Mappare le identità degli utenti in Cloud Search

Per rispettare le autorizzazioni di accesso agli elementi di un repository di terze parti, Google Cloud Search deve mappare le identità tra il repository e gli Account Google. Ad esempio, in un database, un utente potrebbe avere il nome utente jensmith@your-company.com. Questo nome utente deve essere mappato a un Account Google, ad esempio jsmith@solarmora.com.

Per gestire questa mappatura, crea un'origine identità in Cloud Search. L'origine identità consente allo sviluppatore di mappare gli account utente dal repository di terze parti agli Account Google. Leggi in che modo uno sviluppatore può sincronizzare diversi sistemi di identità.

Prima di iniziare

• Chiedi al tuo sviluppatore un ID account di servizio con autorizzazioni di accesso all'SDK Admin di Google Workspace e all'API Cloud Identity.
• Aggiungi un'origine dati per la ricerca. Per creare un'origine identità devi prima aggiungere almeno un'origine dati.

1. Crea un'origine identità

Per mappare nomi utente di terze parti agli Account Google, crea un'origine identità.

1. Nella Console di amministrazione Google, vai a Menu App Google Workspace Cloud Search.

   Vai a Cloud Search

   È necessario disporre del privilegio amministrativo di Cloud Search.

2. Fai clic sulla scheda Origini identità.

   Viene visualizzato un elenco delle origini identità dell'organizzazione.

3. In alto a sinistra, fai clic su Aggiungi .

4. Inserisci un nome nella riga di testo Nome origine identità.

5. Fai clic su Aggiungi account di servizio.

6. Inserisci l'indirizzo email di un account di servizio che può accedere ai dati di utenti e gruppi tramite l'API Users dell'SDK Admin e l'API Cloud Identity.

   Utilizza l'indirizzo email che è stato generato per l'ID dell'account di servizio durante la sua creazione.

7. Imposta il livello di accesso dell'account di servizio all'API SDK Admin Users:

   • Lettura e scrittura: concede le autorizzazioni di accesso completo all'API.

   • Esistente: mantiene le autorizzazioni già concesse all'API.

     Se in precedenza all'account di servizio sono state concesse autorizzazioni di lettura e scrittura da un'altra origine identità, queste continuano. Se all'account di servizio non è già stato concesso l'accesso, questo continua a non averlo.

     Nota: se l'origine dell'identità che ha concesso l'accesso in lettura e scrittura al service account viene eliminata, il service account perde l'accesso. Se questa origine identità deve utilizzare questo service account, imposta l'opzione su Lettura e scrittura.

8. Imposta il livello di accesso del service account all'API Cloud Identity:

   • Lettura e scrittura: concede le autorizzazioni di accesso completo all'API.
   • Lettura: concede autorizzazioni di lettura per l'API.
   • Nessun accesso: impedisce l'accesso all'API.

9. Fai clic su Aggiungi account di servizio.

10. Aggiungi un altro service account oppure, se hai finito di aggiungerne, fai clic su Aggiungi origine identità.

    Completata l'aggiunta dell'origine identità, viene visualizzato un messaggio che indica l'ID origine identità generato automaticamente. Copia l'ID e passalo allo sviluppatore del connettore di identità.

11. Fai clic su OK.

Dopo aver aggiunto l'origine identità, puoi trovarla nell'elenco delle origini identità. Lo sviluppatore dovrà utilizzare l'ID origine identità per permettere alle API di Google di accedere ai dati di utenti e gruppi. Per copiare l'ID origine identità negli appunti, fai clic su Copia.

Risoluzione dei problemi relativi agli errori dell'API dell'origine identità

• HTTP 403 (Autorizzazione negata): assicurati che il service account disponga delle autorizzazioni esplicite di lettura e scrittura sia per l'API SDK Admin sia per l'API Cloud Identity. Se l'origine identità che ha concesso l'accesso in origine viene eliminata, il service account perde immediatamente l'accesso.
• HTTP 404 (Non trovato): verifica che il prefisso identitysources/ID corrisponda a un'origine identità attiva nella Console di amministrazione e che tutti gli account di terze parti mappati corrispondano ad account Google attivi.

2. Importare account di terze parti in Google Workspace

Quando crei un'origine identità, Cloud Search aggiunge un attributo personalizzato a tutti i tuoi account utente Google. Nell'attributo personalizzato memorizzi l'ID dell'account di terze parti associato all'Account Google.

Per vedere l'attributo personalizzato nella Console di amministrazione:

1. Vai a Utenti.
2. In alto a destra, fai clic su Gestisci attributi personalizzati .

Importante: non modificare questo attributo personalizzato. Se modifichi il nome o uno dei suoi campi, Cloud Search non funzionerà correttamente.

Per importare i nomi utente di terze parti nel campo dell'attributo personalizzato, utilizza uno dei metodi seguenti:

3. Trova l'ID cliente della tua organizzazione

Per configurare un connettore di identità, lo sviluppatore ha bisogno dell'ID cliente del tuo Account Google da includere nel file delle proprietà del connettore.

1. Nella Console di amministrazione Google, vai a Menu Sicurezza Autenticazione SSO con applicazioni SAML.

   Vai a SSO con applicazioni SAML

   Per questa attività, devi aver eseguito l'accesso come super amministratore.

2. Accanto a URL SSO, trova il valore idpid alla fine dell'URL. Il valore dopo la C è il tuo ID cliente.

   Ad esempio, nell'URL seguente, l'ID cliente è 0123tvz4:
   https://accounts.google.com/o/saml2/idp?idpid=C0123tvz4

Passaggio successivo

Fornisci l'ID origine identità e l'ID cliente allo sviluppatore che può sincronizzare diversi sistemi di identità.

Modificare o eliminare un'origine identità