Super Admin + Multi-party approval Admin

A aprovação multi-party do Workspace existe por um motivo só: obrigar que ações sensíveis de um administrador — desligar a verificação em duas etapas, alterar configurações críticas — sejam aprovadas por outro. Super Admin é quem executa essas ações; Multi-party approval Admin é quem revisa e aprova ou nega os pedidos. Numa identidade só, o controle deixa de ser um segundo par de olhos e vira uma etapa de confirmação.

Desativação da 2SV ou de outra proteção do domínio inteiro, com o registro mostrando pedido aprovado e o processo aparentemente respeitado.

• Atribuir Multi-party approval Admin exclusivamente a administradores que não tenham Super Admin.
• Manter no mínimo duas pessoas com o papel de aprovação, em áreas diferentes.
• Revisar o log de auditoria de aprovações procurando pedido e aprovação do mesmo ator.
• Alertar quando qualquer ação sensível for aprovada sem intervalo humano plausível entre pedido e aprovação.

• https://support.google.com/a/answer/13790448
• https://support.google.com/a/answer/2405986