Console abschließen

1. Melden Sie sich in der Glean Admin Console an und navigieren Sie zu Platform → Connectors.
2. Wählen Sie Google Drive (oder Google Workspace) und klicken Sie auf Setup.
   • Hinweis für Bereitstellungen ab dem 14. August 2026: Glean stellt einen automatisierten Einrichtungsassistenten bereit, der Standardwerkzeuge automatisch aktiviert. Bei älteren Instanzen laden Sie den zuvor gespeicherten GCP-JSON-Schlüssel manuell hoch.
3. Directory Admin Email hinterlegen: Geben Sie die E-Mail-Adresse eines Administrators mit Leserechten auf Aktivitätsberichte und Verzeichnisse an. Glean nutzt diese Identität zur Abfrage der Activity API für inkrementelle Aktualisierungen und Relevanzsignale.
4. Crawl-Bereiche und Ausschlüsse definieren: Legen Sie fest, welche Organisationseinheiten (OUs) oder Shared Drives erfasst werden sollen.

Schritt 4: Kritische Freigaberegeln in Google Drive verstehen

Google Drive bietet Freigabeoptionen, die bei falschem Verständnis Sicherheitsrisiken bergen. Glean spiegelt die nativen Sichtbarkeitsregeln strikt wider:

• Dateien mit expliziter Freigabe: Werden ausschließlich für die direkt berechtigten Benutzer oder Google Groups-Mitglieder in der Suche sichtbar.
• Dateien mit "Jeder mit dem Link" oder unternehmensweiter Freigabe: Glean stellt solche Dokumente nicht automatisch für alle Mitarbeiter bereit, es sei denn:
  1. Der suchende Benutzer hat das Dokument in der Vergangenheit bereits selbst in Google Drive geöffnet.
  2. Die Dateioption "In Suchergebnissen auffindbar (Searchable → Can find in search results)" ist in Google Drive explizit aktiviert.
  3. Der Link zum Dokument wurde in einem Slack-Kanal geteilt, in dem der suchende Benutzer aktives Mitglied ist (optional in Glean konfigurierbar).
  4. Die Datei wurde von Administratoren für die Zielgruppe angepinnt (Pin).
• Verhalten bei KI-Assistenten und im Slack Public Mode: Wenn der Glean-Assistent in Slack im öffentlichen Modus betrieben oder ein Agent als "Für jeden sichtbar" freigegeben wird, zieht Glean ausschließlich Dokumente heran, bei denen "In Suchergebnissen auffindbar" aktiv ist. Dokumente mit dem Status "Zugriff nur mit Link (Must have link to access)" werden unterdrückt.

3. Konfiguration des Slack Enterprise Konnektors und der Echtzeitsuche (RTS)

Die Anbindung von Slack erfordert ein Zusammenspiel aus zwei Konnektoren: dem Slack Konnektor (Metadaten, Identitäten und Relevanzsignale) und dem Slack Real Time Search (RTS) Konnektor (Echtzeitabfrage ohne Datenhaltung).

Schritt 1: Betriebsmodus und Voraussetzungen prüfen

• Planauswahl: Für Unternehmen mit mehreren Workspaces ist Slack Enterprise Grid zwingend empfohlen. Einzelne Workspaces nutzen den Single Workspace Modus.
• Admin-Rolle: Bei Enterprise Grid muss die Einrichtung zwingend durch einen Slack Org Owner (Organisationsinhaber) erfolgen. Bei Einzel-Workspaces ist ein Workspace Owner oder Admin erforderlich.
• Erforderliche Parameter: Slack-Domain (firma.slack.com oder firma.enterprise.slack.com), Workspace-ID (beginnt mit T) und Enterprise-ID (beginnt mit E, sichtbar in der Browser-URL app.slack.com/client/E12345678/...).

Schritt 2: Basis-Slack-Konnektor einrichten (Metadaten & Signale)

1. Navigieren Sie in der Glean Admin Console zu Platform → Connectors → Slack (oder Slack Enterprise) und wählen Sie Setup.
2. Geben Sie Slack-Domain und Enterprise-ID ein.
3. Autorisieren Sie die offizielle Glean-App aus dem Slack Marketplace mit den erforderlichen Rechten:
   • users:read, users:read.email (zum Aufbau des Identitätsgraphen)
   • channels:read, groups:read, im:read, mpim:read (zum Erfassen von Kanalstrukturen und Teilnehmern)
   • usergroups:read (zum Abgleich von Slack-Benutzergruppen)
   • assistant:write, reactions:write, commands (für Bot-Antworten und /glean-Befehle)
4. Bestätigen Sie die organisationsweite Bereitstellung für alle Workspaces.

