Gebruikersidentiteiten toewijzen in Cloud Search

Google Cloud Search moet identiteiten toewijzen tussen de repository en Google-accounts om de toegangsrechten van items uit een repository van derden te respecteren. In een database kan een gebruiker bijvoorbeeld de gebruikersnaam jensmit@uw-bedrijf.com hebben. Die gebruikersnaam moet worden toegewezen aan een Google-account, zoals jsmit@solarmora.com.

Als u deze toewijzing wilt beheren, maakt u een identiteitsbron in Cloud Search. Met de identiteitsbron kan een ontwikkelaar gebruikersaccounts uit de opslagplaats van derden toewijzen aan Google-accounts. Meer informatie over hoe een ontwikkelaar verschillende identiteitssystemen kan synchroniseren.

Voordat u begint

1. Een identiteitsbron maken

Maak een identiteitsbron om gebruikersnamen van derden toe te wijzen aan Google-accounts.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Apps en dan Google Workspace en dan Cloud Search.

    Hiervoor is het beheerdersrecht Cloud Search vereist.

  2. Klik op de kaart Identiteitsbronnen.

    Er wordt een lijst weergegeven met de identiteitsbronnen van uw organisatie.

  3. Klik linksboven op Toevoegen .

  4. Voer in de tekstregel Naam identiteitsbron een naam in.

  5. Klik op Serviceaccount toevoegen.

  6. Voer het e-mailadres in van een serviceaccount dat toegang heeft tot gebruikers- en groepsgegevens via de SDK voor beheer Users API en de Cloud Identity API.

    Gebruik het e-mailadres dat is gegenereerd voor de serviceaccount-ID toen deze werd gemaakt.

  7. Stel het toegangsniveau van het serviceaccount in voor de Admin SDK Users API:

    • Lezen en schrijven: Hiermee krijgt de API volledige toegangsrechten.

    • Bestaand: Hiermee blijven de rechten voor de API behouden die al eerder zijn toegewezen.

      Als het serviceaccount eerder lees- en schrijfrechten heeft gekregen van een andere identiteitsbron, blijven die rechten behouden. Als het serviceaccount nog geen toegang heeft gekregen, heeft het nog steeds geen toegang.

      Opmerking: Als de identiteitsbron die lees- en schrijftoegang tot het serviceaccount heeft verleend, wordt verwijderd, raakt het serviceaccount de toegang kwijt. Als deze identiteitsbron dit serviceaccount moet gebruiken, stelt u de optie in op Lezen en schrijven.

  8. Stel het toegangsniveau van het serviceaccount in voor de Cloud Identity API:

    • Lezen en schrijven: Hiermee krijgt de API volledige toegangsrechten.
    • Lezen: Geeft leesrechten voor de API.
    • Geen toegang: Het serviceaccount heeft geen toegang tot de API.

  9. Klik op Serviceaccount toevoegen.

  10. Voeg nog een serviceaccount toe of klik op Identiteitsbron toevoegen als u klaar bent met het toevoegen van serviceaccounts.

    Er wordt een bericht getoond als de identiteitsbron is toegevoegd. Dit bericht bevat de automatisch gegenereerde ID van de identiteitsbron. Kopieer deze ID en geef deze aan de ontwikkelaar van je identiteitsconnector.

  11. Klik op OK.

Nadat u de identiteitsbron heeft toegevoegd, vindt u deze in de lijst met identiteitsbronnen. Uw ontwikkelaar heeft de identiteitsbron-ID nodig om Google API's toegang te geven tot gebruikers- en groepsgegevens. Klik op Kopiëren om de ID van de identiteitsbron naar het klembord te kopiëren.

Problemen met API-fouten in identiteitsbronnen oplossen

  • HTTP 403 (Rechten geweigerd): Zorg dat uw serviceaccount expliciete lees- en schrijfrechten heeft voor zowel de SDK voor beheer API als de Cloud Identity API. Als de identiteitsbron die oorspronkelijk toegang heeft verleend, wordt verwijderd, raakt het serviceaccount onmiddellijk de toegang kwijt.
  • HTTP 404 (Niet gevonden): Controleer of het voorvoegsel identitysources/ID overeenkomt met een actieve identiteitsbron in de Beheerdersconsole en of alle toegewezen accounts van derden overeenkomen met actieve Google-accounts.

