Configuration des connecteurs de données d'entreprise et du mappage des permissions ACL dans Glean pour Google Workspace et Slack

La fiabilité d'une solution de recherche d'entreprise et d'assistants IA génératifs repose entièrement sur la rigueur de son architecture de contrôle d'accès. Lorsque les administrateurs informatiques déploient Glean sur Google Workspace et Slack, la règle d'or est absolue : les résultats de recherche et les synthèses générées par l'IA ne doivent en aucun cas exposer de documents confidentiels, de canaux privés restreints ou de messages directs (DMs) à des collaborateurs non autorisés.

Glean ne recrée pas de règles de sécurité propriétaires au-dessus des systèmes sources. La plateforme reproduit fidèlement les listes de contrôle d'accès (ACL) natives au travers d'une architecture à double moteur : l'indexation sensible aux permissions dès l'ingestion (Ingestion-time Permission-Aware Indexing) pour les répertoires de documents asynchrones comme Google Drive, et la recherche fédérée en temps réel « zéro copie » (Slack RTS, Real Time Search) pour les plateformes d'échange dynamique comme Slack. Ce dispositif s'appuie sur le graphe d'identité unifié (Identity Graph) de Glean, qui réconcilie les alias d'adresses e-mail, les identifiants uniques (UIDs) multi-applications et les hiérarchies de groupes imbriqués à partir du fournisseur d'identité (IdP) de l'entreprise.

Ce guide opérationnel accompagne les administrateurs système et les ingénieurs en cybersécurité dans la configuration des connecteurs, la mise en place du mappage de permissions, l'application des règles natives de visibilité et l'audit de conformité des ACL.

1. Principes d'architecture : Modèle à double moteur et Graphe d'Identité

Pour configurer Glean efficacement, il convient de comprendre comment les permissions sont gérées selon la nature des flux de données :

                           +-------------------------------------+
                           |    Fournisseur d'Identité (IdP)     |
                           |  (Okta / Entra ID / Google Identity)|
                           +------------------+------------------+
                                              |
                                              v
                           +-------------------------------------+
                           |      Graphe d'Identité de Glean     |
                           |  - Réconciliation des alias e-mails |
                           |  - Aplatissement de groupes imbriqués|
                           |  - Résolution des UIDs (ex: Slack)  |
                           +------------------+------------------+
                                              |
                     +------------------------+------------------------+
                     |                                                 |
                     v                                                 v
  +-------------------------------------+   +-------------------------------------+
  |    Connecteur Google Workspace      |   |          Connecteurs Slack          |
  | (Google Drive / Gmail / Groups)     |   | (Métadonnées Slack + Slack RTS)     |
  +------------------+------------------+   +------------------+------------------+
                     |                                                 |
  - Compte de service + Délégation de domaine - Application officielle Marketplace
  - Indexation du contenu et des jetons ACL   - Crawls d'identité & signaux de ranking
  - API de changements / Webhooks instantanés - Requête fédérée zéro copie (RTS)
  - Respect strict des partages de liens Drive- Évaluation native des canaux et DMs
                     |                                                 |
                     +------------------------+------------------------+
                                              |
                                              v
                           +-------------------------------------+
                           |   Filtre de sécurité à la requête   |
                           | Principaux de l'utilisateur ∩ ACLs  |
                           |     + Flux fédéré en temps réel     |
                           +------------------+------------------+
                                              |
                                              v
                           +-------------------------------------+
                           |  Résultats de recherche et réponses |
                           |    IA strictement conformes aux ACL |
                           +-------------------------------------+

Indexation sensible aux permissions dès l'ingestion (Google Drive)

Pour les répertoires de fichiers comme Google Drive, Glean indexe le contenu en associant directement les principaux de sécurité (utilisateurs, Google Groups, partages au niveau du domaine). Chaque document se voit attribuer un jeu de jetons ACL dans l'index. Lorsqu'un employé effectue une recherche, Glean intercepte la requête, compile l'ensemble des identités et groupes hérités de cet utilisateur et calcule l'intersection en temps réel. Les documents non autorisés sont exclus avant même le calcul de pertinence ou la génération de réponses par l'IA.

