¿Cuántos súper administradores debería tener una empresa pequeña?

Al menos dos, en manos de dos personas distintas. La página de roles predefinidos de Google exige al menos uno y recomienda al menos dos para que uno pueda restablecer la contraseña del otro, y la de buenas prácticas de seguridad agrega que cada súper administrador debería tener además una cuenta aparte para el correo y los documentos del día. Más de dos en una empresa de menos de 50 personas suele ser crecimiento por inercia, no una decisión.

¿Puedo limitar un administrador de Google Workspace a una oficina o un área?

Sí en casi todos los roles, no en Súper administrador, que siempre aplica a toda la organización. Solo ciertos privilegios se pueden limitar a una unidad organizativa, y agregar cualquier otro privilegio a un rol personalizado quita esa opción. En la consola se nota porque el control de Editar junto a Todas las unidades organizativas solo aparece en los roles que se pueden limitar. Aplicar o desactivar la verificación en dos pasos es una acción de seguridad que no se puede limitar a una unidad.

¿Un administrador de asistencia puede leer el correo de los demás?

No con el rol de administrador de asistencia, que restablece contraseñas de usuarios que no son administradores y ve perfiles y la estructura organizativa. Leer el contenido de los mensajes requiere privilegios de Google Vault, donde el de gestionar búsquedas muestra el contenido de los mensajes y archivos que devuelve una búsqueda. La búsqueda en registros de correo encuentra mensajes por remitente, fecha o ID, pero Google indica que no muestra el contenido, y el privilegio de configuración de Gmail cambia enrutamiento y reglas de cumplimiento, no abre buzones.

Roles de administrador de Google Workspace: quién tiene qué

Imagina una empresa de logística de 12 personas. Cuatro tienen el rol de Súper administrador: el dueño, la persona que lleva la oficina, quien montó el dominio hace tres años y hoy viene dos días por semana, y un contratista que lo necesitó una tarde en 2024. Nadie fue descuidado. Cada uno recibió el rol porque la alternativa era una conversación de media hora sobre privilegios que nadie tenía tiempo de tener.

Así se ve la mayoría de los Google Workspace pequeños, y no pasa nada hasta el día en que pasa. Un correo de phishing llega a una de esas cuatro cuentas y quien está detrás hereda toda la organización. Alguien borra un usuario para liberar una licencia y se lleva su Gmail. El acceso de administrador es la única parte de Workspace donde la decisión cómoda y la correcta se ven igual desde fuera, durante años. Este es el orden en que trabajamos.

Dos súper administradores, en manos de dos personas

La guía de Google es concreta en esto, revisada el 13 de octubre de 2026. La página de roles predefinidos dice que una organización necesita al menos un súper administrador y recomienda al menos dos, para que si a uno se le olvida la contraseña el otro pueda restablecerla. La página de buenas prácticas de seguridad para cuentas de administrador va más lejos: más de una cuenta de súper administrador, cada una a cargo de una persona distinta y no compartida, y dos cuentas por cada súper administrador, una para el trabajo de administración y otra para el correo y los documentos del día.

Lo último importa por la recuperación. La autorrecuperación del súper administrador es una opción por organización en la consola de administración, y Google documenta que viene desactivada por defecto en varias ediciones, entre ellas Business Plus, Education Standard y Education Plus, Enterprise Essentials Plus y Cloud Identity Premium. Con la autorrecuperación desactivada y el súper administrador fuera de su cuenta, quedan dos caminos: otro súper administrador, o el soporte de Google, y ese segundo camino pasa por demostrar que el dominio es tuyo publicando el registro DNS que Google te pida. Una sola cuenta de súper administrador en un plan donde la autorrecuperación está apagada está a un teléfono perdido de abrir un ticket. Dos cuentas en manos de dos personas lo vuelven un cambio de contraseña de cinco minutos. Las mecánicas del bloqueo ya las contamos antes.

Dos límites que conviene saber antes de armar algo ingenioso. El rol de Súper administrador no se puede limitar a un área. Cualquier otro rol se puede aplicar solo a ciertas unidades organizativas, y ese cubre toda la organización por diseño. Y es el único rol que no se puede asignar a una cuenta de servicio, algo que vale recordar si una integración te lo pide.

