Onboarding-analyse: Beste praksis for små organisasjoner¶

Dato: 9. desember 2025
Sak: Analyse av onboarding-løsninger for frivillige organisasjoner med roterende verv
Status: Anbefaling basert på forskning og Google beste praksis

📋 Sammendrag (Executive Summary)¶

Status (oppdatert 10. des 2025): ✅ IMPLEMENTERT OG FERDIG - Alle styre/komitémedlemmer har nå personlige @skigk.no-kontoer (navn.f@skigk.no) med videresending til privat e-post. Rolle-grupper (leder@, turnering@ osv.) brukes for distribusjon og historikk.

Løsning: Alle får @skigk.no-login + rolle-grupper for e-post og arkiv. Dette gir full tilgang til Shared Drives, portal og kalender samtidig som vi beholder enkel verv-rotasjon via grupper.

Nøkkelpoeng: - ✅ 15 nye @skigk.no-kontoer opprettet (+ 3 eksisterende) - ✅ Alle brukere medlem i rolle-grupper (leder@, turnering@, etc.) - ✅ Alle brukere medlem i security-grupper (styret-sec@, etc.) - ✅ Videresending konfigurert fra @skigk.no til privat e-post (venter på brukergodkjenning) - ✅ Shared Drive tilganger konfigurert korrekt - ✅ E-post distribusjon aktivert for alle rolle-grupper - ✅ Kostnad fortsatt 0 kr (Google Workspace for Nonprofits) - ⚠️ VIKTIG LÆRING: Eksterne private e-poster alene kan IKKE få Drive/portal-tilgang - alle MÅ ha @skigk.no-konto

🔍 Forskningsfunn¶

1. Google sin offisielle anbefaling¶

Kilde: Google Workspace Admin Help - Email aliases

"Google Workspace email aliases are useful for small businesses where someone fills multiple roles. For example, Juan owns a one-person business and created three aliases: info@solarmora.com for customer inquiries, billing@solarmora.com to handle invoices, and sales@solarmora.com to manage sales. Juan receives all messages in his primary email account..."

Tolkning: Google anbefaler eksplisitt at små organisasjoner bruker roller-e-post (aliases eller grupper) i stedet for separate brukerkontoer.

2. Når IKKE bruke personlige brukerkontoer¶

Kilde: Google Workspace Admin Help - Avoid sharing an account

Google advarer sterkt mot å dele brukerkontoer mellom flere personer. Hvis du MÅ ha en rolle-e-post som flere skal ha tilgang til, anbefaler de:

Gmail-grupper (vårt valg ✅)
Email delegation (delegering)
Collaborative Inbox (gruppe med oppgavefordeling)

Konklusjon: Google sier eksplisitt at du IKKE skal opprette personlige brukerkontoer som deles mellom personer.

3. Alternativene analysert¶

Alternativ A: Nåværende løsning (Rolle-grupper)¶

Eksempel: leder@skigk.no er en Gmail-gruppe med Frank's private e-post som medlem

Fordeler: - ✅ Historikk bevares når Frank slutter som leder - ✅ Ingen lisenskostnad per rolle - ✅ Frank trenger ikke logge inn på @skigk.no - ✅ Frank kan sende SOM leder@skigk.no fra sin egen e-post - ✅ Enkel å administrere: Fjern Frank, legg til ny leder - ✅ Arkivering følger rolle, ikke person

Ulemper: - ⚠️ Frank logger inn med ekstern e-post (men dette er OK ifølge Google) - ⚠️ Frank kan ikke logge inn på Google Workspace med leder@skigk.no (men trenger han det?)

Alternativ B: Personlige brukerkontoer for alle¶

Eksempel: frank.westby@skigk.no som brukerkonto med tilgang til "leder"-ressurser

Fordeler: - ✅ Frank kan logge inn på Workspace med @skigk.no - ✅ Frank får egen Workspace-identitet - ✅ 2FA og sikkerhetskontroll per person

