Cómo configurar los conectores de datos empresariales y el mapeo de permisos ACL en Glean para Google Workspace y Slack

La confiabilidad de un motor de búsqueda empresarial y de un asistente de inteligencia artificial generativa depende por completo de la solidez de su arquitectura de control de acceso. Cuando los administradores de TI implementan Glean en Google Workspace y Slack, el principio fundamental no admite excepciones: los resultados de búsqueda y las respuestas generadas por IA jamás deben exponer documentos confidenciales, canales privados restringidos o mensajes directos (DM) a empleados no autorizados.

Glean no redefine ni crea políticas de seguridad aisladas sobre los sistemas de origen. En su lugar, replica las listas de control de acceso (ACL) nativas mediante una arquitectura de doble motor: indexación con reconocimiento de permisos en tiempo de ingesta (Ingestion-time Permission-Aware Indexing) para repositorios asincrónicos de archivos como Google Drive, y búsqueda federada en tiempo real de copia cero (Slack RTS, Real Time Search) para plataformas dinámicas de colaboración como Slack. La sincronización de ambos entornos se sustenta en el grafo de identidad unificado (Identity Graph) de Glean, el cual reconcilia alias de correo, identificadores únicos (UID) entre aplicaciones y membresías jerárquicas de grupos basándose en el proveedor de identidad empresarial (IdP).

Esta guía ofrece a administradores de sistemas e ingenieros de seguridad un recorrido paso a paso para configurar los conectores empresariales, estructurar el mapeo de permisos, aplicar las reglas nativas de visibilidad y auditar el cumplimiento estricto de las ACL.

1. Fundamentos arquitectónicos: Modelo de doble motor y Grafo de Identidad

Para configurar Glean correctamente, los administradores deben comprender cómo se procesan los permisos según la naturaleza de cada fuente de datos:

                           +-------------------------------------+
                           |    Proveedor de Identidad (IdP)     |
                           |  (Okta / Entra ID / Google Identity)|
                           +------------------+------------------+
                                              |
                                              v
                           +-------------------------------------+
                           |       Grafo de Identidad de Glean   |
                           |  - Reconciliación de alias de email |
                           |  - Aplanamiento de grupos anidados  |
                           |  - Resolución de UID (p. ej. Slack) |
                           +------------------+------------------+
                                              |
                     +------------------------+------------------------+
                     |                                                 |
                     v                                                 v
  +-------------------------------------+   +-------------------------------------+
  |   Conector de Google Workspace      |   |        Ecosistema Slack             |
  | (Google Drive / Gmail / Groups)     |   | (Metadatos Slack + Slack RTS)       |
  +------------------+------------------+   +------------------+------------------+
                     |                                                 |
  - Cuenta de servicio + Delegación de Dominio- App centralizada en Marketplace
  - Indexación de contenido y tokens ACL      - Rastreo periódico y señales de ranking
  - API de cambios / Webhooks incrementales   - Consulta federada de copia cero (RTS)
  - Réplica estricta de visibilidad de enlaces- Evaluación nativa de canales y DMs
                     |                                                 |
                     +------------------------+------------------------+
                                              |
                                              v
                           +-------------------------------------+
                           |    Filtro de seguridad en consulta  |
                           | Principales del usuario ∩ Tokens ACL|
                           |     + Flujo federado en tiempo real |
                           +------------------+------------------+
                                              |
                                              v
                           +-------------------------------------+
                           |  Resultados y síntesis de IA con    |
                           |      estricto respeto a las ACL     |
                           +-------------------------------------+

Indexación de ACL en tiempo de ingesta (Google Drive)

En sistemas de archivos como Google Drive, Glean rastrea tanto el contenido como las identidades de seguridad asociadas (usuarios individuales, Google Groups, políticas de uso compartido en el dominio). Cada documento se almacena en el índice junto con su conjunto de tokens de seguridad (ACL). Cuando un usuario ejecuta una búsqueda, Glean intercepta la solicitud, compila la lista completa de identidades y grupos heredados de dicho usuario y calcula la intersección matemática. Los documentos sin permiso de acceso se descartan en milisegundos antes del cálculo de relevancia o la generación con IA.

Búsqueda federada en tiempo real (Slack RTS)

Las conversaciones de Slack se actualizan a un ritmo vertiginoso y las pertenencias a canales cambian constantemente. Un rastreo por lotes tradicional resultaría ineficiente y riesgoso. Glean aborda esto mediante Slack Real Time Search (RTS), un conector federado de copia cero. Glean no almacena los cuerpos de los mensajes de Slack en su índice persistente. En su lugar, al realizar una consulta, Glean llama en tiempo real a las API de búsqueda nativas de Slack (assistant.search.context y search.messages) utilizando el contexto del usuario consultante. La propia plataforma de Slack comprueba si el usuario pertenece al canal público, canal privado o mensaje directo, imposibilitando la fuga de datos desde el nivel de protocolo.