Recherche fédérée en temps réel (Slack RTS)

Les échanges sur Slack sont particulièrement intenses et les membres des canaux évoluent en permanence. Un crawl par lots traditionnel serait inadapté et dangereux pour la confidentialité. Glean adopte donc Slack Real Time Search (RTS), un connecteur fédéré sans conservation de copie (« zéro copie »). Glean ne stocke pas le corps des messages Slack dans son index persistant. Lors d'une requête utilisateur, Glean interroge en temps réel les API de recherche natives de Slack (assistant.search.context et search.messages) sous l'identité de l'utilisateur concerné. Slack vérifie lui-même si le collaborateur fait partie du canal public, privé ou du fil de discussion. Les messages non autorisés ne quittent jamais Slack.

Le graphe d'identité unifié

L'isolation des données échoue si le moteur de recherche ne peut pas relier l'identifiant Slack d'un utilisateur (U12345678) à son adresse Google Workspace (utilisateur@entreprise.com). Glean se synchronise avec l'IdP central (Okta, Microsoft Entra ID ou Google Workspace Identity) pour construire un profil canonique qui unifie adresses principales, alias et identifiants propres à chaque SaaS.

2. Configuration du connecteur Google Workspace et synchronisation des ACLs

L'interconnexion entre Glean et Google Workspace repose sur un compte de service Google Cloud Platform (GCP) et la délégation à l'échelle du domaine (Domain-Wide Delegation), permettant à Glean d'explorer l'annuaire d'entreprise tout en respectant la sécurité au niveau du document (DLS).

Étape 1 : Créer le compte de service GCP

1. Rendez-vous sur la Google Cloud Console dans le projet de votre organisation.
2. Naviguez vers IAM et administration → Comptes de service et cliquez sur Créer un compte de service.
3. Définissez un nom explicite (ex. : glean-enterprise-connector) et renseignez la description.
4. Une fois créé, accédez à l'onglet Clés, sélectionnez Ajouter une clé → Créer une clé, choisissez le format JSON et téléchargez le fichier de façon sécurisée.
5. Dans les informations du compte, copiez l'ID client OAuth 2 (série numérique unique). N'utilisez pas l'adresse e-mail du compte de service pour la délégation de domaine.

Étape 2 : Autoriser la délégation de domaine dans Google Workspace

1. Connectez-vous à la Console d'administration Google Workspace (admin.google.com) en tant que Super-administrateur.
2. Allez dans Sécurité → Contrôle des accès et des données → Commandes relatives aux API → Gérer la délégation à l'échelle du domaine.
3. Cliquez sur Ajouter, puis collez l'identifiant client numérique copié dans GCP.
4. Dans le champ Champs d'application OAuth, saisissez la liste exacte des scopes séparés par des virgules :
   • https://www.googleapis.com/auth/drive.readonly (pour lire les documents, métadonnées et ACL de Drive)
   • https://www.googleapis.com/auth/admin.directory.user.readonly (pour les profils et états des utilisateurs)
   • https://www.googleapis.com/auth/admin.directory.group.readonly (pour les groupes et appartenances)
   • https://www.googleapis.com/auth/apps.groups.settings (pour les paramètres de sécurité des groupes)
   • Si vous indexez Gmail et Calendar : https://www.googleapis.com/auth/gmail.readonly et les scopes Calendar requis.
5. Cliquez sur Autoriser.