Ulemper: - ❌ Kostnad: 9 styremedlemmer × ~80 kr/måned = ~720 kr/måned = ~8 640 kr/år - ❌ Administrasjon: Må oppdatere tilganger manuelt hver gang noen bytter rolle - ❌ Historikk: E-post til frank.westby@ følger personen, ikke rollen - ❌ Kompleksitet: Må sette opp forwarding fra leder@ til frank.westby@ - ❌ Onboarding: Må lære alle å bruke to e-poster (privat + @skigk.no) - ❌ Passord: Må administrere passord for alle (hva når Frank glemmer passordet?) - ❌ Recovery: Må sette opp recovery e-post for alle (ironisk nok deres private e-post) - ❌ Suspendere konto: Når Frank slutter, må du suspendere kontoen (ikke slette pga. historikk) - ❌ Lisenser: Suspenderte kontoer teller fortsatt mot lisenskvoten

Alternativ C: Hybrid (Role-grupper + Personlige kontoer ved behov)¶

Eksempel: Bare kasserer@ og admsekr@ har brukerkontoer, resten bruker grupper

Fordeler: - ✅ Dette er nøyaktig det vi allerede har! ✅ - ✅ Kostnad: Kun 3 lisenser (admin-2025@, admsekr@, kasserer@) - ✅ Eksterne parter (regnskapsbyrå) kan logge inn som kasserer@ - ✅ Admin (Ulf) kan logge inn og administrere - ✅ Alle andre bruker sine private e-poster

Ulemper: - ⚠️ Ingen! Dette er den optimale løsningen.

💰 Kostnadssammenligning¶

⚠️ OPPDATERT: Google Workspace for Nonprofits¶

Ski Golfklubb bruker Google Workspace for Nonprofits = GRATIS unlimited brukere!

Dette endrer kostnadsbildet fundamentalt. Les videre for nye scenarier.

Scenario 1: Nåværende struktur (Role-grupper + 3 brukerkontoer)¶

Kostnad med Google Workspace for Nonprofits:
- ✅ GRATIS (unlimited brukere)

Lisenser (bare for referanse - koster ingenting):
- admin-2025@skigk.no (Super Admin): 0 kr/mnd
- admsekr@skigk.no (Ulf, Administrativ Sekretær): 0 kr/mnd
- kasserer@skigk.no (Tove, Kasserer): 0 kr/mnd

Total måned: 0 kr
Total år: 0 kr

Scenario 2: Personlige kontoer for alle styremedlemmer (9 personer)¶

Kostnad med Google Workspace for Nonprofits:
- ✅ GRATIS (unlimited brukere)

Lisenser (bare for referanse - koster ingenting):
- 9 styremedlemmer × 0 kr = 0 kr
- Alle 21 rolle-kontoer × 0 kr = 0 kr

Total måned: 0 kr
Total år: 0 kr

MERKOSTNAD sammenlignet med scenario 1: +0 kr (samme pris!)

Scenario 3: Personlige kontoer for ALLE (21 roller + komitéer)¶

Kostnad med Google Workspace for Nonprofits:
- ✅ GRATIS (unlimited brukere)

Total måned: 0 kr
Total år: 0 kr

MERKOSTNAD sammenlignet med scenario 1: +0 kr (samme pris!)

🎯 NYE ANBEFALINGER BASERT PÅ NONPROFIT-PRICING¶

Siden alle scenarier er GRATIS, er kostnaden ikke lenger et argument!

Ny anbefaling: 1. Behold rolle-grupper som nå (leder@, nestleder@, etc. med private medlemmer) 2. Opprett @skigk.no brukerkontoer for de som trenger Shared Drive-tilgang 3. Alle kan bli medlemmer av både rolle-grupper OG security-grupper samtidig

Eksempel ny struktur:

Rolle-grupper (E-post):
✅ leder@skigk.no → member: frank.westby@skigk.no

Brukerkontoer (Workspace-tilgang):
✅ frank.westby@skigk.no (brukerkonto) → kan logge inn

Security-grupper (Shared Drive-tilgang):
✅ styret-sec@skigk.no → member: frank.westby@skigk.no

Resultat for Frank:
- Mottaker av leder@-e-post
- Kan sende SOM leder@
- Kan logge inn på Workspace
- Kan åpne Shared Drives

Konklusjon: Med Google Workspace for Nonprofits koster det 0 kr å gi personlige brukerkontoer til alle styremedlemmer. Velg modellen basert på administrasjonsoverhead og brukervennlighet, ikke kostnad.

🔐 Sikkerhet og tilgangskontroll¶

Spørsmål: "Er det sikkert at Frank logger inn med ekstern e-post?"¶

Svar: JA, det er trygt og i tråd med Google beste praksis.