Grafo de Identidad Unificado

La seguridad falla si la plataforma de búsqueda no puede vincular el UID de Slack de un usuario (U12345678) con su correo principal de Google Workspace (usuario@empresa.com). Glean se conecta con el IdP central (Okta, Microsoft Entra ID o Google Workspace Identity) para consolidar un registro canónico, vinculando cuentas primarias, alias secundarios y UIDs específicos de cada SaaS.

2. Configuración del conector de Google Workspace y sincronización de permisos

La integración entre Glean y Google Workspace se realiza mediante una cuenta de servicio de Google Cloud Platform (GCP) y la delegación de autoridad en todo el dominio (Domain-Wide Delegation), permitiendo a Glean suplantar a un administrador designado para rastrear el directorio y mantener la seguridad a nivel de documento (DLS).

Paso 1: Crear la cuenta de servicio en GCP

1. Acceda a la Google Cloud Console bajo el proyecto correspondiente a su organización.
2. Diríjase a IAM y administración → Cuentas de servicio y haga clic en Crear cuenta de servicio.
3. Asigne un nombre reconocible (por ejemplo, glean-enterprise-connector) y añada una descripción.
4. Tras crearla, entre en el detalle de la cuenta, vaya a la pestaña Claves, seleccione Agregar clave → Crear clave nueva, elija JSON y descargue el archivo de forma segura.
5. En la información de la cuenta, copie el ID de cliente OAuth 2 (cadena numérica única). No utilice la dirección de correo de la cuenta de servicio para la delegación de dominio.

Paso 2: Autorizar la delegación en todo el dominio en Google Workspace

1. Inicie sesión en la Consola de administración de Google Workspace (admin.google.com) como Superadministrador.
2. Vaya a Seguridad → Control de datos y acceso → Controles de API → Administrar la delegación en todo el dominio.
3. Haga clic en Agregar nuevo y pegue el ID de cliente numérico copiado en GCP.
4. En el campo Permisos de OAuth, ingrese la lista exacta de alcances (scopes) separados por comas:
   • https://www.googleapis.com/auth/drive.readonly (para rastrear documentos, metadatos y ACL de Google Drive)
   • https://www.googleapis.com/auth/admin.directory.user.readonly (para perfiles y estados de usuarios)
   • https://www.googleapis.com/auth/admin.directory.group.readonly (para Google Groups y membresías)
   • https://www.googleapis.com/auth/apps.groups.settings (para directivas de seguridad de grupos)
   • Si se indexa correo y calendario, añada https://www.googleapis.com/auth/gmail.readonly y los alcances correspondientes de Calendar.
5. Haga clic en Autorizar.

Paso 3: Completar la configuración en la consola de Glean

1. Inicie sesión en la Glean Admin Console y vaya a Platform → Connectors.
2. Seleccione Google Drive (o Google Workspace) e inicie Setup.
   • Nota para despliegues posteriores al 14 de agosto de 2026: Glean ofrece un flujo asistido que habilita herramientas de lectura por defecto; para despliegues anteriores, cargue manualmente la clave JSON descargada de GCP.
3. Defina el Directory Admin Email: Indique el correo de un administrador con permisos para leer registros de actividad e informes de Google Workspace. Glean utiliza esta identidad para consultar la API de informes y cambios en tiempo real.
4. Configure el alcance de rastreo y las restricciones por unidades organizativas (OU) o unidades compartidas específicas.

Paso 4: Reglas críticas de visibilidad en Google Drive

Google Drive cuenta con opciones de acceso compartido que pueden generar malentendidos. Glean reproduce con exactitud las reglas de búsqueda nativas:

• Archivos restringidos: Solo son visibles para los usuarios o miembros de Google Groups explícitamente autorizados.
• Archivos con "Cualquiera con el enlace" o compartidos con la empresa: Glean no los muestra automáticamente en las búsquedas a todos los empleados, salvo que:
  1. El usuario ya haya abierto el documento previamente en Google Drive.
  2. La opción "Aparece en los resultados de búsqueda (Searchable → Can find in search results)" esté activada en Google Drive.
  3. El enlace haya sido compartido en un canal de Slack del que el usuario es miembro activo (función configurable en Glean).
  4. El documento haya sido fijado (Pin) por un administrador para esa audiencia.
• Comportamiento en asistentes de IA y modo público: Al usar el asistente de Glean en Slack en "Modo público" o publicar un agente visible para todos, solo se citan archivos que tengan habilitada la opción "Aparece en los resultados de búsqueda". Los documentos con "Debe tener el enlace para acceder (Must have link to access)" quedan bloqueados.

