Je Google- of Microsoft-omgeving klaarzetten
Je agenten werken in de mail, de agenda en de bestanden die je al hebt, in Google Workspace of in Microsoft 365. De toegang daartoe regelen we samen bij de installatie van je AI-systeem, zodat je agenten vanaf je eerste dag werken. Een deel ervan kan alleen de beheerder van je omgeving doen: jij, of je IT-man. Met je IT-man nemen wij vooraf contact op om het af te stemmen.
Wat je vooraf weet
- Je agenten werken alleen in een zakelijke omgeving. Met een privé-adres bij Google kan het niet.
- Werk je met Microsoft 365, dan staan je dossiers op OneDrive.
- De stappen zelf, die de beheerder één voor één kan volgen, staan in Installeren: je accounts en sleutels, bij Google Workspace of bij Microsoft 365. Hieronder staat wat er gebeurt en waarom.
- Elke sleutel die je aanmaakt, zet je meteen in de kluis die wij voor jou in onze 1Password aanmaken. Bij de installatie zetten wij hem in je eigen kluis, waar je agenten hem ophalen.
Zo gaat het bij Google Workspace
Log in met het account waarmee je je Google-omgeving beheert. Stap 4 kan alleen dat account, en met een ander account meldt de console dat je geen Workspace hebt.
- Maak in de Google Cloud-console, op console.cloud.google.com, een project aan met daarin een dienst-account: een account voor je agenten, dat namens jou werkt. Maak bij het dienst-account een sleutel aan; Google geeft je die als bestand.
- Zet de hele inhoud van het sleutelbestand meteen als notitie in een item in de kluis die wij voor jou hebben aangemaakt. Kijk of het item gevuld is, en gooi het bestand daarna weg: wie het bestand heeft, kan in de mailbox van iedereen in je domein. Doet je IT-man dit, dan stuurt hij ons het bestand via een deellink die één keer opent, en nooit per mail.
- Zet in het project de onderdelen aan die je agenten gebruiken: de Gmail API voor je mail, de Google Calendar API voor je agenda, de Google Drive API en de Google Docs API voor je bestanden en documenten, de Google Sheets API voor je spreadsheets en de Admin SDK API voor het gebruikersbeheer. Je vindt ze in de API-bibliotheek van de console.
- Geef het dienst-account in de Google Admin-console toestemming om namens jou te werken; Google noemt dit domeinbrede delegatie. Ga naar admin.google.com/ac/owl/domainwidedelegation, of in het menu naar Beveiliging, Toegangs- en gegevensbeheer, API-besturingselementen, Beheer domeinbrede delegatie. Kies Nieuw toevoegen, vul het client-ID van het dienst-account in en zet er alle rechten uit onze instructie in één keer bij: elk vergeten recht laat één koppeling stil falen. Het client-ID staat in het sleutelbestand, nu in je kluis, achter client_id.
- Maak in de Cloud-console een Pub/Sub-topic aan, op console.cloud.google.com/cloudpubsub/topic/create. Met Pub/Sub geeft Gmail een seintje als er nieuwe mail is, en het topic is het adres waar dat seintje heen gaat; zo hoort de verdeler dat er mail is. Geef in het topic het account gmail-api-push@system.gserviceaccount.com de rol Pub/Sub Publisher. Zonder dat recht komt er geen mail bij je agenten, en daar krijg je geen foutmelding van.
Zo gaat het bij Microsoft 365
- Maak met onze instructie een eigen app voor je agenten aan. De app mag onder meer de mail in je mailbox lezen en er concepten in zetten, en lezen en schrijven in je bestanden. Versturen kan hij niet. Je beheerder ziet bij die rechten ook wijzigen en verwijderen staan: een smaller recht biedt Microsoft niet.
- Maak de sleutel van de app meteen aan, en zet hem met zijn vervaldatum in de kluis die wij voor jou hebben aangemaakt. Zo installeren wij je server zonder dat jij of je IT-man erbij hoeft te zijn. De vervaldatum zetten wij als taak in je systeem, zodat de sleutel op tijd vernieuwd wordt.
- Doet je IT-man dit, dan deelt hij de sleutel met ons via een deellink die één keer opent, met de vervaldatum erbij, en nooit per mail.
Goed om te weten
- Zonder de domeinbrede delegatie krijg je bij het instellen geen fout, maar pas een weigering als een agent zijn eerste mail wil lezen. Daarom toetsen wij elk account bij de installatie met één echte handeling, zoals het ophalen van één mail.
- De delegatie hangt aan het client-ID van het dienst-account. Kijk dus of jouw client-ID in de lijst staat, en niet alleen of de rechten er staan.
- Ook met deze rechten verstuur jij je mail zelf: een agent zet een mail als concept in je mailbox.