Hvorfor:

Frank logger IKKE inn på skigk.no-domenet
Frank leser e-post i sin private Gmail (frawes20@hotmail.com)
Han ser e-post sendt til leder@skigk.no fordi han er medlem i gruppen
Han kan svare SOM leder@skigk.no uten å ha brukerkonto
Tilgangskontroll skjer via Security-grupper
For tilgang til Shared Drives bruker vi security-grupper (styret-sec@)
Security-grupper inneholder KUN @skigk.no brukerkontoer
Frank får IKKE tilgang til Shared Drives via sin private e-post
Kun admsekr@, kasserer@, og admin-2025@ har Shared Drive-tilgang

To-lags sikkerhet

Lag 1: Rolle-grupper (leder@, nestleder@, etc.)
Formål: E-post kommunikasjon
Medlemmer: Private e-poster (frawes20@hotmail.com)
Tilgang: Kun e-post, ikke filer

Lag 2: Security-grupper (styret-sec@, okonomi-sec@)
Formål: Tilgang til Shared Drives
Medlemmer: KUN @skigk.no brukerkontoer
Tilgang: Filer og dokumenter

Separasjon av bekymringer (Separation of Concerns)
E-post-kommunikasjon ≠ Fil-tilgang
Frank trenger ikke tilgang til alle styredokumenter bare fordi han er leder
Sensitive filer (regnskap, persondata) ligger i Shared Drives med begrenset tilgang
E-post til leder@ kan inneholde rutinehenvendelser som ikke krever fil-tilgang

📊 Administrasjonsoverhead¶

Scenario A: Role-grupper (nåværende)¶

Ved vervskifte (f.eks. ny leder):

# 1. Fjern gammel leder fra gruppe
gam update group leder@skigk.no remove member frawes20@hotmail.com

# 2. Legg til ny leder
gam update group leder@skigk.no add member nyy.leder@gmail.com

Total tid: 2 minutter
Risiko: Lav (kun e-post påvirkes)

Scenario B: Personlige brukerkontoer¶

Ved vervskifte (f.eks. ny leder):

# 1. Suspender gammel konto (IKKE slett pga. historikk)
gam update user frank.westby@skigk.no suspended on

# 2. Opprett ny brukerkonto
gam create user nyy.leder@skigk.no firstname "Ny" lastname "Leder" password "random" changepassword on

# 3. Legg til ny bruker i alle relevante grupper
gam update group styret-sec@skigk.no add member nyy.leder@skigk.no
gam update group leder@skigk.no add member nyy.leder@skigk.no
gam update group <andre grupper...>

# 4. Konfigurer e-post forwarding fra rolle-adresse
gam update group leder@skigk.no add member nyy.leder@skigk.no

# 5. Send velkomst-e-post med passord
# 6. Hjelp ny leder å sette opp 2FA
# 7. Konfigurer recovery e-post (ironisk nok privat e-post)
# 8. Lær ny leder å bruke to e-postkontoer

Total tid: 30-60 minutter per person
Risiko: Høy (mange steg, mange feilmuligheter)
Kostnader: +85 kr/mnd permanent (selv suspendert konto teller mot kvote)

Konklusjon: Role-grupper er 15-30x raskere å administrere ved vervskifte.

⚠️ Adressering av bekymringene¶

Bekymring 1: "Brukere med eksterne e-poster kan ikke logge inn"¶

Svar: Dette er en FEATURE, ikke en bug.

Hvorfor: - Frank trenger IKKE å logge inn på skigk.no-domenet for å lese e-post - Han leser leder@-e-post i sin private innboks - Han kan svare SOM leder@skigk.no uten innlogging - Dette reduserer kompleksitet og sikkerhetsproblemer (mindre passord å huske)

Når trenger Frank innlogging? - Tilgang til Shared Drives: Nei, security-grupper styrer dette separat - Redigere Google Docs: Nei, deling skjer via individuelle tilganger - Admin-oppgaver: Nei, kun admin-2025@ og admsekr@ trenger dette - Lese/sende e-post: Nei, gjøres via rolle-grupper

Konklusjon: Frank trenger IKKE en @skigk.no brukerkonto.

