Alle onderwerpen

Handleiding › Aan de slag › Installeren

Google Workspace: klik hier en voer daarna deze stappen uit

Waarom dit onderdeel

Je agenten lezen je mail, zetten afspraken in je agenda en werken in je documenten en spreadsheets op Drive. Dat doen ze niet via jouw scherm, maar via een dienst-account: een technisch account in jouw Google-omgeving dat namens jou mag handelen, ook als je computer dicht is. Daarvoor komt er een project met dat dienst-account en een sleutel, gaan er zes Google-diensten aan, en krijgt het dienst-account in de beheerconsole toestemming om namens jou te werken. Tot slot komt er een kanaal waarmee Gmail ons een seintje geeft als er mail binnenkomt, zodat je agenten niet steeds hoeven te kijken.

Wie doet dit? De beheerder van je Google Workspace, de hoofdbeheerder (super admin).

Wat je nodig hebt: een Google Workspace-abonnement voor je bedrijf: je zakelijke Google-omgeving, met Gmail, Agenda en Drive op je eigen domeinnaam. Een los Gmail-adres, zonder Workspace, is niet genoeg.

Hoe lang: dertig tot veertig minuten.

Stap 1. Zet je Google-inlog in onze 1Password

Deze stap doe je zelf, ook als je een beheerder hebt.

  1. Ga naar onze 1Password, kluis <klantnaam>, nieuw item, type Login, naam Google – account <klantnaam>, met je zakelijke mailadres en je wachtwoord.

Daarmee koppelen wij bij de installatie je Drive aan je Mac-server, zonder dat je erbij hoeft te zijn. Vraagt Google dan om een bevestiging op je telefoon, dan sturen we je eerst een berichtje.

Stap 2. Maak een project aan

Klik hier: console.cloud.google.com en log in met het zakelijke Google-account van de hoofdbeheerder.

  1. Controleer rechtsboven met welk account je bent ingelogd. Met een ander account maak je alles op de verkeerde plek aan.
  2. Klik bovenaan op de projectkiezer → Nieuw project (New project).
  3. Naam: <bedrijf>-agents. Organisatie en locatie laat je zoals ze staan. Wat je ziet: een formulier met projectnaam, en daaronder je organisatie (je domein).
  4. Maken (Create). Wacht tot de melding rechtsboven zegt dat het project er is, en kies het in de projectkiezer.

Stap 3. Maak het dienst-account aan

Klik hier: in het menu links IAM en beheer → Serviceaccounts (IAM & Admin → Service accounts).

  1. Serviceaccount maken (Create service account).
  2. Naam: agents. De ID eronder vult Google zelf. Wat je ziet: een formulier in drie stappen; alleen de eerste is nodig.
  3. Maken en doorgaan, en bij de twee volgende stappen Doorgaan en Gereed zonder iets in te vullen.
  4. Het dienst-account staat nu in de lijst, met een e-mailadres dat eindigt op .iam.gserviceaccount.com. Klik erop.

Stap 4. Maak de sleutel, en zet hem meteen in onze 1Password

  1. Open het tabblad Sleutels (Keys) → Sleutel toevoegen → Nieuwe sleutel maken.
  2. Kies JSON → Maken. Wat je ziet: een melding dat de privésleutel is opgeslagen op je computer; er staat nu een bestand in de Downloads-map.

⚠️ Krijg je geen download maar een melding dat het aanmaken van sleutels door een organisatiebeleid is uitgeschakeld (de melding noemt iam.disableServiceAccountKeyCreation)? Reken daarop: had je bedrijf nog nooit Google Cloud gebruikt, dan heeft stap 2 zojuist een nieuwe organisatie aangemaakt, en bij organisaties van na 3 mei 2024 staat dit verbod standaard aan. Als hoofdbeheerder kun je het zelf opheffen, alleen voor dit project: ga in de console naar IAM en beheer → IAM, kies bovenin je organisatie (niet het project), geef je eigen account de rol Organisatiebeleid-beheerder (Organization Policy Administrator); ga dan naar IAM en beheer → Organisatiebeleid, kies het project <bedrijf>-agents, zoek het beleid Disable service account key creation, kies Beleid beheren → Overschrijven → Niet afgedwongen, en sla op. Doe stap 4 daarna opnieuw.

⚠️ Dat bestand is de sleutel waarmee je agenten in je hele Google-omgeving kunnen handelen. Het hoort op één plek: in onze 1Password. Doe het volgende meteen.