3. Configuración del conector de Slack Enterprise y búsqueda en tiempo real (RTS)

La integración con Slack requiere un despliegue coordinado en dos partes: el conector de Slack (metadatos, señales de interacción y rastreo de identidad) y el conector de Slack Real Time Search (RTS) (recuperación en tiempo real con cero copias).

Paso 1: Selección de modo y verificación de requisitos

• Edición: Se recomienda ampliamente Slack Enterprise Grid para organizaciones con múltiples espacios de trabajo.
• Rol administrativo: Debe ser configurado por un Slack Org Owner (Propietario de la organización) en Enterprise Grid, o por un Workspace Owner / Workspace Admin en espacios individuales.
• Parámetros requeridos: Dominio de Slack (empresa.slack.com o empresa.enterprise.slack.com), ID del espacio de trabajo (inicia con T) y el ID de Enterprise Grid (inicia con E, visible en la URL del navegador app.slack.com/client/E12345678/...).

Paso 2: Instalar el conector base de Slack (Metadatos y señales)

1. En la consola de Glean, diríjase a Platform → Connectors → Slack (o Slack Enterprise) y haga clic en Setup.
2. Introduzca el ID de Enterprise y el dominio de Slack.
3. Autorice la aplicación centralizada de Glean del Slack Marketplace con los siguientes permisos clave:
   • users:read, users:read.email (para reconciliar identidades)
   • channels:read, groups:read, im:read, mpim:read (para estructuras de canales y membresías)
   • usergroups:read (para grupos de usuarios de Slack)
   • assistant:write, reactions:write, commands (para interacciones del bot y comandos /glean)
4. Valide la instalación en todos los espacios de trabajo de la organización.

Paso 3: Configurar el conector de Slack Real Time Search (RTS)

1. Con el conector base en estado saludable, vuelva a Platform → Connectors y seleccione Slack Real Time Search (RTS).
2. Haga clic en Setup y apruebe el flujo OAuth.
3. Validación de endpoints: RTS se comunica con los servicios en vivo de Slack:
   • assistant.search.context y search.messages: Ejecución de consultas federadas contra el índice nativo de Slack.
   • conversations.history y conversations.replies: Extracción dinámica de hilos y mensajes contextuales.
   • conversations.members y users.info: Verificación de membresía al instante.
4. Verificación de copia cero: Confirme que no se almacena el contenido de los mensajes. Todo ocurre en memoria en el momento de la consulta. Si un usuario no pertenece a un canal privado (como #direccion-financiera), la API de Slack no entrega datos en la respuesta.

Paso 4: Canales sensibles y protección ante terceros

1. Lista de exclusión (Redlist): Para canales confidenciales (adquisiciones, salarios de ejecutivos, auditorías legales), configure exclusiones en el conector mediante los Channel ID (que comienzan con C) o solicite su bloqueo a soporte de Glean.
2. Aislamiento en Slack Connect: Glean bloquea por defecto las respuestas e interacciones de búsqueda en canales compartidos externamente a través de Slack Connect para evitar fugas de información hacia socios externos.
3. Mensajes directos (DMs) y canales privados: Si las políticas internas exigen consentimiento explícito del empleado, Glean permite solicitar la autorización individual de tokens de Slack para la búsqueda de conversaciones privadas.

4. Mapeo de permisos, resolución de grupos y ciclo de vida de sincronización

Conocer la frecuencia y los mecanismos de sincronización garantiza que el equipo de TI sepa exactamente cuándo se hace efectiva la revocación de un acceso.

+-----------------------------------------------------------------------------------+
|                        Rutas de sincronización de permisos                        |
+-----------------------------------------------------------------------------------+
| Sistema origen| Mecanismo de sincronización | Tipo de tarea | Latencia / Frecuencia|
+---------------+-----------------------------+---------------+---------------------+
| Google Drive  | Rastreo completo de archivos| Por lotes     | Periódico (Línea base)|
| Google Drive  | Google Reports API          | Incremental   | Minutos a horas     |
| Google Drive  | Webhooks de inserción       | Tiempo real   | Actualización en seg|
| Google Groups | Admin Directory API         | Rastreo ID    | Periódico (Aplanado)|
| Estructura Slk| Slack Users API             | Rastreo ID    | Periódico (Canales) |
| Eventos Slack | Slack Events API            | Webhook       | Instantáneo (Unión) |
| Mensajes Slack| Slack RTS API               | Copia cero    | En la consulta (0s) |
+-----------------------------------------------------------------------------------+

