Directory Sync Admin + User Management Admin

User Management Admin cria contas, renomeia usuários e altera senhas diretamente. Directory Sync Admin controla o processo que faz a mesma coisa em massa, a partir de outra fonte. Ter os dois significa poder produzir o mesmo resultado por duas vias e escolher, para cada caso, a que gera menos rastro — e nenhuma equipe fica com a visão completa do ciclo de vida das contas.

Divergência entre o diretório de origem e o Workspace que ninguém detecta, porque quem faria a comparação é quem controla os dois lados.

• Definir uma única via autoritativa para o ciclo de vida das contas e desabilitar a criação manual onde a sincronização é a fonte.
• Segregar a configuração da sincronização da operação de usuários.
• Rodar reconciliação periódica origem-destino por uma equipe que não opera nenhum dos dois.
• Alertar sobre criação manual de conta em unidades organizacionais cobertas pela sincronização.

• https://support.google.com/a/answer/13718656