2. Accounts van derden importeren in Google Workspace

Als u een identiteitsbron maakt, voegt Cloud Search een aangepast kenmerk toe aan al uw Google-gebruikersaccounts. In dit aangepaste kenmerk moet u de account-ID van derden opslaan die is toegewezen aan het Google-account.

Ga als volgt te werk om het aangepaste kenmerk te bekijken in de Beheerdersconsole:

  1. Ga naar Gebruikers.
  2. Klik rechtsboven op Aangepaste kenmerken beheren .

Belangrijk: Wijzig dit aangepaste kenmerk niet. Als u de naam of een van de velden wijzigt, werkt Cloud Search niet goed.

Gebruik een van de volgende methoden om gebruikersnamen van derden te importeren naar het veld Aangepast kenmerk:

Naar alle accounts tegelijk importeren met een identiteitsconnector

Gebruik Google Cloud Directory Sync om gebruikers- en groepsgegevens te synchroniseren.

Of werk samen met een ontwikkelaar om een identiteitsconnector te maken. Meer informatie over hoe u een identiteitsconnector kunt maken.

Naar alle accounts tegelijk importeren met de Cloud Identity API

Gebruik de Cloud Identity API om de gebruikersaccounts van derden te importeren naar het aangepaste kenmerk.

Importeren naar individuele accounts via de Google Beheerdersconsole

  1. Ga in de Google Beheerdersconsole naar Menu en dan Directory en dan Gebruikers.

    Hiervoor is het juiste recht voor User Management vereist. Als u dit recht niet heeft, ziet u niet alle bedieningselementen die u nodig heeft.

  2. Klik op de accountpagina van elke gebruiker onder Gebruikerskenmerken beheren op Bewerken.
  3. Voeg in het veld voor het aangepaste kenmerk de gebruikersnaam van derden toe die is toegewezen aan het Google Workspace-gebruikersaccount.
  4. Klik op Gebruiker updaten.

3. De klant-ID van uw organisatie ophalen

Als je een identiteitsconnector wilt instellen, heeft je ontwikkelaar de klant-ID van je Google-account nodig om deze op te nemen in het eigenschappenbestand van de connector.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Verificatie en dan SSO met SAML-apps.

    U moet zijn ingelogd als hoofdbeheerder om deze taak te kunnen uitvoeren.

  2. Zoek naast SSO-URL de waarde idpid aan het einde van de URL. De waarde na de C is uw klant-ID.

    In de volgende URL is de klant-ID bijvoorbeeld 0123tvz4:
    https://accounts.google.com/o/saml2/idp?idpid=C0123tvz4

Volgende stap

Geef de identiteitsbron-ID en uw klant-ID aan de ontwikkelaar die verschillende identiteitssystemen kan synchroniseren.

Een identiteitsbron bewerken of verwijderen

Een identiteitsbron bewerken

  1. Ga in de Google Beheerdersconsole naar Menu en dan Apps en dan Google Workspace en dan Cloud Search.

    Hiervoor is het beheerdersrecht Cloud Search vereist.

  2. Klik op de kaart Identiteitsbronnen.
  3. Er wordt een lijst weergegeven met de identiteitsbronnen van uw organisatie.
  4. Plaats de cursor op de identiteitsbron die u wilt updaten en klik op Bewerken .
  5. Selecteer in het venster Identiteitsbron het item dat je wilt wijzigen:
    • Als u een bestaand serviceaccount wilt updaten, plaatst u de cursor op het serviceaccount en klikt u op Bewerken .
      U kunt de naam en toegangsrechten van het serviceaccount wijzigen.
    • Als u een nieuw serviceaccount wilt toevoegen, klikt u op Serviceaccount toevoegen.
  6. Klik op Identiteitsbron bewerken.

Een identiteitsbron verwijderen

  1. Ga in de Google Beheerdersconsole naar Menu en dan Apps en dan Google Workspace en dan Cloud Search.

    Hiervoor is het beheerdersrecht Cloud Search vereist.

  2. Klik op de kaart Identiteitsbronnen.
  3. Er wordt een lijst weergegeven met de identiteitsbronnen van uw organisatie.
  4. Plaats de cursor op de identiteitsbron die u wilt verwijderen en klik op Verwijderen .
  5. Klik in het waarschuwingsvenster op Verwijderen.

Belangrijk: Als u een identiteitsbron verwijdert, verwijdert Cloud Search ook alle bijbehorende gegevens. Alle aangepaste gebruikersgegevens en groepen worden dus ook verwijderd.