  1. Open het bestand (het staat in Downloads, de naam begint met je projectnaam). Het is tekst, een twintigtal regels tussen accolades. Selecteer alles (Cmd+A) en kopieer (Cmd+C).
  2. Ga naar onze 1Password, kluis <klantnaam>, nieuw item, type Secure Note, naam precies Google Service Account, zonder iets erachter. Plak de tekst in het notitieveld. Sla op. Doet je beheerder dit? Hij kan niet bij onze 1Password. Hij stuurt het bestand aan Canoniek via een eenmalige deellink uit zijn eigen wachtwoordbeheer, nooit per mail; wij zetten het erin.
  3. Verwijder het bestand uit de Downloads-map, en daarna uit de prullenbak.
  4. Noteer uit die tekst één ding dat niet geheim is en dat je zo nodig hebt: de regel die begint met client_id, een getal van ongeveer twintig cijfers. Dat is het client-ID. Je vindt het ook op de pagina van het dienst-account onder Unieke ID (Unique ID); je hoeft het bestand er niet voor te openen.

Deze waarde: nu meteen in onze 1Password, item Google Service Account. Daarna het bestand weg.

Stap 5. Zet zes diensten aan

Klik hier: in het menu links API's en services → Bibliotheek (APIs & Services → Library).

Zoek en zet aan, één voor één, met de knop Inschakelen (Enable). Achter elke dienst staat waar je agenten hem voor gebruiken.

  1. Gmail API: je mail lezen en concepten in je postvak klaarzetten.
  2. Google Calendar API: je agenda lezen en er afspraken in zetten.
  3. Google Drive API: bij de bestanden op je Drive komen.
  4. Google Docs API: je documenten lezen, met de opmerkingen erbij.
  5. Google Sheets API: je spreadsheets lezen en bijwerken.
  6. Admin SDK API: de gebruikers en afdelingen van je Google-omgeving opzoeken en beheren.

Wat je ziet: per dienst een pagina met een blauwe knop Inschakelen; na het klikken verandert die in "API ingeschakeld" of een beheerknop.

Stap 6. Geef het dienst-account toestemming om namens jou te werken

Dit kan alleen een hoofdbeheerder (super admin) van je Workspace.

Klik hier: admin.google.com → Beveiliging → Toegangs- en gegevensbeheer → API-besturingselementen → onderaan Domeinbrede delegatie beheren.

  1. Nieuw toevoegen (Add new).
  2. Bij Client-ID: het client-ID uit stap 4.6.
  3. Bij OAuth-scopes: kopieer de regel hieronder in één keer en plak hem in het veld. Het zijn zeven rechten, gescheiden door komma's. 
    https://www.googleapis.com/auth/gmail.modify,https://www.googleapis.com/auth/gmail.readonly,https://www.googleapis.com/auth/calendar,https://www.googleapis.com/auth/spreadsheets,https://www.googleapis.com/auth/admin.directory.user,https://www.googleapis.com/auth/admin.directory.orgunit.readonly,https://www.googleapis.com/auth/cloud-platform
    Wat je ziet: een venster met twee velden: het client-ID en een groot veld voor de rechten.
  4. Autoriseren (Authorize). De regel verschijnt in de lijst, met het client-ID en het aantal rechten erachter.

⚠️ Hier zit de val van dit hele onderdeel. Vergeet je deze stap, of staat er een verkeerd client-ID, dan merk je dat nu niet: alles ziet er goed uit, en pas als een agent zijn eerste mail wil lezen krijgt hij een weigering. Controleer daarom dat het client-ID in de lijst precies het getal uit stap 4.6 is.

Stap 7. Maak het seintje van Gmail aan

Dit is het kanaal waarmee Gmail ons laat weten dat er mail is. Technisch heet het Pub/Sub, kort voor publish/subscribe, publiceren en abonneren: Gmail zet bij elke nieuwe mail een seintje op een onderwerp, en wij zijn op dat onderwerp geabonneerd. Zo hoeven je agenten niet steeds zelf te kijken of er post is.

Klik hier: terug naar console.cloud.google.com, het project <bedrijf>-agents, menu links Pub/Sub → Onderwerpen (Topics). Vraagt de console om Pub/Sub aan te zetten, klik dan op Inschakelen.

  1. Onderwerp maken (Create topic). ID: gmail-binnenkomst. De andere opties laat je staan. Maken. Wat je ziet: een venster met het ID-veld en enkele aankruisvakjes.
  2. Open het onderwerp. Rechts, of onder het tabblad Rechten (Permissions): Hoofdaccount toevoegen (Add principal).
  3. Bij Nieuwe hoofdaccounts typ je precies: gmail-api-push@system.gserviceaccount.com. Bij Rol kies je Pub/Sub-publicist (Pub/Sub Publisher). Opslaan. Wat je ziet: het rechtenpaneel met de nieuwe regel.

