変更要約: Associate Google Workspace Administrator 第2章を新規作成（ドメイン2「コアサービス」: Gmail/Drive/Calendar/Meet の設定＝ルーティング/共有範囲/リソース/録画・参加制御、サービスのオン/オフと追加アプリ＝OU/グループ単位のオン/オフ・Marketplace/連携アプリの許可ブロック・API アクセス管理）。
2.2サービスのオン/オフと追加アプリの管理
コアサービス/追加 Google サービスを OU やグループ単位でオン/オフする方法、Marketplace アプリやサードパーティアプリのアクセス制御（API アクセス・連携アプリの許可/ブロック）、そして外部共有や連携を組織のポリシーに沿って統制する方法を理解します。
組織はすべてのサービスを一律に使うわけではありません。管理者は、どのサービスを・誰に・どこまで有効にするかを統制します。これは利便性とセキュリティの両立に直結します。
2.2.1サービスのオン/オフ
コアサービスや追加の Google サービスは、OU やグループ単位でオン/オフ できます（例：特定部署だけ YouTube を無効化、試験運用のグループだけ新サービスを有効化）。新しいサービスの既定の扱い（自動オンか手動か）も管理できます。「部署/グループごとにサービスの可否を変える＝OU/グループ単位のオン/オフ」と結びます。
2.2.2追加アプリと API アクセスの制御
ユーザーが使う Marketplace アプリ やサードパーティの 連携アプリ は、組織として 許可/ブロック を制御できます。アプリが Workspace データへアクセスする API アクセス管理（アプリアクセス制御） で、信頼するアプリだけにアクセスを限定し、未確認のアプリをブロックします。「外部アプリがデータにアクセスするのを制御＝アプリアクセス制御」「Marketplace アプリの導入を統制＝許可リスト/ブロック」を押さえます。
「要件 → 手段」が頻出。例：「特定部署だけサービスを無効化」＝OU 単位のオン/オフ、「試験運用のグループだけ有効化」＝グループ単位のオン/オフ、「未確認の外部アプリのデータアクセスを止める」＝API アクセス管理/アプリアクセス制御、「特定の Marketplace アプリだけ許可」＝許可リスト。
混同に注意：
①サービスの可否は OU/グループ単位で出し分けられる。
②アプリアクセス制御は「外部アプリがデータへアクセスする」可否で、サービスのオン/オフとは別レイヤー。
③新サービスの既定の自動オンは意図せぬ公開になり得るので方針を決める。
2.2.3この節のまとめ
- サービスは OU/グループ単位でオン/オフ（新サービスの既定も管理）
- Marketplace/連携アプリは許可/ブロックで導入を統制
- API アクセス管理（アプリアクセス制御）で外部アプリのデータアクセスを限定
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 特定の部署だけ、ある Google サービスを無効化したい。最も適した方法はどれですか？
Q2. 未確認のサードパーティアプリが Workspace データへアクセスするのを止めたい。使うのはどれですか？
Q3. 試験運用として、あるグループだけ新しいサービスを有効化したい。最も適した方法はどれですか？
Q4. 特定の Marketplace アプリだけを組織で使えるようにしたい。最も適切なのはどれですか？
Q5. サービスのオン/オフとアプリアクセス制御の関係として正しいものはどれですか？
Q6. 新しい Google サービスが既定で自動的にオンになる設定のリスクとして正しいものはどれですか？