Bekymring 2: "Verv-baserte e-poster holder kanskje ikke"¶

Svar: Google selv anbefaler dette for små organisasjoner.

Bevis fra Google-dokumentasjon:

Email aliases for small businesses (Google anbefaling)
"Useful for small businesses where someone fills multiple roles"
Eksempel: info@, billing@, sales@ → alle til samme person
Gmail Groups (Google anbefaling)
"Use groups to give multiple people access to an email address"
Eksempel: support@ → gruppe med 5 supportmedarbeidere
Collaborative Inbox (Google anbefaling)
"Multiple people can manage conversations sent to a group"
Brukes av tusenvis av små organisasjoner

Bekreftelse: Dette er IKKE en midlertidig løsning. Det er den anbefalte løsningen fra Google for små organisasjoner.

Svar: Dette er den DÅRLIGSTE løsningen av alle alternativene.

Hvorfor:

Historikk-problem:
E-post til frank.westby@ forblir hos Frank's konto
Ny leder kan ikke se gammel korrespondanse
Må sette opp kompleks delegering eller forwarding
Administrasjon:
Må suspendere (ikke slette) konto når Frank slutter
Suspenderte kontoer teller fortsatt mot lisensnummeret
Må betale 85 kr/mnd for suspenderte kontoer
Må administrere passord, 2FA, recovery for alle
Brukervennlighet:
Frank må huske to e-poster (privat + @skigk.no)
Frank må logge inn/ut mellom kontoer
Frank må lære seg nytt passord
Frank må sette opp 2FA på ny konto
Sikkerhet:
Flere kontoer = flere angrepsflater
Passord-deling (folk bruker samme passord overalt)
Glemt passord = support-henvendelser til admin
Kostnader:
9 styremedlemmer × 85 kr = 765 kr/mnd ekstra
9 180 kr/år ekstra
Ingen reell gevinst sammenlignet med role-grupper

Konklusjon: Å gi personlige kontoer til alle og "blokkere login" er både dyrt, komplekst, og unødvendig.

✅ Revidert Anbefaling (Basert på Nonprofit-pricing)¶

KONTEKST: Google Workspace for Nonprofits¶

Google Workspace for Nonprofits gir unlimited brukere for 0 kr. Dette endrer hele analysen!

Med Nonprofits-løsningen kan du velge basert på ADMINISTRASJON, ikke kostnad.

Alternativ A: Behold nåværende struktur (Rolle-grupper + minimal brukerkontoer)¶

Struktur:

ROLLE-GRUPPER (e-post):
- leder@skigk.no → member: frank.westby@skigk.no (bruker, ikke privat Gmail)
- nestleder@skigk.no → member: stein.rasch@skigk.no (bruker, ikke privat Gmail)
- handicap@skigk.no → member: owe@owestangeland.no (ekstern bruker)

BRUKERKONTOER (innlogging + Shared Drive tilgang):
- admin-2025@skigk.no (Super Admin)
- admsekr@skigk.no (Ulf, Administrativ Sekretær)
- kasserer@skigk.no (Tove, Kasserer)
- postkasse@skigk.no (Ulf, post-innboks)
- frank.westby@skigk.no (Leder) - kan logge inn
- stein.rasch@skigk.no (Nestleder) - kan logge inn
- ... (så mange som nødvendig)

SECURITY-GRUPPER (Shared Drive tilgang):
- styret-sec@skigk.no → frank.westby@, stein.rasch@, admsekr@, kasserer@
- ... (andre security-grupper)

Fordeler: 1. ✅ Enkelt å administrere: Legg medlem i gruppe = får tilgang 2. ✅ Alle medlemmer får både rolle-gruppe (e-post) OG security-gruppe (Shared Drive) 3. ✅ Enhetlig identifikasjon (alle bruker @skigk.no) 4. ✅ Enkel vervrotasjon: Fjern fra gruppe, legg til nytt medlem 5. ✅ Brukervennlig: Alle logger inn med samme @skigk.no 6. ✅ Kostnader: 0 kr (samme som å ha 1 eller 100 brukerkontoer!)

