איך להגדיר הקצאת הרשאות אוטומטית למשתמשים באמצעות פרופילי SCIM בהתאמה אישית (בטא)

הקצאת הרשאות אוטומטית למשתמשים עם פרופילי SCIM בהתאמה אישית היא תכונה בגרסת בטא שזמינה רק למספר מוגבל של משתתפים. אם האפשרות "הקצאת הרשאות ידנית" לא מופיעה בדף הפרטים של האפליקציה, היא עדיין לא זמינה לארגון שלכם.

אתם יכולים להגדיר ולנהל באופן אוטומטי חשבונות משתמשים באפליקציית SAML בהתאמה אישית או משולבת מראש שתומכת ב-SCIM 2.0, באמצעות הקצאת הרשאות אוטומטית למשתמשים עם פרופילי SCIM בהתאמה אישית.

לפני שמתחילים

כדי להגדיר פרופיל SCIM בהתאמה אישית, צריך:

  • חשבון Cloud Identity עם תפקיד סופר-אדמין. אפשר לקרוא פרטים נוספים במאמר בנושא תפקידי אדמין מוגדרים מראש.
  • אפליקציית SAML מובנית מראש או בהתאמה אישית, שמוגדרת ומופעלת למשתמשים במסוף Admin.

לאפליקציה צריך להיות שרת SCIM:

  • תמיכה ב-SCIM בגרסה 2.0
  • שימוש בשיטות HTTP סטנדרטיות, כולל POST,‏ GET,‏ PATCH עם חלופה ל-PUT ו-DELETE
  • תומך באימות באמצעות טוקן למוכ"ז. אין תמיכה באימות באמצעות טוקן OAuth.

איך להגדיר הקצאת הרשאות אוטומטית למשתמשים באמצעות פרופיל SCIM בהתאמה אישית

  1. במסוף Google Admin, נכנסים לתפריט ואז אפליקציות ואז אפליקציות לאינטרנט ולניידים.

    כדי לעשות את הפעולה הזו אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

  2. לוחצים על השם של אפליקציית ה-SAML.
  3. בקטע הקצאת משאבים אוטומטית, לוחצים על הגדרת הקצאת משאבים אוטומטית.
  4. מזינים את הטוקן למוכ"ז מהאפליקציה בשדה טוקן גישה ולוחצים על המשך.
  5. מזינים את כתובת ה-URL של נקודת הקצה ל-SCIM מהאפליקציה בשדה כתובת ה-URL של נקודת הקצה ולוחצים על המשך. ‫Google מתחברת לנקודת הקצה שלכם ל-SCIM כדי לגלות באופן אוטומטי מאפיינים נתמכים.
  6. ממפים את המאפיינים של ספריית Google למאפייני האפליקציה התואמים. אם האפליקציה תומכת בגילוי סכימה, הטבלה מאוכלסת מראש במאפיינים שהתגלו. כדי למפות מאפיינים מותאמים אישית באופן ידני, לוחצים על הוספת מיפוי ואז המשך כשמסיימים.
  7. (אופציונלי) אם לא מוסיפים קבוצות, כל המשתמשים שיש להם גישה לאפליקציית SAML מוקצים. כדי להגביל את הקצאת ההרשאות האוטומטית לקבוצות או למשתמשים מסוימים:
    • בקטע חיפוש קבוצות, מזינים אות אחת או יותר מהשם של הקבוצה, בוחרים את שם הקבוצה ובוחרים את ההיקף.
    • מוסיפים קבוצות נוספות.
    • (אופציונלי) אם רוצים להסיר קבוצה, לוחצים על הסרה.
      אם בקבוצה יש משתמשים מדומיין משני או מחוץ לארגון, למשתמשים האלו לא יוקצו הרשאות.
  8. קובעים את משך הזמן שלמשתמשים תהיה גישה לאפליקציה אחרי שהיא מושבתת עבורם, או אחרי שחשבון Google Workspace שלהם מושעה או נמחק. אתם יכולים להשעות את החשבון, למחוק אותו בלי יכולת שחזור או להשעות אותו ואז למחוק אותו בלי יכולת שחזור. אפשר להגדיר את מסגרת הזמן של ההשהיה בנפרד לכל פעולה.
    1. בוחרים אפשרויות לכל אחד מהאירועים האלה, לפי הצורך:
      • כשאפליקציה מושבתת למשתמש
      • כשהמשתמש מושעה מ-Google
      • כשהמשתמש נמחק מ-Google
        אם משעים חשבון משתמש, הוא מסומן כמושבת. אם מוחקים את חשבון המשתמש באופן סופי, הוא מוסר מהאפליקציה לתמיד. תמיד כדאי להגדיר יותר זמן לפני שמוחקים חשבון משתמש באופן סופי. פרטים נוספים על השעיה ומחיקה זמינים במאמר עריכת מסגרות הזמן לביטול ההקצאה.
    2. לוחצים על המשך.