Qué revisamos antes de tocar una sola asignación

Cuatro lecturas, en este orden, y ninguna cambia nada:

Quién tiene qué hoy. La página central es Menú, luego Cuenta y luego Roles de administrador, que lista cada rol con sus asignados. Cuenta los súper administradores en voz alta. En la mayoría de las auditorías que hacemos, el número sorprende al dueño.
Qué asignaciones llegan por un grupo. Los roles se asignan a usuarios, grupos y cuentas de servicio, y la asignación a un grupo sigue automáticamente los cambios de membresía, que es la ventaja y la trampa a la vez. Agregar a alguien a un grupo puede volverlo administrador sin que aparezca nada junto a su nombre.
Qué privilegios leen datos de la gente, que no es la misma pregunta que quién es administrador. Más abajo.
Si las cuentas de administrador están protegidas. Verificación en dos pasos en todas, llaves de seguridad donde alcance el presupuesto y datos de recuperación fuera del tenant.

Usa un rol predefinido antes de inventar uno

La mayoría de los equipos pequeños necesitan dos o tres roles predefinidos y ninguno personalizado. Los que se ganan su lugar en menos de 50 personas:

Administrador de asistencia (Help Desk Admin). Restablece contraseñas de usuarios que no son administradores y ve los perfiles y la estructura organizativa. Es el rol para quien recibe los problemas de inicio de sesión, y se puede limitar a una unidad organizativa.
Administrador de gestión de usuarios. Casi todas las acciones sobre usuarios que no son administradores: crear, borrar, renombrar, restablecer. A propósito no puede tocar cuentas de administrador, sobre las que solo actúa un súper administrador, y ese límite es la razón para usarlo en lugar de Súper administrador.
Administrador de grupos. Control total de las tareas de Grupos, con las variantes más estrechas de lectura y edición si solo necesitas visibilidad. Conviene leerlo junto a cómo usar los grupos como frontera de acceso en Drive y Calendar.
Administrador de servicios. Activa y desactiva servicios y cambia su configuración, incluidos recursos de Calendar, Chrome y dispositivos. La página de Google no lista Gmail entre sus tareas, así que revisa los privilegios en tu consola antes de dar por hecho que cubre el correo.

Los roles personalizados existen para los casos en que un trabajo necesita privilegios de dos lugares a la vez. El ejemplo más claro en la documentación de Google: transferir la propiedad de los archivos de Drive de alguien requiere juntos el privilegio de configuración de Drive y Documentos, el de transferencia de datos y el de lectura de usuarios. Ningún rol predefinido junta esos tres, así que quien ayuda con las bajas y no debería poder borrar cuentas necesita un rol personalizado. El tope son 750 roles personalizados por organización en la guía de la Directory API de Google, así que el número nunca es el límite. Cada rol personalizado es algo que alguien tendrá que entender en dos años.

Lo que le damos a quien da soporte en un tenant pequeño suele verse así:

Rol personalizado: Soporte (limitado a /Personal)
  Usuarios     Leer
  Usuarios     Restablecer contrasena
  Usuarios     Forzar cambio de contrasena
  Unidades organizativas   Leer

Cuatro privilegios. No puede crear ni borrar un usuario, ver la facturación, cambiar la configuración de un servicio ni tocar a nadie fuera de la unidad Personal.

Limítalo a la gente para la que es

El alcance es donde se cae la mayoría de los planes, así que la regla conviene dicha claro: solo ciertos privilegios se pueden limitar a una unidad organizativa, y agregar cualquier otro privilegio a un rol personalizado quita esa opción. Te enteras en la consola y no en una advertencia, porque el control de Editar junto a Todas las unidades organizativas solo aparece en los roles que se pueden limitar, como Administrador de gestión de usuarios.

Dos datos más de las mismas páginas. Aplicar o desactivar la verificación en dos pasos no se puede limitar a una unidad organizativa, así que quien puede hacerlo para un área puede hacerlo para todos. Y un grupo puede tener cualquier rol excepto Súper administrador y Administrador de distribuidor, lo que hace del grupo el lugar correcto para el rol de soporte cuando el soporte son tres personas que cambian.

Los privilegios que leen correo y archivos

"Administrador" y "puede leer mi correo" no son lo mismo, y la diferencia vive en tres privilegios.

