Configurar o provisionamento automático de usuários com perfis SCIM personalizados (Beta)

O provisionamento automático de usuários com perfis SCIM personalizados é um recurso Beta disponível apenas para um número limitado de participantes. Se a opção "Provisionamento automático" não aparecer na página de detalhes do app, isso significa que ela ainda não está disponível para sua organização.

É possível configurar e gerenciar automaticamente contas de usuário em um app personalizado ou SAML pré-integrado compatível com o SCIM 2.0 usando o provisionamento automático de usuários com perfis SCIM personalizados.

Antes de começar

Para configurar um perfil SCIM personalizado, você precisa ter:

  • Uma conta do Cloud Identity com uma função de superadministrador. Saiba mais detalhes em Funções de administrador predefinidas.
  • Um app SAML personalizado ou pré-integrado configurado e ativado para os usuários no Admin Console.

Seu app precisa ter um servidor SCIM que:

  • Compatível com o SCIM versão 2.0
  • Usa métodos HTTP padrão, incluindo POST, GET, PATCH com substituto para PUT e DELETE.
  • Oferece suporte à autenticação de token do portador. A autenticação de token OAuth não é compatível.

Configurar o provisionamento automático de usuários com um perfil SCIM personalizado

  1. No Google Admin Console, acesse Menu e depois Apps e depois Apps da Web e para dispositivos móveis.

    Para realizar essa tarefa, você precisa fazer login como superadmin.

  2. Clique no nome do app SAML.
  3. Em Provisionamento automático, clique em Configurar provisionamento automático.
  4. Insira o token do portador do seu app em Token de acesso e clique em Continuar.
  5. Insira o URL do endpoint SCIM do seu app no campo URL do endpoint e clique em Continuar. O Google se conecta ao seu endpoint do SCIM para descobrir automaticamente os atributos compatíveis.
  6. Mapeie os atributos do diretório do Google para os atributos correspondentes do app. Se o app for compatível com a descoberta de esquema, a tabela será pré-preenchida com os atributos descobertos. Para mapear atributos personalizados manualmente, clique em Adicionar mapeamento e depois Continuar quando terminar.
  7. (Opcional) Se você não adicionar nenhum grupo, todos os usuários com acesso ao app SAML serão provisionados. Para limitar o provisionamento automático a grupos de usuários específicos:
    • Em Pesquisar grupos, digite uma ou mais letras do nome do grupo, selecione o nome do grupo e escolha um escopo.
    • Adicione outros grupos.
    • (Opcional) Para remover um grupo, clique em Remover.
      Se um grupo tiver usuários de um domínio secundário ou de fora da sua organização, eles não serão provisionados.
  8. Decida por quanto tempo os usuários terão acesso ao app depois que ele for desativado ou a conta do Google Workspace for suspensa ou excluída. Você pode suspender, fazer a exclusão irreversível ou suspender e depois fazer a exclusão irreversível da conta. É possível definir o período de atraso individualmente para cada ação.
    1. Escolha opções para cada um desses eventos, conforme necessário:
      • Quando um app está desativado para um usuário
      • Quando um usuário está suspenso no Google
      • Quando um usuário é excluído do Google
        Se você suspender uma conta de usuário, ela será marcada como desativada. Se você fizer a exclusão irreversível da conta de usuário, ela será removida permanentemente do app. Defina sempre mais tempo antes da exclusão irreversível da conta de um usuário. Para saber mais sobre suspensão e exclusão, acesse Editar períodos de desprovisionamento.
    2. Clique em Continuar.

  9. Teste a conexão:

    1. Em Usuário do Diretório do Google, pesquise e selecione um usuário que não tenha uma conta no seu app.

    2. Clique em Testar.

      O Google cria uma conta para o usuário no seu app, atualiza e exclui essa conta. Cada operação mostra Sucesso, Falha ou Não executada. Para uma operação com falha, analise o código HTTP, o tipo de erro do SCIM e os detalhes de Ver resposta bruta do seu app.

      Observação: se o app não retornar 201 Created para o novo usuário, por exemplo, porque ele já existe, a operação Criar usuário vai falhar, e o Google vai pular as operações de atualização e exclusão. Se a opção Excluir usuário falhar, exclua manualmente a conta de teste no app.

  10. Clique em Finish.
    Você pode clicar em Concluir mesmo que o teste tenha falhado e tentar novamente mais tarde. Essa etapa salva a configuração, mas não ativa o provisionamento automático. Para ativar, acesse a página de detalhes do app e depois Provisionamento automático e mude o botão para Ativo.
    Observação: a configuração será desativada se o app não estiver ativado para nenhum usuário. Clique em Acesso do usuário e ative o app para permitir o provisionamento automático.

