Groups Admin + Groups Editor

Groups Editor é Groups Admin menos uma coisa: o privilégio de adicionar ou remover o rótulo de segurança de um grupo. Essa exclusão é o ponto da role — o rótulo de segurança é o que marca um grupo como veículo de acesso, e alterá-lo muda o regime de controle. Ter as duas na mesma identidade devolve o privilégio excluído e apaga a distinção.

Remoção do rótulo de segurança de um grupo que concede acesso, tirando-o do escopo dos controles que dependem do rótulo — sem que nenhuma permissão apareça como alterada.

• Escolher uma das duas roles por pessoa; se o rótulo de segurança precisa ser gerido, é Groups Admin, e ela deve ser rara.
• Alertar sobre remoção de rótulo de segurança de qualquer grupo.
• Revisar periodicamente os grupos com acesso sensível e confirmar que estão rotulados.

• https://support.google.com/a/answer/13556234
• https://support.google.com/a/answer/2405986