כדי לכבד את הרשאות הגישה של פריטים ממאגר מידע של צד שלישי, Google Cloud Search צריך למפות את הזהויות בין המאגר לבין חשבונות Google. לדוגמה, במסד נתונים, יכול להיות שלמשתמש יש את שם המשתמש jensmith@your-company.com. צריך למפות את שם המשתמש הזה לחשבון Google, כמו jsmith@solarmora.com.
כדי לנהל את המיפוי הזה, צריך ליצור מקור זהויות ב-Cloud Search. מקור הזהויות מאפשר למפתח למפות חשבונות משתמשים מהמאגר של הצד השלישי לחשבונות Google. איך מפתחים יכולים לסנכרן מערכות שונות לניהול זהויות
לפני שמתחילים
- מבקשים מהמפתח מזהה של חשבון שירות עם הרשאות גישה ל-Google Workspace Admin SDK ול-Cloud Identity API.
- הוספת מקור נתונים לחיפוש כדי ליצור מקור זהויות, צריך להוסיף לפחות מקור נתונים אחד.
1. יצירת מקור זהויות
כדי למפות שמות משתמשים של צד שלישי לחשבונות Google, צריך ליצור מקור זהויות.
-
במסוף Google Admin, נכנסים לתפריט
אפליקציות
Google Workspace
Cloud Search.כדי לעשות את זה צריך הרשאת אדמין ל-Cloud Search.
לוחצים על הכרטיס מקורות זהות.
מוצגת רשימה של מקורות הזהויות של הארגון.
בפינה הימנית העליונה, לוחצים על סמל ההוספה
.מזינים שם בשורת הטקסט שם מקור הזהויות.
לוחצים על הוספת חשבון שירות.
מזינים את כתובת האימייל של חשבון שירות שיכול לגשת לנתוני משתמשים וקבוצות דרך Admin SDK Users API ו-Cloud Identity API.
משתמשים בכתובת האימייל שנוצרה למזהה של חשבון השירות כשהוא נוצר.
מגדירים את רמת הגישה של חשבון השירות ל-Admin SDK Users API:
- קריאה וכתיבה – מעניקה הרשאות גישה מלאות ל-API.
קיימות – שמירה על ההרשאות שכבר ניתנו ל-API.
אם חשבון השירות קיבל בעבר הרשאות קריאה וכתיבה ממקור זהויות אחר, הן ימשיכו לפעול. אם לחשבון השירות עדיין לא ניתנה גישה, הוא ימשיך להיות ללא גישה.
הערה: אם מקור הזהויות שנתן לחשבון השירות גישת קריאה וכתיבה נמחק, חשבון השירות מאבד את הגישה. אם מקור הזהויות הזה צריך להשתמש בחשבון השירות הזה, מגדירים את האפשרות קריאה וכתיבה.
מגדירים את רמת הגישה של חשבון השירות ל-Cloud Identity API:
- קריאה וכתיבה – מעניקה הרשאות גישה מלאות ל-API.
- קריאה – מעניקה הרשאות קריאה ל-API.
- אין גישה – מונעת גישה ל-API.
לוחצים על הוספת חשבון שירות.
מוסיפים עוד חשבון שירות, או אם סיימתם להוסיף חשבונות שירות, לוחצים על הוספת מקור זהויות.
כשהמקור לפרטי הזהות נוסף בהצלחה, מוצגת הודעה עם המזהה שנוצר אוטומטית למקור לפרטי הזהות. מעתיקים את המזהה הזה ונותנים אותו למפתח של מחבר הזהויות.
לוחצים על אישור.
אחרי שמוסיפים את מקור הזהויות, אפשר למצוא אותו ברשימה של מקורות הזהויות. המפתח צריך את מזהה מקור הזהויות של Google APIs כדי לגשת לנתוני המשתמשים והקבוצות. כדי להעתיק את המזהה של מקור הזהויות ללוח, לוחצים על העתקה.
פתרון בעיות שקשורות לשגיאות API במקור הזהויות
- HTTP 403 (Permission Denied)- ודאו שלחשבון השירות שלכם יש הרשאות קריאה וכתיבה מפורשות גם ל-SDK לאדמינים API וגם ל-Cloud Identity API. אם מקור הזהויות שנתן את הגישה במקור נמחק, חשבון השירות מאבד את הגישה באופן מיידי.
- HTTP 404 (לא נמצא) – צריך לוודא שהקידומת של מקורות הזהויות/המזהה תואמת למקור זהויות פעיל במסוף Admin, ושכל החשבונות הממופים של צד שלישי תואמים לחשבונות Google פעילים.
