Google Workspace — Plecháček

Gmail: search, threads, drafty

„Najdi mi mail od Acme za poslední měsíc o smlouvě" — Plecháček zavolá `gmail_search`. „Naskicuj odpověď na ten poslední" — `gmail_draft`. Odeslání vždy s confirm gate.

gmail_search (Gmail query syntax)
gmail_get_thread (celý thread + attachments)
gmail_create_draft (vytvoří draft v inboxu)
gmail_send (confirm-always gate)

Plecháček

↔

Google Workspace

Calendar: free/busy, events, návrh termínů

Plecháček zjistí, kdy máte volno, navrhne termín, vytvoří event s pozvánkou. Tým a klienti dostanou kalendářový invite, ne text v mailu.

calendar_list_events (vlastní + sdílené)
calendar_suggest_time (free/busy lookup)
calendar_create_event (s atendees + Meet)
calendar_respond_to_event (RSVP)

calendar_list_events (vlastní + sdílené)

calendar_suggest_time (free/busy lookup)

calendar_create_event (s atendees + Meet)

calendar_respond_to_event (RSVP)

Drive: whitelist scope, ne celý disk

Plecháček nedostává plný Drive scope — má whitelist konkrétních složek (klientské, šablony, výkazy). Bez toho by mohl číst i citlivé HR věci. Audit log drží, co kde sahal.

Whitelist

jen vybrané složky

Audit

log otevření per soubor

Service Account

DWD impersonate per request

Service Account s domain-wide delegation

Server-to-server akce (poslat mail jako user, zapsat do kalendáře) jdou přes Service Account s DWD scope. Per-request impersonate = audit log ví, jménem koho akce běžela.

Google Service Account + DWD
Per-request subject impersonate
Credentials přes secrets broker
Runbook v content/wiki/service-account-google.md

Google Service Account + DWD

Per-request subject impersonate

Credentials přes secrets broker

Runbook v content/wiki/service-account-google.md

Google Workspace bez přepínání tabů

Gmail: search, threads, drafty

Calendar: free/busy, events, návrh termínů

Drive: whitelist scope, ne celý disk

Service Account s domain-wide delegation

Pojďme si o tom promluvit