  9. בודקים את החיבור:

    1. בקטע משתמש בספרייה של Google, מחפשים ובוחרים משתמש שאין לו חשבון באפליקציה.

    2. לוחצים על בדיקה.

      ‫Google יוצרת חשבון למשתמש באפליקציה, מעדכנת אותו ואז מוחקת אותו. לכל פעולה מוצג הסטטוס הצליחה, נכשלה או לא הופעלה. אם הפעולה נכשלה, בודקים את קוד ה-HTTP, את סוג השגיאה ב-SCIM ואת הפרטים של הצגת התגובה הגולמית מהאפליקציה.

      הערה: אם האפליקציה לא מחזירה את הערך 201 Created למשתמש החדש, למשל כי המשתמש כבר קיים, הפעולה יצירת משתמש נכשלת ו-Google מדלגת על פעולות העדכון והמחיקה. אם הפעולה מחיקת משתמש נכשלת, צריך למחוק את חשבון הבדיקה באפליקציה באופן ידני.

  10. לוחצים על סיום.
    אפשר ללחוץ על סיום גם אם הבדיקה נכשלה, ולבדוק שוב מאוחר יותר. השלב הזה שומר את ההגדרות אבל לא מפעיל את ניהול ההקצאות האוטומטי. כדי להפעיל את ההגדרה, עוברים לדף הפרטים של האפליקציה ואז הקצאת הרשאות ידנית ומעבירים את המתג למצב פעיל.
    הערה: ההגדרה מושבתת אם האפליקציה לא מופעלת לאף משתמש. לוחצים על גישת משתמשים ומפעילים את האפליקציה כדי לאפשר הפעלה של הקצאת הרשאות ידנית.

עריכת הפרטים של הקצאת ההרשאות האוטומטית

עריכת קבוצות המשתמשים שכפופות להקצאת הרשאות אוטומטית

  1. במסוף Google Admin, נכנסים לתפריט ואז אפליקציות ואז אפליקציות לאינטרנט ולניידים.

    כדי לעשות את הפעולה הזו אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

  2. לוחצים על השם של אפליקציית ה-SAML.
  3. לוחצים על הקצאת הרשאות אוטומטית.
  4. בקטע היקף הקצאת ההרשאות, לוחצים על עריכה.
  5. בקטע חיפוש קבוצות, מזינים אות אחת או יותר מהשם של הקבוצה, בוחרים את שם הקבוצה ובוחרים את ההיקף.
  6. מוסיפים קבוצות נוספות.
  7. (אופציונלי) אם רוצים להסיר קבוצה, לוחצים על הסרה.
    אם בקבוצה יש משתמשים מדומיין משני או מחוץ לארגון, למשתמשים האלו לא יוקצו הרשאות.
  8. לוחצים על עדכון.

עריכת מסגרות הזמנים לביטול של ניהול הקצאות

כדי להגדיר את משך העיכוב של פעולות ביטול ההקצאה לפני שהן נכנסות לתוקף:

  1. במסוף Google Admin, נכנסים לתפריט ואז אפליקציות ואז אפליקציות לאינטרנט ולניידים.

    כדי לעשות את הפעולה הזו אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

  2. לוחצים על השם של אפליקציית ה-SAML.
  3. לוחצים על הקצאת הרשאות אוטומטית.
  4. בקטע ביטול של ניהול הקצאות, לוחצים על עריכה.
  5. לכל אירוע (כשאפליקציה מושבתת למשתמש, כשמשתמש מושעה מ-Google וכשמשתמש נמחק מ-Google), בוחרים את הפעולות שרוצים לבצע ואת משך הזמן ש-Google תחכה אחרי שהשינוי יתרחש לפני שהיא תשלח את הבקשה לאפליקציה (תוך 24 שעות, או אחרי יום אחד, 7 ימים או 21 ימים):
    • השעיית החשבון של המשתמש: משביתה את המשתמש באפליקציה (PATCH או PUT עם active: false).
    • מחיקה סופית של חשבון המשתמש: המשתמש נמחק מהאפליקציה באופן סופי (DELETE /Users/{id}).
      אם בוחרים בשתי האפשרויות, תמיד צריך להגדיר השהיה ארוכה יותר למחיקה סופית מאשר להשעיה.
  6. לוחצים על עדכון.