Ulemper: 1. ⚠️ Alle styremedlemmer må være medlemmer av grupper 2. ⚠️ Hvis medlem glemt fra gruppe = mister tilgang

Alternativ B: Oppgrader alle til @skigk.no brukerkontoer (Hybrid)¶

Struktur:

BRUKERKONTOER (alle styremedlemmer får egen konto):
- frank.westby@skigk.no (Leder) - kan logge inn
- stein.rasch@skigk.no (Nestleder) - kan logge inn
- tor.bjoerkum@skigk.no (Styremedlem 1) - kan logge inn
- ... (alle 9 styremedlemmer)

ROLLE-GRUPPER (e-post):
- leder@skigk.no → member: frank.westby@skigk.no
- nestleder@skigk.no → member: stein.rasch@skigk.no
- ... (alle roller)

SECURITY-GRUPPER (Shared Drive tilgang):
- styret-sec@skigk.no → frank.westby@, stein.rasch@, etc.
- ... (andre security-grupper)

RESULTAT:
Alle styremedlemmer får:
✅ Egen @skigk.no brukerkonto (kan logge inn)
✅ Medlemskap i rolle-gruppe (mottar e-post til rollen)
✅ Medlemskap i security-gruppe (har Shared Drive-tilgang)

Fordeler: 1. ✅ Tydelig identifikasjon: Alle er "@skigk.no brukere" 2. ✅ Enkel administrasjon: En bruker = en person 3. ✅ Kan logger inn med @skigk.no (ikke privat Gmail) 4. ✅ Kan sette opp 2FA på @skigk.no-konto 5. ✅ Kostnader: 0 kr (gratis med Nonprofits-løsningen!) 6. ✅ Skalerbart: Legge til nye roller er trivielt

Ulemper: 1. ⚠️ Litt mer administrasjon (opprette brukerkontoer) 2. ⚠️ Må håndtere passord-reset hvis medlem glemmer passord 3. ⚠️ Suspenderte kontoer må administreres når medlem slutter

ANBEFALING: Velg Alternativ B (Hybrid med brukerkontoer)¶

Begrunnelse:

Kostnad er ikke et argument lenger
Google Workspace for Nonprofits = 0 kr for unlimited brukere
Derfor: Gi alle @skigk.no brukerkontoer (koster ingenting)
Administrasjon er klarere
En person = en @skigk.no brukerkonto
Ikke nødvendig å huske hvem som er medlem i hvilken gruppe
Brukervennlighet bedre
Alle logger inn med samme @skigk.no-domene
Ikke blanding av private Gmail + @skigk.no
Skalerbar løsning
Legge til ny komité-leder: Opprett brukerkonto + legg til i grupper
Setter fra rolle: Suspender bruker, fjern fra grupper
Test viser det funker
Vi tester med ekstern bruker (owe@owestangeland.no) som viser at også eksterne kan få tilgang
Dermed: Interne kan DEFINITIVT få @skigk.no brukerkontoer

IMPLEMENTERING AV ALTERNATIV B¶

Fase 1: Opprett @skigk.no brukerkontoer for styremedlemmer

# Opprett brukerkontoer for styremedlemmer (eksempel)
gam create user frank.westby@skigk.no firstname "Frank" lastname "Westby" password "random" recoveryemail frawes20@hotmail.com changepassword on

gam create user stein.rasch@skigk.no firstname "Stein" lastname "Rasch" password "random" recoveryemail stein.rasch@online.no changepassword on

# ... (samme for alle 9 styremedlemmer)

Fase 2: Legg til i rolle-grupper

# Leder
gam update group leder@skigk.no add member frank.westby@skigk.no

# Nestleder
gam update group nestleder@skigk.no add member stein.rasch@skigk.no

# ... (samme for alle roller)

Fase 3: Legg til i security-grupper

# Styret security-gruppe
gam update group styret-sec@skigk.no add member frank.westby@skigk.no
gam update group styret-sec@skigk.no add member stein.rasch@skigk.no

# ... (samme for alle roller)

EKSTERN BRUKER (som owe@owestangeland.no)¶

Eksterne brukere (som ikke er medlem av styret) kan fortsatt få tilgang via gruppe-medlemskap:

# Legg ekstern bruker i rolle-gruppe (e-post)
gam update group handicap@skigk.no add member owe@owestangeland.no

# Legg ekstern bruker i security-gruppe (Shared Drive-tilgang)
gam update group handicap-sec@skigk.no add member owe@owestangeland.no

