Conectar Google Drive

Esta guía te lleva —al administrador del tenant— por todo lo que hay que hacer en Google antes de conectar una carpeta de Drive desde OpenDome. Al terminar tendrás dos valores, un Client ID y un Client secret, que pegarás en la consola de OpenDome. Todo el trabajo de aquí se hace en la consola de Google Cloud, fuera de OpenDome.

Esto se hace una sola vez por organización; luego puedes conectar tantas carpetas como quieras con la misma app.

Antes de empezar: ¿Workspace o Drive personal?

Es la decisión más importante y condiciona todos los pasos siguientes. El conector funciona en ambos casos —es la misma API de Google Drive—, pero cómo registras la app cambia mucho.

Tu cuenta de Google	Tipo de app a crear	¿Verificación de Google?	¿Caduca el acceso?	Recomendado
Google Workspace (dominio corporativo)	Interna	No	No	✅ Sí
Gmail personal, en pruebas	Externa · Testing	No	Sí, a los 7 días	⚠️ Solo pruebas
Gmail personal, publicada	Externa · In production	Sí — auditoría de seguridad (CASA)	No	❌ Desaconsejado

Camino recomendado

Si vas a conectar el Drive de una empresa, usa una cuenta de Google Workspace y crea la app como Interna. Es el único camino sin verificación de Google y sin caducidad del acceso — justo lo que necesita un conector que sincroniza de forma programada.

Por qué el Drive personal es problemático

El permiso que pedimos (leer archivos de Drive) es un permiso restringido para Google. En una app externa en modo pruebas, Google caduca el acceso a los 7 días: el conector dejaría de sincronizar cada semana hasta que alguien vuelva a autorizar a mano. Evitarlo obliga a publicar la app, y entonces Google exige una auditoría de seguridad anual (CASA), de pago y con un tercero. Por eso el Drive personal sirve para una prueba puntual, pero no para producción.

Lo que vas a hacer

  Google Cloud Console
  ┌─────────────────────────────────────────────────────────────────────┐
  │ 1. Crear/elegir un proyecto                                         │
  │ 2. Habilitar la API de Google Drive                                 │
  │ 3. Configurar la pantalla de consentimiento (Interna vs Externa)    │
  │ 4. Crear las credenciales de cliente OAuth  ──►  Client ID + Secret │
  └─────────────────────────────────────────────────────────────────────┘
                                   │
                                   ▼
  OpenDome ── pegas Client ID + Secret ── pulsas "Conectar" ── eliges carpeta

El Client secret es una contraseña: trátalo como tal (ver Seguridad).

Requisitos previos

• Una cuenta de Google con permiso para crear proyectos en Google Cloud.
  • Para el camino recomendado (app Interna), esa cuenta debe pertenecer a una organización de Google Workspace y tener rol suficiente (normalmente Propietario o Editor del proyecto).
• La URL de redirección (redirect URI) que te da OpenDome (la necesitarás en el paso 4). Es la dirección a la que Google devolverá el navegador tras autorizar: https://<tu-consola-de-tenant>/v1/oauth/callback. OpenDome te muestra la URL exacta en la pantalla de conexión del conector — cópiala de ahí.
• Saber qué carpeta de Drive quieres sincronizar (podrás elegirla después, dentro de OpenDome).

Paso 1 — Crear (o elegir) un proyecto en Google Cloud

Un proyecto de Google Cloud es el contenedor donde vive tu app OAuth.

1. Entra en console.cloud.google.com.
2. Arriba, en el selector de proyectos, pulsa New Project (Nuevo proyecto).
3. Ponle un nombre reconocible (p. ej. opendome-drive-connector) y, si te lo pide, elige tu organización de Workspace. Pulsa Create.
4. Espera a que se cree y selecciónalo en el selector de arriba antes de seguir.

Nota

Puedes reutilizar un proyecto existente si ya tienes uno para integraciones. Lo importante es que los pasos 2–4 se hagan dentro del proyecto seleccionado.

Paso 2 — Habilitar la API de Google Drive

La app solo puede llamar a APIs que estén habilitadas en el proyecto.

1. Menú lateral → APIs & Services → Library (Biblioteca).
2. Busca Google Drive API.
3. Ábrela y pulsa Enable (Habilitar).

Paso 3 — Configurar la pantalla de consentimiento de OAuth

Es la ventana que verá quien autorice (“OpenDome quiere acceder a tu Google Drive”). Hay que configurarla una vez antes de poder crear credenciales.