Étape 3 : Finaliser l'intégration dans l'interface Glean

1. Connectez-vous à la Glean Admin Console et allez dans Platform → Connectors.
2. Sélectionnez Google Drive (ou Google Workspace) et cliquez sur Setup.
   • Remarque pour les déploiements créés à partir du 14 août 2026 : Glean propose un assistant guidé automatisé activant les outils de lecture par défaut. Pour les environnements antérieurs, téléversez manuellement la clé JSON téléchargée depuis GCP.
3. Configurez l'adresse Directory Admin Email : Renseignez l'e-mail d'un administrateur autorisé à consulter les journaux d'activité et rapports de Google Workspace. Glean utilise cette identité pour interroger l'API Activity et détecter les mises à jour incrémentielles.
4. Ajustez le périmètre d'exploration : Définissez les unités organisationnelles (OU) ou les disques partagés à inclure.

Étape 4 : Règles critiques de visibilité dans Google Drive

Les options de partage de Google Drive peuvent réserver des surprises. Glean applique fidèlement la logique native du produit :

• Fichiers à accès restreint : Uniquement visibles par les collaborateurs ou membres des Google Groups spécifiquement ajoutés.
• Fichiers en « Tous les utilisateurs disposant du lien » ou partagés avec l'entreprise : Glean ne les affiche pas systématiquement à tous les employés dans la recherche, sauf si :
  1. L'utilisateur a déjà ouvert le fichier auparavant dans Google Drive.
  2. L'option « Accessible dans les résultats de recherche (Searchable → Can find in search results) » est explicitement cochée sur le fichier dans Google Drive.
  3. Le lien du document a été partagé dans un canal Slack dont l'utilisateur est membre actif (comportement paramétrable dans Glean).
  4. Le document a été épinglé (Pin) par un administrateur à destination de cette audience.
• Impact sur l'assistant IA et le mode public : Lorsque l'assistant Glean est sollicité dans Slack en « Mode public » ou qu'un agent est configuré comme « Visible par tous », Glean restreint strictement ses sources aux documents marqués comme « Accessible dans les résultats de recherche ». Les fichiers configurés sur « Le lien est obligatoire pour y accéder (Must have link to access) » sont ignorés pour éviter toute fuite indirecte de données.

3. Configuration du connecteur Slack Enterprise et de la recherche temps réel (RTS)

L'intégration de Slack combine deux éléments complémentaires : le connecteur Slack de base (pour les métadonnées, les signaux d'usage et les crawls d'identité) et le connecteur Slack Real Time Search (RTS) (pour les requêtes instantanées avec zéro copie).

Étape 1 : Choix du mode et prérequis

• Type d'offre : Le mode Slack Enterprise Grid est vivement recommandé pour les entreprises gérant plusieurs espaces. Le mode Single Workspace convient aux organisations n'ayant qu'un espace unique.
• Rôle administratif : L'installation sur Enterprise Grid doit être effectuée par un Slack Org Owner (Propriétaire de l'organisation). Pour un espace unique, le rôle Workspace Owner ou Admin est requis.
• Paramètres à relever : Domaine Slack (entreprise.slack.com ou entreprise.enterprise.slack.com), ID de l'espace de travail (commençant par T) et l'Enterprise ID (commençant par E, visible dans l'URL app.slack.com/client/E12345678/...).

Étape 2 : Configuration du connecteur Slack de base (Métadonnées & Signaux)

1. Dans la console Glean, rendez-vous dans Platform → Connectors → Slack (ou Slack Enterprise) et cliquez sur Setup.
2. Saisissez l'Enterprise ID et le domaine.
3. Validez l'application officielle Glean issue du Slack Marketplace avec les autorisations nécessaires :
   • users:read, users:read.email (pour mapper les identités)
   • channels:read, groups:read, im:read, mpim:read (pour répertorier les canaux et membres)
   • usergroups:read (pour les groupes d'utilisateurs Slack)
   • assistant:write, reactions:write, commands (pour les réponses de l'assistant et la commande /glean)
4. Validez le déploiement sur l'ensemble des espaces de l'organisation.