Editar informações de provisionamento

Editar grupos de usuários sujeitos ao provisionamento automático

  1. No Google Admin Console, acesse Menu e depois Apps e depois Apps da Web e para dispositivos móveis.

    Para realizar essa tarefa, você precisa fazer login como superadmin.

  2. Clique no nome do app SAML.
  3. Clique em Provisionamento automático.
  4. Em Escopo do provisionamento, clique em Editar.
  5. Em Pesquisar grupos, digite uma ou mais letras do nome do grupo, selecione o nome do grupo e escolha um escopo.
  6. Adicione outros grupos.
  7. (Opcional) Para remover um grupo, clique em Remover.
    Se um grupo tiver usuários de um domínio secundário ou de fora da sua organização, eles não serão provisionados.
  8. Clique em Atualizar.

Editar períodos de desprovisionamento

Para definir os prazos para as ações de desprovisionamento entrarem em vigor:

  1. No Google Admin Console, acesse Menu e depois Apps e depois Apps da Web e para dispositivos móveis.

    Para realizar essa tarefa, você precisa fazer login como superadmin.

  2. Clique no nome do app SAML.
  3. Clique em Provisionamento automático.
  4. Em Desprovisionamento, clique em Editar.
  5. Para cada evento (Quando um app é desativado para um usuário, Quando um usuário é suspenso do Google e Quando um usuário é excluído do Google), selecione as ações a serem realizadas e quanto tempo o Google espera após a mudança antes de enviar a solicitação ao seu app (Em até 24 horas ou Após 1, 7 ou 21 dias):
    • Suspender a conta do usuário: desativa o usuário no app (PATCH ou PUT com active: false).
    • Excluir permanentemente a conta do usuário: exclui o usuário do app de forma permanente (DELETE /Users/{id}).
      Se você selecionar as duas opções, defina sempre um atraso maior para a exclusão permanente do que para a suspensão.
  6. Clique em Atualizar.

Desativar o provisionamento automático e excluir as informações de configuração

É possível desativar o provisionamento automático do app sem perder as informações de configuração. Também é possível desativar o provisionamento automático e remover as informações de configuração.

Desativar o provisionamento automático

Se você quiser desativar o provisionamento automático para o app e manter as informações de configuração, faça o seguinte:

  1. No Google Admin Console, acesse Menu e depois Apps e depois Apps da Web e para dispositivos móveis.

    Para realizar essa tarefa, você precisa fazer login como superadmin.

  2. Clique no nome do app SAML.
  3. Escolha uma opção:
    • Desative o Provisionamento automático.
    • Clique em Provisionamento automático e depois Status e depois Desativar.
  4. Clique em Desativar para confirmar.

Desativar o provisionamento automático e excluir as informações de configuração

Para desativar o provisionamento automático e remover as informações de configuração:

  1. No Google Admin Console, acesse Menu e depois Apps e depois Apps da Web e para dispositivos móveis.

    Para realizar essa tarefa, você precisa fazer login como superadmin.

  2. Clique no nome do app SAML.
  3. Clique em Provisionamento automático.
  4. Clique em Excluir para desativar o provisionamento automático e remover as informações de configuração.
    Os usuários não serão removidos e ainda poderão usar o app.

Revisar informações de uso

Evento de registro do administrador Descrição
Criar usuário por provisionamento automático Usuários criados pelo provisionamento automático
Atualizar usuário provisionado automaticamente Usuários atualizados pelo provisionamento automático
Suspender usuário provisionado automaticamente Usuários suspensos pelo provisionamento automático
Cancelar suspensão de usuário provisionado automaticamente Usuários reativados pelo provisionamento automático
Exclusão irreversível de usuário provisionado automaticamente Usuários excluídos pelo provisionamento automático
Falhas Solicitações com falha

Se o provisionamento automático parar de funcionar

O provisionamento automático para de funcionar se o Google não conseguir mais se conectar ao app. Por exemplo, o token do portador pode ter expirado ou sido revogado, ou o URL do SCIM do app pode ter mudado. Para corrigir, atualize o token ou o URL:

  1. No Google Admin Console, acesse Menu e depois Apps e depois Apps da Web e para dispositivos móveis.

    Para realizar essa tarefa, você precisa fazer login como superadmin.

  2. Clique no nome do app SAML.
  3. Clique em Provisionamento automático.
  4. Para atualizar o token do portador:
    1. Em Autorização de apps, clique em Reautorizar.
    2. Em Token de acesso, cole um novo token do portador do seu app.
    3. Clique em Reautorizar.
  5. Para atualizar o URL de base do SCIM, em URL do endpoint, clique em Editar, insira o novo URL e clique em Atualizar.
  6. (Opcional) Para verificar a conexão, em Testar conexão, clique em Testar.

Para saber mais sobre outros motivos que impedem o provisionamento automático de funcionar, consulte a documentação do app.