Schritt 3: Slack Real Time Search (RTS) Konnektor einrichten

1. Wechseln Sie nach erfolgreicher Aktivierung des Basiskonnektors erneut zu Platform → Connectors und wählen Sie Slack Real Time Search (RTS).
2. Klicken Sie auf Setup und führen Sie die OAuth-Freigabe durch.
3. Endpunkte verifizieren: RTS kommuniziert direkt mit den Live-APIs von Slack:
   • assistant.search.context und search.messages: Föderierte Ausführung der Suchabfrage direkt im Slack-Index.
   • conversations.history und conversations.replies: Live-Abruf des Kontextes und Thread-Nachrichten um das Suchergebnis herum.
   • conversations.members und users.info: Prüfung der Kanalmitgliedschaft in Echtzeit.
4. Zero-Copy-Sicherheit kontrollieren: Stellen Sie sicher, dass keine Nachrichtenpersistenz stattfindet. RTS verarbeitet Abfragen ausschließlich flüchtig im Arbeitsspeicher. Gehört ein Benutzer nicht zu einem vertraulichen Kanal (z. B. #geschaeftsfuehrung), liefert die Slack-API keinerlei Treffer zurück.

Schritt 4: Kanalausschlüsse und Schutz externer Kanäle

1. Redlisting für sensible Kanäle: Schließen Sie extrem vertrauliche Kanäle (M&A, HR-Ermittlungen, Gehälter) über deren Channel-ID (C...) im Konnektor oder über den Glean-Support vollständig von jeder Durchsuchung aus.
2. Schutz für Slack Connect: Glean unterdrückt standardmäßig Interaktionen und Suchantworten in geteilten Slack Connect-Kanälen mit externen Drittparteien, um Datenabfluss zu verhindern.
3. Direktnachrichten (DMs) und private Konversationen: Falls betriebliche Richtlinien die explizite Zustimmung der Mitarbeiter erfordern, unterstützt Glean Workflows, bei denen Benutzer ihre persönlichen Slack-Tokens individuell freigeben.

4. Berechtigungsabgleich, Gruppenauflösung und Synchronisationszyklen

Um den Datenschutz zu gewährleisten, muss das IT-Team wissen, wie schnell Berechtigungsentzüge in den Suchergebnissen wirksam werden.

+-----------------------------------------------------------------------------------+
|                        Berechtigungssynchronisationspfade                         |
+-----------------------------------------------------------------------------------+
| Quellsystem   | Synchronisationsmethode     | Aufgabentyp   | Typische Latenz / Freq.|
+---------------+-----------------------------+---------------+---------------------+
| Google Drive  | Vollständiger Datei-Crawl   | Batch         | Regelmäßig (Basis)  |
| Google Drive  | Google Reports API          | Inkrementell  | Minuten bis Stunden |
| Google Drive  | Push-Webhooks               | Echtzeit      | Sekunden bis Minuten|
| Google Groups | Admin Directory API         | Identitäts-Crl| Regelmäßig (Flach)  |
| Slack Konten  | Slack Users API             | Identitäts-Crl| Regelmäßig (Kanäle) |
| Slack Events  | Slack Events API            | Webhook       | Sofort (Kanalbeitritt)
| Slack Text    | Slack RTS Live-API          | Zero-Copy     | Zur Abfragezeit (0s)|
+-----------------------------------------------------------------------------------+

Rekursive Auflösung verschachtelter Gruppen

In Konzernstrukturen sind Google Groups häufig mehrstufig geschachtelt (z. B. IT-Security gehört zu Infrastructure, das wiederum zu Engineering gehört). Glean flacht diese Beziehungen bei Identitäts-Crawls rekursiv ab. Wird ein Dokument für Engineering berechtigt, erhält das Mitglied von IT-Security in Glean automatisch das passende Token. Wird der Benutzer in Google Workspace aus der Untergruppe entfernt, entzieht der nächste inkrementelle Crawl dieses Token und sperrt den Zugriff in der Suche.

