Rôles admin temporaires dans Google Workspace : ce qui change

Un prestataire externe demande un accès administrateur pour un audit de deux jours. Vous le lui accordez, l’audit se termine, et trois mois plus tard vous retrouvez ce compte avec des droits d’administrateur toujours actifs dans votre console. Personne n’a pensé à les retirer. Ce scénario est banal, et c’est exactement celui que Google cherche à supprimer avec les rôles administrateur à durée déterminée, disponibles dans la console d’administration Google Workspace depuis le 23 septembre 2026.

Ce que fait la fonctionnalité

Un super administrateur peut désormais attribuer un rôle d’administrateur à un utilisateur, un groupe ou un compte de service pour une durée définie. Quand l’échéance arrive, l’accès accordé par le rôle est révoqué automatiquement. Aucune intervention humaine n’est requise à ce moment-là.

Lors de l’attribution, le super admin choisit une durée prédéfinie, par exemple 30 jours, ou fixe une date et une heure personnalisées. La page d’aide officielle de Google précise que la durée maximale est d’un an. On ne peut pas fixer une expiration dans le passé, et la révocation ne se renouvelle pas seule : à l’échéance, il faut réassigner le rôle pour prolonger l’accès.

Google positionne cette fonctionnalité comme une réponse à un problème de sécurité concret : la multiplication des privilèges permanents et des accès résiduels. L’annonce figure sur le blog Google Workspace Updates du 23 septembre 2026. Trois cas d’usage y sont cités : les projets courts, le remplacement d’un collaborateur absent et les audits externes.

Le vrai bénéfice : le moindre privilège devient le chemin par défaut

Le principe du moindre privilège est connu de tout administrateur. Un compte ne devrait détenir que les droits dont il a besoin, pendant la durée où il en a besoin. En pratique, la seconde partie de la phrase est rarement respectée. Retirer un accès demande une action volontaire, et cette action se perd dans le flux du quotidien.

L’expiration automatique inverse la charge. Au lieu de devoir se souvenir de retirer un droit, l’administrateur décide dès l’attribution du moment où il disparaîtra. C’est le réglage que nous activerions en premier pour tout accès administrateur destiné à un usage ponctuel. Un prestataire, un intérimaire, un collègue qui couvre un congé : dans tous ces cas, la question « qui pensera à retirer ce droit ? » ne se pose plus.

L’effet dépasse le confort. Chaque compte administrateur qui garde des droits inutiles agrandit la surface d’attaque. Un mot de passe compromis sur un compte qui aurait dû perdre ses privilèges il y a deux mois vaut beaucoup plus pour un attaquant qu’un compte déjà revenu à ses droits de base. Réduire les privilèges permanents réduit mécaniquement l’exposition, comme nous l’expliquions dans notre article sur les réglages essentiels de la console d’administration.

Ce qu’il faut savoir avant de compter dessus

La fonctionnalité est disponible pour tous les clients Google Workspace, sans réserve d’édition. C’est une bonne nouvelle : une PME sur Business Starter y accède comme une organisation sur Enterprise Plus. Le déploiement couvre les domaines Rapid Release et Scheduled Release. Google précise cependant que certains comptes d’entreprise peuvent ne pas encore voir les options d’expiration tant que le déploiement n’est pas totalement terminé. Si vous ne les trouvez pas dans votre console, patientez.

Seul un super administrateur peut définir une durée. Un administrateur délégué, même chargé de la gestion des utilisateurs, ne fixe pas d’expiration lui-même. Cette centralisation est cohérente avec le rôle sensible qu’est l’attribution de droits admin, mais elle signifie que la fonctionnalité repose sur la discipline des super admins.

Une limite mérite attention : Google indique qu’on ne peut pas attribuer plusieurs rôles à un même utilisateur, groupe ou compte de service lorsque ces rôles portent une expiration, même avec des échéances différentes. Un compte qui a besoin de deux rôles temporaires distincts se heurtera donc à cette contrainte. Enfin, l’administrateur principal de l’organisation ne peut pas recevoir de rôle super admin temporaire, et un rôle super admin à durée limitée empêche de désigner son titulaire comme administrateur principal. Le compte pivot doit garder ses droits en permanence.

Ce que la fonctionnalité ne résout pas

L’expiration automatique n’est pas un système complet de gestion des accès à privilèges. Elle attribue un rôle pour une durée et le révoque. Elle ne propose pas de demande d’élévation à la volée validée au cas par cas, ni de flux de justification consigné pour chaque activation.

Pour ces besoins, deux briques existent déjà. L’approbation multipartite de Google Workspace impose qu’un second super admin valide une attribution de rôle sensible avant qu’elle prenne effet. Combinée à une expiration, elle encadre à la fois qui accorde le droit et combien de temps il dure. Du côté de Google Cloud, Privileged Access Manager gère des élévations temporaires avec approbation pour les ressources cloud. Ces outils s’adressent à des organisations qui ont un besoin d’audit poussé.

Pour la plupart des PME, associations, établissements scolaires et petites collectivités, l’expiration native couvre l’essentiel. Le point de vigilance reste humain : la fonctionnalité ne vous dit pas quand un accès permanent existant devrait être temporaire. Elle agit sur les nouvelles attributions, pas sur l’existant. Un audit des rôles déjà en place reste nécessaire, dans la lignée de ce que nous décrivons pour auditer l’exposition des clés API et de Gemini.

Ce qu’un administrateur devrait faire maintenant

Le premier réflexe est de vérifier que les options d’expiration apparaissent dans votre console, sous Compte puis Rôles d’administrateur. Ensuite, adoptez une règle simple : tout accès administrateur accordé pour un besoin ponctuel reçoit une date de fin dès l’attribution. Un prestataire pour un audit de deux jours, un rôle fixé à sept jours. Un remplacement de trois semaines, un rôle calé sur la date de retour du titulaire.

Le second chantier, plus long, consiste à passer en revue les attributions permanentes existantes. Combien de comptes détiennent des droits admin dont l’usage est en réalité ponctuel ? Chaque droit permanent qui pourrait être temporaire est une dette de sécurité. La fonctionnalité ne la corrige pas rétroactivement, mais elle donne le bon outil pour ne plus en créer. Une posture de moindre privilège cohérente combine cette expiration avec le reste des bonnes pratiques de la console, que nous avons détaillées dans notre guide sur la sécurisation des données d’entreprise avec Google Workspace.

À lire aussi

• Google Workspace : les réglages essentiels de la console d’administration : les paramètres de sécurité à configurer dès le déploiement.
• Clés API Google et Gemini : auditez votre exposition avec gcloud : repérer les privilèges dormants avant qu’ils ne servent à un attaquant.
• Google Workspace : mettre en place le Zero Trust avec BeyondCorp Enterprise : vérifier chaque accès plutôt que faire confiance au réseau.

Vos comptes administrateur Google Workspace accumulent des droits que personne ne retire jamais ? Nous auditons vos rôles et posons une politique de moindre privilège adaptée à votre organisation. Échangeons 30 minutes sur votre contexte.