Étape 3 : Configuration du connecteur Slack Real Time Search (RTS)

1. Dès que le premier connecteur est opérationnel, retournez dans Platform → Connectors et sélectionnez Slack Real Time Search (RTS).
2. Cliquez sur Setup et terminez le flux d'autorisation OAuth.
3. Vérification des points de terminaison : RTS dialogue directement avec les API live de Slack :
   • assistant.search.context et search.messages : Exécution en direct des recherches fédérées sur l'index de Slack.
   • conversations.history et conversations.replies : Récupération du contexte et des fils de messages au moment de la recherche.
   • conversations.members et users.info : Validation instantanée de la présence de l'utilisateur dans le canal.
4. Vérification du zéro copie : Assurez-vous qu'aucun message n'est persisté sur disque par Glean. Les requêtes sont traitées exclusivement en mémoire volatile. Si un collaborateur ne fait pas partie d'un canal privé (comme #comite-direction), l'API Slack omet d'emblée ces données.

Étape 4 : Canaux sensibles et sécurisation de Slack Connect

1. Mise sur liste d'exclusion (Redlist) : Pour les canaux ultra-confidentiels (fusions-acquisitions, enquêtes RH, rémunérations), renseignez les Channel IDs (C...) dans le connecteur ou sollicitez le support Glean pour les exclure intégralement de toute recherche.
2. Isolation des canaux externes (Slack Connect) : Glean désactive par défaut ses interactions dans les canaux partagés avec des organisations extérieures, empêchant ainsi la diffusion d'informations sensibles à des tiers.
3. Messages directs (DMs) et canaux privés : Si les réglementations internes exigent le consentement individuel de l'employé, Glean permet d'inviter les collaborateurs à connecter leur propre jeton Slack pour explorer leurs messages directs.

4. Mappage des permissions, expansion des groupes et cycle de synchronisation

La maîtrise des cycles de synchronisation permet à la DSI de savoir exactement quand une révocation de droit devient effective dans les résultats de recherche.

+-----------------------------------------------------------------------------------+
|                     Mécanismes de synchronisation des permissions                 |
+-----------------------------------------------------------------------------------+
| Système source| Méthode de synchronisation  | Type d'action | Fréquence / Délai   |
+---------------+-----------------------------+---------------+---------------------+
| Google Drive  | Crawl complet des fichiers  | Lot           | Périodique (Base)   |
| Google Drive  | Google Reports API          | Incrémental   | Quelques minutes/h  |
| Google Drive  | Webhooks de notification    | Temps réel    | Quasi-instantané    |
| Google Groups | Admin Directory API         | Crawl identité| Périodique (Aplatir)|
| Profils Slack | Slack Users API             | Crawl identité| Périodique (Canaux) |
| Événements Slk| Slack Events API            | Webhook       | Immédiat (Adhésion) |
| Messages Slack| Slack RTS API               | Zéro copie    | À la requête (0s)   |
+-----------------------------------------------------------------------------------+

Aplatissement récursif des groupes imbriqués

Dans les grandes entreprises, les Google Groups sont souvent imbriqués (par exemple : Sécurité fait partie de Infrastructure, qui appartient à Ingénierie). Glean aplatit récursivement ces structures lors de ses crawls d'identité. Si un fichier est partagé avec Ingénierie, les membres de Sécurité obtiennent automatiquement le jeton ACL correspondant dans Glean. Lorsqu'un administrateur retire un employé du sous-groupe dans Google Workspace, le prochain crawl incrémental supprime ce jeton, coupant instantanément la visibilité du document dans le moteur de recherche.

Portée des révocations en temps réel

• Départ d'un canal Slack : Effet immédiat. Slack RTS interrogeant l'API de Slack au moment précis de la recherche, un utilisateur exclu d'un canal privé ne peut plus retrouver aucun de ses messages dès la seconde suivante.
• Révocation d'accès sur Google Drive : La suppression du partage émet un événement vers Glean, qui invalide le jeton ACL correspondant dans son index en quelques minutes.