El privilegio de configuración de Gmail cubre toda la configuración de Gmail de la organización. La página de Google sobre delegar la administración de Gmail dice qué significa en la práctica: configurar enrutamiento de correo y reglas de cumplimiento de contenido. Quien lo tiene no puede leer un mensaje, y aun así puede redirigir en silencio todo lo que envía tu dominio. La búsqueda en registros de correo es un privilegio aparte que encuentra mensajes por remitente, fecha o ID, y Google indica que no sirve para ver el contenido. El privilegio amplio de configuración de servicios selecciona solo el de configuración de Gmail, no la búsqueda en registros ni el acceso a la cuarentena.

Leer contenido es Google Vault, y los privilegios de Vault son su propio conjunto. El privilegio de gestionar búsquedas permite buscar datos de la organización y ver el contenido de los mensajes y archivos que devuelve una búsqueda. Google dice que las cuentas con privilegios de Vault deben tratarse como sensibles porque tienen acceso y control sobre los datos de otros usuarios, que no se seleccionan automáticamente con la configuración de servicios, y que Vault mantiene su propio registro de auditoría que no se puede editar. En una empresa de 12 personas, nadie los necesita por comodidad.

Una consecuencia práctica: después de cualquier cambio en quién tiene la configuración de Gmail, volvemos a revisar que el dominio siga autenticando como la semana pasada. Una regla de enrutamiento o de cumplimiento puesta por un administrador bien intencionado es una de las pocas formas en que un dominio sano se rompe sin que nadie toque el DNS.

Asígnalo en el orden que deja rastro

La mecánica es corta. Abre la página de la cuenta del usuario, baja a Roles y privilegios de administrador, elige el rol y, donde el rol lo permita, haz clic en Editar junto a Todas las unidades organizativas, elige las unidades y guarda. Para varias personas o un grupo a la vez, ve a Menú, luego Cuenta y luego Roles de administrador, y asigna desde el rol en lugar de desde la persona.

Después espera antes de probar. Google documenta que la persona suele quedar como administradora en unos minutos, pero que puede tardar hasta 24 horas. Un administrador nuevo que dice que no ve la consola veinte minutos después casi siempre está esperando la propagación, no un error tuyo.

Si tu edición lo soporta, la aprobación de varias partes es el control que mejor le queda a este trabajo: un segundo administrador aprueba los cambios en configuraciones sensibles, y la variante de gestión de roles hace que otro súper administrador apruebe una asignación de rol antes de que aplique. Viene desactivada, necesita dos o más cuentas de súper administrador, se configura en la sección de Seguridad de la consola, y una solicitud expira a los tres días si nadie la atiende. La advertencia honesta para una pyme: Google lista la aprobación de varias partes para Enterprise Standard y Enterprise Plus, Education Standard y Education Plus, y Enterprise Essentials Plus, revisado el 13 de octubre de 2026, así que un tenant en un plan Business no puede activarla y tiene que apoyarse en la costumbre de revisar.

Qué vigilamos después

Los eventos de registro de administración. Los cambios de rol quedan en el registro de auditoría de administración, normalmente en un par de minutos, y los administradores no pueden borrar esos datos ni cambiar cuánto tiempo se guardan.
Las alertas armadas con nombres de evento viejos. Google ha estado renombrando parte de los eventos de registro de administración e indica que después de agosto de 2026 solo están disponibles los nombres y tipos nuevos, revisado el 13 de octubre de 2026. Cualquier alerta conectada a un nombre antiguo vale volver a correrla una vez.
Las salidas. Que se vaya un administrador es un trabajo distinto de que se vaya un usuario: es la lista de baja con el retiro del rol primero.
El lado de Cloud, si lo tienes. Los roles de administrador de Workspace y el IAM de Google Cloud son sistemas separados con la misma forma de fallar. La mitad de Cloud es mínimo privilegio en una empresa de 10 personas.

Cómo ayuda Guanacos Tech

Esto lo hacemos como parte del trabajo de Workspace para equipos pequeños y medianos en Norteamérica y Latinoamérica: contar los súper administradores, mover los trabajos reales a roles predefinidos, limitar lo que se puede limitar, quitar los privilegios de acceso a datos que nadie necesita y dejar una hoja con quién tiene qué y por qué. En un tenant de este tamaño toma una tarde, y es el trabajo de seguridad más barato que puede comprar una empresa pequeña. Cómo trabajamos cabe en una página. Si prefieres que esté hecho en lugar de investigado, somos consultores de Google Workspace, y media hora alcanza para repasar tu lista de roles actual y decirte qué cambiaríamos.

Quién necesita súper administrador: cómo repartir los roles de Google Workspace sin entregar la empresa