Permessi degli Shared Drive di Google: 5 regole che nessuno ti spiega

I permessi degli Shared Drive di Google sembrano semplici finché non devi spostarci dentro anni di cartelle condivise. A me è successo in azienda: circa 85 utenti, più di 5 TB di file sparsi tra cartelle personali condivise un po’ con tutti, da riorganizzare in Shared Drive per team. Sulla carta un trasloco. Nella pratica, una serie di sorprese.

Queste sono le cinque regole che avrei voluto conoscere prima di iniziare. Nessuna è un bug: è proprio come funziona Google Drive.

1. I ruoli sono quelli e non ne crei di nuovi

In uno Shared Drive hai cinque livelli di accesso: Gestore, Gestore contenuti, Collaboratore, Commentatore e Visualizzatore. Fine. Il modello dei permessi è fisso a livello di API, quindi nessuno strumento di terze parti può inventarsi un ruolo su misura, tipo “può modificare ma non cancellare”.

Me l’hanno chiesto più volte e la risposta è sempre la stessa: se ti serve una granularità diversa, la ottieni con la struttura, non con i ruoli. Più Shared Drive piccoli e ben separati funzionano meglio di un unico drive gigante con eccezioni sparse ovunque.

2. Se sposti una sottocartella, i permessi ereditati restano indietro

Questa è quella che fa più danni. Quando sposti una cartella in uno Shared Drive, sopravvivono solo i permessi impostati direttamente su quella cartella o sui file al suo interno. Quelli che arrivavano per ereditarietà dalla vecchia cartella padre non vengono copiati, e lo dice anche la guida ufficiale di Google Workspace.

Esempio concreto: la cartella “Progetti” era condivisa con tutto il team, e dentro c’era “Progetti/Clienti 2024”. Sposti solo “Clienti 2024” nello Shared Drive e metà del team perde l’accesso, perché quel permesso stava sul padre. Nessun avviso, te ne accorgi quando iniziano ad arrivare le mail.

La soluzione è pianificare prima. Sposta gli alberi interi, oppure aggiungi le persone come membri dello Shared Drive prima di spostare, così l’accesso lo hanno comunque.

3. Da “Condivisi con me” non sposti niente se non sei il proprietario

Un file che vedi in “Condivisi con me” non è tuo, anche se puoi modificarlo. Per spostarlo in uno Shared Drive serve il proprietario. Il classico scenario: il responsabile di un team vuole riordinare tutto nel nuovo drive, ma metà dei file sono di un collega, o peggio di qualcuno che nel frattempo è andato via.

Le strade sono due: chiedi al proprietario di spostarli lui, oppure fai trasferire prima la proprietà a chi deve fare il trasloco. Nel caso di account di ex dipendenti, come amministratore puoi trasferire i file dalla console o con GAM, e qui arriviamo alla regola 5.

4. Gli utenti esterni hanno un tetto

Con i fornitori e i partner esterni non aspettarti di poter dare gli stessi poteri di un interno. Nella mia esperienza il massimo che sono riuscito ad assegnare a un account esterno è stato Gestore contenuti, mai Gestore. Anche qui non è un limite del pannello: è un tetto imposto da Google.

Per chi non ha proprio un account Google il discorso cambia ancora. Se l’amministratore ha attivato la condivisione con i visitatori, puoi dare accesso ai singoli file con un codice PIN, ma non farli diventare membri del drive. Quindi, se lavori spesso con esterni, conviene prevedere uno Shared Drive dedicato alla collaborazione e tenere separato quello interno.

5. GAM aiuta, ma non fa miracoli

Per le operazioni in massa uso GAM7 da riga di comando, che per un amministratore Workspace è uno strumento irrinunciabile. Per esempio, per passare tutti i file del My Drive di un ex dipendente a un collega:

gam user ex.dipendente@azienda.it transfer drive collega@azienda.it

Però ha dei limiti precisi. Il trasferimento di proprietà funziona solo all’interno dello stesso dominio e solo sui file del My Drive. Negli Shared Drive il concetto di proprietario personale non esiste, perché i file appartengono all’organizzazione. Se un file è di un account esterno, invece, non puoi prenderne la proprietà d’ufficio.

Come imposterei i permessi degli Shared Drive

Innanzitutto, partirei da una tassonomia chiara: uno Shared Drive per team o per area, nomi coerenti, e i permessi dati ai gruppi Google invece che alle singole persone. Così quando qualcuno entra o esce aggiorni il gruppo e non cinquanta cartelle.

Poi sposterei gli alberi interi, un team alla volta, avvisando prima le persone coinvolte. Infine controllerei gli accessi dopo ogni spostamento con i log di audit di Drive nella console di amministrazione. Più lento? Un po’. Ma molto meno delle ore passate a ricostruire chi aveva accesso a cosa.

Altri trucchi e trappole da amministratore li trovi nella categoria Google Workspace.