5. Vérification, audit et dépannage dans la console d'administration

Ne validez jamais un déploiement sans réaliser des tests concrets avec des profils d'utilisateurs variés.

1. Contrôle des droits avec l'outil Document Lookup

1. Dans la Glean Admin Console, rendez-vous dans Content management → Document lookup.
2. Dans Document URL, collez le lien ou l'identifiant d'un Google Doc confidentiel.
3. Dans User (optional), sélectionnez le collaborateur dont vous souhaitez éprouver les droits.
4. Cliquez sur Check document.
5. Examinez le rapport d'analyse :
   • Last crawled : Horodatage précis de la dernière capture des métadonnées.
   • Last indexed : Moment où le document et ses ACLs ont rejoint l'index consultable.
   • Document visibility on Glean : Indique si le fichier est actif ou masqué par des directives d'administration.
   • Document access : Mentionne clairement Allowed ou Restricted, en explicitant l'origine du droit (partage direct, héritage de groupe ou règles de lien).

2. Tests ciblés via la barre de recherche

Les administrateurs ou les comptes de test peuvent exploiter des préfixes de filtrage :

• app:gdrive <mot-clé> : Limite la recherche aux documents Google Drive pour tester l'étanchéité des dossiers sensibles.
• app:slack <mot-clé> : Isole les messages Slack RTS pour contrôler la non-exposition des canaux fermés.
• * (astérisque) : Affiche l'ensemble des éléments accessibles pour le profil connecté, facilitant la détection d'éventuelles anomalies de partage.

3. Exploitation des journaux d'audit (Audit Logs)

Glean journalise l'ensemble des opérations d'administration :

1. Accédez à Users & permissions → Audit logs (ou Management → Audit Logs).
2. Filtrez par période, administrateur ou type d'action (ajouts de connecteurs, modifications des scopes OAuth, règles de visibilité).
3. Exportez les journaux au format CSV pour alimenter vos outils SIEM (Splunk, Datadog) et satisfaire aux exigences des audits SOC 2, HIPAA ou ISO 27001.

6. Synthèse et liste de contrôle avant la mise en production

Grâce à la complémentarité entre l'indexation profonde des ACLs pour Google Drive et la recherche fédérée en temps réel pour Slack, Glean offre un cadre de recherche moderne tout en éliminant les risques de divulgation d'informations inhérents aux projets RAG artisanaux.

Checklist pré-déploiement pour l'équipe informatique

• Fournisseur d'identité primaire (Okta / Entra ID / Google Identity) synchronisé avec Glean.
• Compte de service GCP configuré avec sa clé JSON et son ID client numérique.
• Délégation à l'échelle du domaine validée dans Google Workspace avec les scopes nécessaires.
• Directory Admin Email renseigné pour la collecte des journaux d'activité Google Workspace.
• Politiques de partage de liens Google Drive vérifiées (paramètre « Accessible dans les résultats de recherche »).
• Connecteur Slack validé par un Slack Org Owner sur l'organisation Enterprise Grid.
• Connecteur Slack Real Time Search (RTS) déployé et opérationnel.
• Canaux confidentiels (RH, juridique, direction) inscrits sur la liste d'exclusion (Redlist).
• Paramètres d'isolation des canaux externes Slack Connect confirmés.
• Contrôles d'accès validés avec Document Lookup sur des comptes témoins.
• Exportation des journaux d'audit vers le SIEM testée avec succès.

En appliquant cette méthodologie, la DSI garantit un moteur de recherche unifié d'une efficacité remarquable, aligné avec les exigences les plus strictes du modèle Zero Trust.

Références

• Permissions
• Slack
• Slack Real Time Search (RTS)
• Access verification
• Troubleshooting Search
• Audit Logs
• Glean Trust Center