1. Menú lateral → APIs & Services → OAuth consent screen.
2. User Type / Tipo de usuario:
   • Elige Internal (Interna) si tu cuenta es de Google Workspace ← recomendado. Solo podrán autorizar personas de tu organización y Google no exigirá verificación.
   • Elige External (Externa) si usas Gmail personal (es la única opción).
3. Rellena los datos: App name (p. ej. OpenDome – Drive connector), User support email y Developer contact. Logo y enlaces son opcionales.
4. Scopes (permisos): pulsa Add or remove scopes y añade el permiso de solo lectura de Drive:

   https://www.googleapis.com/auth/drive.readonly

   Es el único que OpenDome necesita: leer, nunca modificar ni borrar. Guarda.
5. Solo si elegiste Externa: en Test users, pulsa Add users y añade la dirección de Google que va a autorizar la conexión. Sin esto, la autorización falla con un error de “app no verificada”.
6. Guarda. No hace falta pulsar “Publish app” para el camino recomendado (Interna), ni para probar con una Externa en modo pruebas.

Paso 4 — Crear las credenciales de cliente OAuth

Aquí es donde salen el Client ID y el Client secret.

1. Menú lateral → APIs & Services → Credentials (Credenciales).
2. Pulsa + Create Credentials → OAuth client ID.
3. Application type / Tipo de aplicación: elige Web application (Aplicación web).
4. Name: algo reconocible (p. ej. opendome-drive-web).
5. Authorized redirect URIs: pulsa + Add URI y pega la URI de redirección de OpenDome (la de Requisitos previos). Debe coincidir exactamente —protocolo, host, puerto y ruta—; un solo carácter de diferencia hace que Google rechace la conexión.

   https://<tu-consola-de-tenant>/v1/oauth/callback

6. Pulsa Create. Google te muestra un cuadro con el Client ID y el Client secret.

Nota

Puedes añadir varias URIs de redirección a la misma app. No necesitas rellenar “Authorized JavaScript origins”.

Paso 5 — Copiar el Client ID y el Client secret

• Client ID — una cadena larga que termina en .apps.googleusercontent.com. No es secreto, pero cópialo tal cual.
• Client secret — empieza por GOCSPX-…. Es una contraseña. Cópialo a un sitio seguro; si lo pierdes puedes generar otro desde la misma pantalla.

Y ahora, en OpenDome

1. Entra en tu tenant → Conectores → Nuevo conector → Documents — Google Drive.
2. Pega el Client ID y el Client secret en sus campos.
3. Pulsa Conectar. Se abre la ventana de Google: elige la cuenta y acepta los permisos de solo lectura. Volverás a OpenDome automáticamente.
4. Elige la carpeta a sincronizar con el navegador de carpetas (o pega el enlace de la carpeta si prefieres: ábrela en Google Drive y copia la dirección).
5. Guarda. El conector queda listo para su primera sincronización.

Nota

En el paso Conectar, OpenDome obtiene —dentro de tu celda— el “refresh token” que le permite leer Drive de forma continuada. Ese token nunca sale de tu entorno.

Problemas frecuentes

Síntoma	Causa y solución
redirect_uri_mismatch al Conectar	La URI de redirección de la app no coincide exactamente con la de OpenDome. Revisa protocolo (http/https), host, puerto y ruta (/v1/oauth/callback), sin barra final de más.
“Access blocked: app no verificada”	App Externa y no añadiste tu correo como usuario de prueba (paso 3.5), o usas una cuenta que no está en la lista. Añade el usuario, o —si tienes Workspace— cambia a app Interna.
El conector deja de sincronizar tras ~1 semana	App Externa en modo pruebas: Google caduca el acceso a los 7 días. Solución real: Workspace + app Interna.
invalid_client	Client ID o Client secret mal copiados (espacios, recortes). Vuelve a copiarlos del paso 5.
No aparece la carpeta en el navegador	La app puede no tener aún el permiso de Drive, o la carpeta pertenece a una unidad compartida. Revisa que añadiste el scope drive.readonly (paso 3.4); para unidades compartidas, usa el campo Shared drive / pega el enlace de la carpeta.
“Refresh token no recibido”	Ocurre si reautorizas sin forzar el consentimiento. Nuestra app ya pide access_type=offline + prompt=consent, así que vuelve a pulsar Conectar y acepta de nuevo.

Seguridad

• Solo lectura. El único permiso que pedimos es drive.readonly. OpenDome no puede crear, modificar ni borrar nada en tu Drive.
• Tus credenciales no salen de tu entorno. El Client secret y el token viven en un Secret de tu celda; el intercambio del token OAuth ocurre dentro de tu celda. El plano de control global de OpenDome nunca ve el secret ni el token, y nunca contacta con Google en tu nombre.
• Egress mínimo. El conector solo puede salir hacia los dominios de Google estrictamente necesarios (accounts.google.com, oauth2.googleapis.com, www.googleapis.com); cualquier otra salida está bloqueada por defecto.
• Revocable en cualquier momento. Puedes retirar el acceso desde tu cuenta de Google (myaccount.google.com/permissions) o eliminando el cliente OAuth en Google Cloud; el conector pierde el acceso de lectura inmediatamente.
• Rotación del secret. Para rotar, genera un nuevo Client secret en Google Cloud y vuelve a conectarlo en OpenDome; el anterior queda invalidado.