2. ייבוא חשבונות של צד שלישי ל-Google Workspace
כשיוצרים מקור זהויות, מערכת Cloud Search מוסיפה מאפיין מותאם אישית לכל חשבונות המשתמשים ב-Google. במאפיין המותאם אישית הזה אתם מאחסנים את מזהה החשבון של הצד השלישי שממופה לחשבון Google.
כדי לראות את המאפיין המותאם אישית הזה במסוף Admin:
- מעבר לדף משתמשים
- בפינה השמאלית העליונה, לוחצים על הסמל לניהול מאפיינים מותאמים אישית
.
חשוב: אל תשנו את המאפיין המותאם אישית הזה. אם תשנו את השם שלו או את אחד מהשדות שלו, Cloud Search לא יפעל כמו שצריך.
כדי לייבא את שמות המשתמשים של הצד השלישי לשדה המאפיין המותאם אישית, משתמשים באחת מהשיטות הבאות:
ייבוא לכל החשבונות בבת אחת באמצעות מחבר זהויות
להשתמש ב-Google Cloud Directory Sync כדי לסנכרן את נתוני המשתמשים והקבוצות.
אפשר גם לעבוד עם מפתח כדי ליצור מחבר זהויות. איך יוצרים מחבר זהויות
ייבוא לכל החשבונות בבת אחת באמצעות Cloud Identity API
משתמשים ב-Cloud Identity API כדי לייבא את חשבונות המשתמשים של הצד השלישי למאפיין המותאם אישית.
ייבוא לחשבונות פרטיים באמצעות מסוף Google Admin
-
במסוף Google Admin, לוחצים על סמל התפריט
הארגון שלי משתמשים.נדרשת הרשאה מתאימה לניהול המשתמשים. אם אין לכם אותה, לא תראו את כל האפשרויות והכפתורים שבהוראות שכאן.
- בדף החשבון של כל משתמש, בקטע ניהול מאפייני משתמש, לוחצים על עריכה.
- בשדה המאפיין המותאם אישית, מוסיפים את שם המשתמש של הצד השלישי שממפה לחשבון המשתמש ב-Google Workspace.
- לוחצים על עדכון משתמש.
3. איך מוצאים את מספר הלקוח של הארגון
כדי להגדיר מחבר זהויות, המפתח צריך את מספר הלקוח של חשבון Google שלכם כדי לכלול אותו בקובץ המאפיינים של המחבר.
-
במסוף Google Admin, נכנסים לתפריט
אבטחה
אימות
SSO עם אפליקציות SAML.כדי לבצע את המשימה הזאת אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.
ליד כתובת ה-URL של ה-SSO, מאתרים את הערך idpid בסוף כתובת ה-URL. הערך שמופיע אחרי האות C הוא מספר הלקוח שלכם.
לדוגמה, בכתובת ה-URL הבאה, מספר הלקוח הוא 0123tvz4:
https://accounts.google.com/o/saml2/idp?idpid=C0123tvz4
השלב הבא
צריך לתת את המזהה של מקור הזהויות ואת מספר הלקוח למפתח שיכול לסנכרן מערכות זהויות שונות.
עריכה או מחיקה של מקור זהויות
עריכת מקור זהויות
-
במסוף Google Admin, נכנסים לתפריט
אפליקציות
Google Workspace
Cloud Search.כדי לעשות את זה צריך הרשאת אדמין ל-Cloud Search.
- לוחצים על הכרטיס "מקורות זהות".
- מוצגת רשימה של מקורות הזהויות של הארגון.
- מצביעים על מקור הזהויות שרוצים לעדכן ולוחצים על סמל העריכה
. - בחלון של מקור הזהויות, בוחרים את הפריט שרוצים לשנות:
- כדי לעדכן חשבון שירות קיים, מציבים את הסמן מעל חשבון השירות ולוחצים על סמל העריכה .
אפשר לשנות את השם של חשבון השירות ואת הרשאות הגישה. - כדי להוסיף חשבון שירות חדש, לוחצים על Add Service Account.
- כדי לעדכן חשבון שירות קיים, מציבים את הסמן מעל חשבון השירות ולוחצים על סמל העריכה
- לוחצים על עריכת מקור הזהויות.
מחיקת מקור זהויות
-
במסוף Google Admin, נכנסים לתפריט
אפליקציות
Google Workspace
Cloud Search.כדי לעשות את זה צריך הרשאת אדמין ל-Cloud Search.
- לוחצים על הכרטיס "מקורות זהות".
- מוצגת רשימה של מקורות הזהויות של הארגון.
- מצביעים על מקור הזהויות שרוצים להסיר ולוחצים על סמל המחיקה
. - בחלון האזהרה, לוחצים על מחיקה.
חשוב: אם מוחקים מקור זהויות, Cloud Search מוחק גם את כל הנתונים שמשויכים אליו. הפעולה הזו כוללת את כל הקבוצות ונתוני המשתמשים בהתאמה אישית.