Expansión recursiva de grupos jerárquicos

En organizaciones grandes abundan los grupos anidados (por ejemplo, Seguridad forma parte de Operaciones, que a su vez integra Ingenieria). Al realizar el rastreo de identidades, Glean aplana recursivamente estas estructuras. Si un documento se comparte con Ingenieria, los integrantes de Seguridad reciben el token de acceso correspondiente en Glean. Si un administrador retira a un empleado del subgrupo en Google Workspace, el siguiente rastreo incremental retira dicho token, revocando la visibilidad del documento en la búsqueda.

Efectividad de revocaciones en tiempo real

• Salida de canales de Slack: Efecto instantáneo. Dado que Slack RTS consulta la API en vivo, en cuanto un usuario es retirado de un canal privado, pierde inmediatamente la capacidad de buscar en él.
• Revocación de accesos en Google Drive: Al retirar a un usuario de un archivo, la API de cambios de Google Drive emite eventos hacia Glean, invalidando el token ACL del índice en pocos minutos.

5. Verificación, auditoría y resolución de problemas en la consola de administración

Nunca asuma que los permisos funcionan sin antes realizar pruebas determinísticas.

1. Comprobación mediante Document Lookup

1. En la consola de Glean, vaya a Content management → Document lookup.
2. En Document URL, pegue el enlace o ID de un archivo sensible de Google Drive.
3. En User (optional), seleccione a un colaborador específico para evaluar sus permisos.
4. Haga clic en Check document.
5. Revise el diagnóstico devuelto:
   • Last crawled: Momento exacto del último escaneo de metadatos.
   • Last indexed: Momento en que los cambios entraron al índice de búsqueda en vivo.
   • Document visibility on Glean: Si el archivo está visible u oculto por reglas administrativas.
   • Document access: Estado categórico (Allowed o Restricted) con el desglose de su origen (acceso directo, membresía en grupos o permisos de enlace).

2. Pruebas de búsqueda con comandos de diagnóstico

Desde la barra de búsqueda de Glean, los administradores o usuarios de prueba pueden utilizar operadores específicos:

• app:gdrive <término>: Aísla la búsqueda únicamente en Google Drive.
• app:slack <término>: Aísla la búsqueda en Slack RTS para verificar canales privados.
• * (asterisco): Muestra todos los elementos accesibles para el usuario actual, permitiendo detectar documentos expuestos indebidamente.

3. Registros de auditoría administrativa (Audit Logs)

Glean registra todas las acciones de gestión:

1. Diríjase a Users & permissions → Audit logs (o Management → Audit Logs).
2. Filtre por periodo, usuario o categoría de evento (cambios en conectores, modificación de alcances OAuth o ajustes de visibilidad).
3. Exporte a CSV para integrarlo con sistemas SIEM corporativos (Splunk, Datadog) y respaldar auditorías SOC 2, HIPAA o ISO 27001.

6. Lista de comprobación para la puesta en producción

Al implementar este modelo dual, los equipos de TI garantizan un entorno de búsqueda inteligente sin las brechas de permisos habituales en arquitecturas RAG tradicionales.

Lista de verificación de TI

• Proveedor de identidad primario (Okta / Entra ID / Google) sincronizado con Glean.
• Cuenta de servicio en GCP creada con clave JSON e ID de cliente numérico.
• Delegación en todo el dominio aprobada en Google Workspace con los alcances exactos.
• Correo de administrador designado configurado para rastreo de actividad (Directory Admin Email).
• Política de visibilidad de enlaces en Google Drive revisada ("Aparece en resultados de búsqueda").
• Conector de Slack instalado por un Slack Org Owner en Enterprise Grid.
• Conector Slack Real Time Search (RTS) desplegado y comprobado.
• Canales confidenciales (RRHH, finanzas, ejecutivos) excluidos mediante Redlist.
• Protección en canales externos de Slack Connect verificada.
• Accesos evaluados mediante Document Lookup con perfiles de distintos niveles jerárquicos.
• Flujo de exportación de registros de auditoría hacia el SIEM validado.

Siguiendo estas directrices, las empresas logran una experiencia de búsqueda eficiente bajo un estricto principio de confianza cero (Zero Trust).

Referencias

• Permissions
• Slack
• Slack Real Time Search (RTS)
• Access verification
• Troubleshooting Search
• Audit Logs
• Glean Trust Center