איך להשבית את הקצאת ההרשאות האוטומטית ולמחוק את פרטי ההגדרה

אתם יכולים להשבית את הקצאת ההרשאות האוטומטית לאפליקציה ולשמור על פרטי ההגדרה. לחלופין, תוכלו להשבית את הקצאת ההרשאות האוטומטית ולהסיר את כל פרטי ההגדרה.

השבתת הקצאת הרשאות אוטומטית

כדי להשבית את הקצאת ההרשאות האוטומטית לאפליקציה ולשמור על פרטי ההגדרה:

  1. במסוף Google Admin, נכנסים לתפריט ואז אפליקציות ואז אפליקציות לאינטרנט ולניידים.

    כדי לעשות את הפעולה הזו אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

  2. לוחצים על השם של אפליקציית ה-SAML.
  3. בוחרים אפשרות:
    • משביתים את ההגדרה הקצאת הרשאות אוטומטית.
    • לוחצים על הקצאת הרשאות אוטומטית ואז סטטוס ואז השבתה.
  4. לוחצים על השבתה כדי לאשר.

איך להשבית את הקצאת ההרשאות האוטומטית ולמחוק את פרטי ההגדרה

כדי להשבית את הקצאת ההרשאות האוטומטית ולהסיר את כל פרטי ההגדרה:

  1. במסוף Google Admin, נכנסים לתפריט ואז אפליקציות ואז אפליקציות לאינטרנט ולניידים.

    כדי לעשות את הפעולה הזו אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

  2. לוחצים על השם של אפליקציית ה-SAML.
  3. לוחצים על הקצאת הרשאות אוטומטית.
  4. לוחצים על מחיקה כדי להשבית את הקצאת ההרשאות האוטומטית ולהסיר את כל פרטי ההגדרה.
    משתמשים קיימים לא יוסרו ויוכלו עדיין להשתמש באפליקציה.

בדיקת נתוני השימוש

אירוע אדמין ביומן תיאור
יצירה של משתמש באמצעות הקצאת הרשאות אוטומטית משתמשים שנוצרו באמצעות הקצאת הרשאות אוטומטית
עדכון משתמש עם הקצאת הרשאות אוטומטית משתמשים שעודכנו באמצעות הקצאת הרשאות אוטומטית
השעיה של משתמש עם הקצאת הרשאות אוטומטית משתמשים שהושעו באמצעות הקצאת הרשאות אוטומטית
ביטול השעיה של משתמש עם הקצאת הרשאות אוטומטית משתמשים שההרשאות שלהם הופעלו מחדש באמצעות הקצאת הרשאות אוטומטית
מחיקה בלי יכולת שחזור של משתמש עם הקצאת הרשאות אוטומטית משתמשים שהחשבון שלהם נמחק באמצעות הקצאת הרשאות אוטומטית
פעולות שנכשלו בקשות שנכשלו

אם הקצאת ההרשאות האוטומטית הפסיקה לפעול

ההקצאה האוטומטית מפסיקה לפעול אם Google לא מצליחה להתחבר לאפליקציה. לדוגמה, יכול להיות שהתוקף של הטוקן למוכ"ז פג או שהוא בוטל, או שכתובת ה-URL של ה-SCIM של האפליקציה השתנתה. כדי לפתור את הבעיה, צריך לעדכן את הטוקן או את כתובת ה-URL:

  1. במסוף Google Admin, נכנסים לתפריט ואז אפליקציות ואז אפליקציות לאינטרנט ולניידים.

    כדי לעשות את הפעולה הזו אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

  2. לוחצים על השם של אפליקציית ה-SAML.
  3. לוחצים על הקצאת הרשאות אוטומטית.
  4. כדי לעדכן את הטוקן למוכ"ז:
    1. בקטע אישור אפליקציה, לוחצים על אישור מחדש.
    2. בקטע טוקן גישה, מדביקים טוקן חדש למוכ"ז מהאפליקציה.
    3. לוחצים על אישור מחדש.
  5. כדי לעדכן את כתובת ה-URL הבסיסית של SCIM, בקטע כתובת ה-URL של נקודת הקצה, לוחצים על עריכה, מזינים את כתובת ה-URL החדשה ולוחצים על עדכון.
  6. (אופציונלי) כדי לאמת את החיבור, לוחצים על בדיקה בשדה בדיקת החיבור.

פרטים על סיבות נוספות שבגללן הקצאת ההרשאות האוטומטית מפסיקה לעבוד זמינים במסמכי התיעוד של האפליקציה.