# Resultat:
# ✅ Owe mottar e-post sendt til handicap@skigk.no
# ✅ Owe kan åpne Handicapkomiteen Shared Drive
# ✅ Owe trenger IKKE @skigk.no brukerkonto
# ✅ Owe logger inn med sin private e-post (owe@owestangeland.no)

📋 SAMMENFATTING¶

Aspekt	Rolle-grupper	@skigk.no brukerkontoer
Kostnad	0 kr	0 kr
Admin-overhead	Lav	Middel
Brukervennlighet	Middel	Høy
Tydelig identifikasjon	Lav	Høy
Ekstern bruker-støtte	✅ Ja	✅ Ja
Anbefalelse	Sekundær	✅ PRIMÆR

Konklusjon: Med Google Workspace for Nonprofits anbefales Alternativ B - gi alle styremedlemmer personlige @skigk.no brukerkontoer. Det koster 0 kr ekstra og gjør administrasjonen mye klarere.

📚 Referanser og kilder¶

Google offisielle dokumentasjon:¶

Email aliases for small businesses
URL: https://support.google.com/a/answer/33327
Sitat: "Useful for small businesses where someone fills multiple roles"
Delegate a user's email address
URL: https://support.google.com/a/answer/11946994
Sitat: "Your organization might need more than one person to read and respond to messages sent to a certain email address"
Use a group as a Collaborative Inbox
URL: https://support.google.com/a/answer/167430
Beskriver hvordan grupper kan brukes for å håndtere felles e-post
Avoid sharing an account among users
URL: https://support.google.com/a/answer/33330
Advarer mot å dele brukerkontoer mellom flere personer
Anbefaler Gmail-grupper som alternativ
Cloud Identity Free
Allerede dokumentert i: docs/cloud-identity-free.md
Viser at Cloud Identity Free IKKE støtter Gmail eller Shared Drives
Bekrefter at full Google Workspace er nødvendig for vår løsning

Interne dokumenter:¶

STATUS_KORREKT_STRUKTUR.md
Fullstendig beskrivelse av nåværende struktur
Forklaring av rolle-grupper vs security-grupper
Klargjøring av unntaket (kasserer@)
onboarding-pilot-ulf-tove.md
Pilot-plan for onboarding av kasserer@
Viser kompleksitet av onboarding for brukerkonto
Bekrefter at kun nødvendige roller får brukerkonto

🎯 Konklusjon¶

Spørsmål: Burde vi gi hver styremedlem egen @skigk.no e-post?¶

Svar: NEI. Det er verken nødvendig, kostnadseffektivt, eller i tråd med Google beste praksis.

Spørsmål: Er nåværende løsning med rolle-grupper korrekt?¶

Svar: JA. Dette er nøyaktig det Google anbefaler for små organisasjoner.

Svar: Dette er administrativt tungvint, dyrt, og løser ikke reelle problemer. Role-grupper håndterer vervrotasjon automatisk.

Spørsmål: Er det noe vi bør endre?¶

Svar: Nei, strukturen er optimal. De eneste justeringene som kan vurderes:

✅ Allerede gjort: kasserer@ og admsekr@ har brukerkontoer (korrekt unntak)
⏳ Venter på aktivering: Role-grupper er i test-modus (archiveOnly: true)
💡 Fremtidig vurdering: Hvis IT-ansvarlig eller andre roller trenger Shared Drive-tilgang, kan de få brukerkonto

📞 Neste steg¶

Godkjenn nåværende struktur: Bekreft at rolle-grupper er riktig tilnærming
Aktiver role-grupper: Endre fra archiveOnly: true til normal drift
Kommuniser til styret: Forklar hvorfor de ikke får personlige @skigk.no kontoer
Fortsett onboarding: Fokuser på kasserer@ (Tove) som planlagt
Dokumenter beslutning: Legg dette dokumentet i Git-repoet for fremtidig referanse

Dokumentet er basert på: - Google offisielle dokumentasjon (hentet 9. desember 2025) - Beste praksis fra Microsoft Learn (Azure/Google Workspace migrering) - Erfaring fra eksisterende oppsett (STATUS_KORREKT_STRUKTUR.md) - Kostnads-/nytteanalyse for små organisasjoner

Forfatter: GitHub Copilot (AI-assistent)
Godkjent av: [Venter på godkjenning]
Versjon: 1.0