⚠️ Sla je stap 7.3 over, dan wijst Gmail straks naar een kanaal waar het niets in mag zetten, en ook daar komt geen foutmelding van. Controleer dat de regel er staat.

Stap 8. Een sleutel voor Gemini, met een betaalrekening

Twee onderdelen van je systeem draaien op Gemini, het model van Google: de verdeler, die elk binnenkomend bericht bij het juiste dossier legt, en Deep Research. Ze delen één sleutel. Omdat je op Google werkt, komt die uit je eigen Google, uit dit project.

Klik hier: aistudio.google.com/apikey, met hetzelfde account als in stap 2.

  1. Create API key (Sleutel maken). Kies het project <bedrijf>-agents. Naam: verdeler. Wat je ziet: de sleutel, één keer, met een kopieerknop.
  2. Kopieer hem naar onze 1Password, kluis <klantnaam>, nieuw item, type Secure Note, naam precies Gemini API Key verdeler, de sleutel in het notitieveld. Sla op. Deep Research gebruikt dezelfde sleutel, dus een tweede maak je niet.
  3. Zet een betaalrekening op het project. Kies in AI Studio bij het project de knop om facturering in te stellen (Set up billing), en koppel de betaalrekening van je bedrijf, of maak er een met de creditcard van je bedrijf. Google vraagt daarbij een vooruitbetaling van minimaal 5 dollar. Waarom: zonder betaalrekening gelden de gratis voorwaarden van Google, en die vragen om er geen persoonlijke of vertrouwelijke gegevens in te stoppen. De berichten van jouw klanten zijn dat wel. Met een betaalrekening gebruikt Google wat je agenten sturen niet om zijn eigen producten te verbeteren.

Deze waarden: nu meteen in onze 1Password. Daarna het venster dicht. Doet je beheerder dit? Hij stuurt de sleutel aan Canoniek via dezelfde eenmalige deellink als het sleutelbestand van stap 4, nooit per mail.

⚠️ Zie je in plaats van de sleutelpagina een melding dat je geen toegang hebt tot Google AI Studio? Dan staat AI Studio uit voor je account. Als hoofdbeheerder zet je het aan in de Admin-console: Apps → Aanvullende Google-services → Google AI Studio.

Klaar met dit onderdeel

Alle vinkjes gezet, of je eigen inlog plus de mail aan je beheerder? Door naar onderdeel 4, GitHub. Onderdeel 3b, Gemini, heb je met stap 8 al gedaan.

Wat er bij de installatie gebeurt. Daar hoef je niet bij te zijn. Wij koppelen je postvak aan het onderwerp van stap 7 en toetsen het hele onderdeel met één echte mail: pas als een agent die leest, weten we dat stap 6 goed staat. Het groene scherm van vandaag zegt dat nog niet. Mislukt die toets, dan nemen we contact op met wie stap 6 deed.

Als iemand anders je Google Workspace beheert: de mail

Wij vullen de plaatshouders met je in. Stuur hem vanaf je eigen adres, met ons in de cc, zodat je beheerder ons allebei kan antwoorden.

Onderwerp: toegang voor de AI-agenten van <bedrijf>: een dienst-account in Google Workspace

Beste <naam>,

Ik laat door Canoniek AI-agenten installeren die in mijn mail, mijn agenda en mijn documenten werken. Daarvoor is in onze Google-omgeving een project met een dienst-account nodig, met domeinbrede toestemming om namens mij te werken. Dat kan alleen een hoofdbeheerder. Zou je dat willen doen?

Alle stappen staan hier, met de reden erbij: https://canoniek.ai/documentatie/aan-de-slag/installeren/google-workspace/, stap 2 tot en met 7.

Wat we van je terug nodig hebben:

  1. Dat het klaar is, en het client-ID van het dienst-account. Dat is niet geheim; je kunt het in je antwoord op deze mail zetten.
  2. Het sleutelbestand van het dienst-account. Dat is wél geheim: stuur het niet per mail, maar via een eenmalige deellink uit je wachtwoordbeheer, aan Canoniek.

Vragen kun je aan mij stellen, of aan Canoniek in de cc.

Groet, <Voornaam>

Wat je beheerder terugstuurt, zetten wij in onze 1Password. Jij hoeft daarna niets meer te doen.

← Terug naar het overzicht