Wirksamkeit von Berechtigungsentzügen

• Verlassen eines Slack-Kanals: Sofort wirksam. Da Slack RTS die Berechtigungen bei jeder Suchanfrage live bei Slack anfragt, verliert ein entfernter Benutzer augenblicklich den Zugriff auf alle Nachrichten des Kanals.
• Entzug von Google Drive-Berechtigungen: Änderungen an Dateiberechtigungen lösen über die Changes-API Webhooks aus. Glean invalidiert das entsprechende ACL-Token im Suchindex innerhalb weniger Minuten.

5. Überprüfung, Auditierung und Fehlerbehebung in der Admin-Konsole

Verlassen Sie sich bei Berechtigungen niemals auf Vermutungen, sondern führen Sie vor dem Rollout deterministische Prüfungen durch.

1. Dokumentenzugriff mit Document Lookup prüfen

1. Navigieren Sie in der Glean Admin Console zu Content management → Document lookup.
2. Fügen Sie unter Document URL den Link oder die ID eines sensiblen Google Docs ein.
3. Wählen Sie unter User (optional) einen Testbenutzer aus.
4. Klicken Sie auf Check document.
5. Analysieren Sie das Diagnoseergebnis:
   • Last crawled: Zeitstempel der letzten Erfassung der Metadaten.
   • Last indexed: Zeitpunkt, an dem Inhalt und ACLs im Suchindex aktualisiert wurden.
   • Document visibility on Glean: Gibt an, ob das Dokument aktiv durchsuchbar oder administrativ ausgeblendet ist.
   • Document access: Zeigt unmissverständlich Allowed oder Restricted an und schlüsselt auf, ob der Zugriff über Direktfreigabe, Gruppenvererbung oder Link-Regeln zustande kommt.

2. Gezielte Tests über die Suchleiste

Mit Testkonten können Diagnosebefehle direkt in der Glean-Suchmaske ausgeführt werden:

• app:gdrive <Suchbegriff>: Grenzt die Suche ausschließlich auf Google Drive ein.
• app:slack <Suchbegriff>: Begrenzt die Treffer auf Slack RTS zur Prüfung privater Kanäle.
• * (Sternchen): Zeigt sämtliche für den Benutzer zugänglichen Inhalte an, um unerwartete Dokumente aufzudecken.

3. Administrator-Audit-Logs (Audit Logs) auswerten

Glean protokolliert alle administrativen Anpassungen:

1. Wechseln Sie zu Users & permissions → Audit logs (oder Management → Audit Logs).
2. Filtern Sie nach Zeitraum, Administrator oder Ereignistyp (Konnektoränderungen, Scopes, Sichtbarkeit).
3. Exportieren Sie die Logs als CSV zur Weiterleitung an SIEM-Systeme (Splunk, Datadog), um SOC 2-, HIPAA- oder ISO 27001-Anforderungen nachzuweisen.

6. Zusammenfassung und Checkliste vor dem Go-Live

Mit der Kombination aus tiefer ACL-Indizierung für Google Drive und föderierter Zero-Copy-Echtzeitsuche für Slack eliminiert Glean die typischen Sicherheitsrisiken herkömmlicher RAG-Systeme.

IT-Checkliste vor dem Produktivstart

• Primärer IdP (Okta / Entra ID / Google Identity) erfolgreich mit Glean synchronisiert.
• GCP-Dienstkonto mit JSON-Schlüssel und numerischer Client-ID angelegt.
• Domänenweite Delegation in Google Workspace mit allen erforderlichen Scopes autorisiert.
• Directory Admin Email für Aktivitäts-Crawls in Glean hinterlegt.
• Freigaberichtlinien für Google Drive Links überprüft ("In Suchergebnissen auffindbar").
• Slack Enterprise Grid durch einen Slack Org Owner autorisiert.
• Slack Real Time Search (RTS) Konnektor betriebsbereit geschaltet und getestet.
• Sensible HR-, Finanz- und Management-Kanäle auf die Ausschlussliste (Redlist) gesetzt.
• Schutz für externe Slack Connect-Kanäle verifiziert.
• Zugriffsberechtigungen via Document Lookup mit verschiedenen Rollenprofilen auditiert.
• Audit-Log-Export an das Unternehmens-SIEM eingerichtet und geprüft.

Durch die Einhaltung dieser Vorgaben schaffen IT-Verantwortliche eine intelligente, unternehmensweite Arbeitsplatzsuche, die strenge Zero-Trust-Vorgaben einhält und sensible Unternehmensdaten zuverlässig schützt.

Referenzen

• Permissions
• Slack
• Slack Real Time Search (RTS)
• Access verification
• Troubleshooting Search
• Audit Logs
• Glean Trust Center