Как настроить автоматическую инициализацию аккаунтов с помощью пользовательских профилей SCIM (бета)

Автоматическая инициализация аккаунтов с помощью настраиваемых профилей SCIM – это бета-функция, доступная только ограниченному числу участников. Если на странице приложения нет раздела "Автоинициализация", значит эта функция пока недоступна для вашей организации.

Вы можете автоматически настраивать аккаунты пользователей и управлять ими в специальных или предустановленных SAML-приложениях, которые поддерживают SCIM 2.0, используя автоматическую инициализацию аккаунтов со специальными профилями SCIM.

Подготовка

Чтобы настроить собственный профиль SCIM, вам потребуется:

• Аккаунт Cloud Identity с ролью суперадминистратора. Подробнее о стандартных ролях администратора…
• Пользовательское или предварительно интегрированное SAML-приложение, настроенное и включенное для пользователей в консоли администратора.

В приложении должен быть сервер SCIM, который:

• Поддерживает SCIM версии 2.0.
• Использует стандартные методы HTTP, включая POST, GET, PATCH с резервным вариантом PUT и DELETE.
• Поддерживает аутентификацию с помощью токена на предъявителя. Аутентификация с помощью токена OAuth не поддерживается.

Как настроить автоматическую инициализацию аккаунтов с помощью специального профиля SCIM

1. В консоли администратора Google нажмите на значок меню Приложения Мобильные и веб-приложения.

   Перейти в раздел "Мобильные и веб-приложения"

   Для выполнения этого действия необходим аккаунт суперадминистратора.

2. Нажмите на название SAML-приложения.
3. В разделе Автоинициализация выберите Настроить автоинициализацию.
4. В поле Токен доступа введите токен на предъявителя из приложения и нажмите Продолжить.
5. В поле URL конечной точки введите URL конечной точки SCIM из приложения и нажмите Продолжить. Google подключается к конечной точке SCIM, чтобы автоматически обнаруживать поддерживаемые атрибуты.
6. Сопоставьте атрибуты каталога Google с соответствующими атрибутами приложения. Если приложение поддерживает обнаружение схемы, таблица автоматически заполняется обнаруженными атрибутами. Чтобы сопоставить настраиваемые атрибуты вручную, нажмите Добавить сопоставление Продолжить.
7. Если вы не добавите группы, инициализация будет выполнена для всех пользователей, у которых есть доступ к SAML-приложению. Чтобы разрешить автоматическую инициализацию только для определенных групп пользователей:
   • В разделе Поиск в группах введите одну или несколько букв названия группы, выберите название, а затем выберите область действия.
   • При необходимости добавьте также другие группы.
   • Если вы хотите удалить группу, нажмите Удалить.
     Если в группе есть пользователи из дополнительного домена или не входящие в организацию, инициализация таких пользователей не выполняется.
8. Укажите, в течение какого времени пользователь сохранит доступ к приложению, если оно будет отключено для него или его аккаунт Google Workspace будет заблокирован или удален. Вы можете заблокировать аккаунт, удалить его без возможности восстановления или заблокировать, а затем удалить без возможности восстановления. Для каждого действия можно задать отдельную задержку.
   1. Выберите значения для каждого из следующих событий:
      • При отключении приложения для пользователя
      • Если пользователь заблокирован в Google
      • Если пользователь удален из Google
        Если вы заблокируете аккаунт пользователя, он будет отмечен как деактивированный. Если вы удалите аккаунт без возможности восстановления, он будет удален из приложения навсегда. Время до удаления аккаунта без возможности восстановления должно превышать время до его блокировки. Подробнее об изменении сроков деинициализации…
   2. Нажмите Продолжить.

9. Проверьте подключение:

   1. В поле Пользователь каталога Google найдите и выберите пользователя, у которого нет аккаунта в приложении.

   2. Нажмите Проверить.
      

      Google создает аккаунт для пользователя в вашем приложении, обновляет его, а затем удаляет. Для каждой операции будет указан статус: Выполнено, Ошибка или Не выполнено. Если операция не выполнена, проверьте код HTTP, тип ошибки SCIM и необработанный ответ от приложения.
      

      Примечание. Если приложение не возвращает 201 Created для нового пользователя, например потому что пользователь уже существует, операция Создать пользователя завершается ошибкой, а Google пропускает операции обновления и удаления. Если удалить пользователя не удается, удалите тестовый аккаунт в приложении вручную.

10. Нажмите Готово.
    Вы можете нажать Готово, даже если проверка не удалась, и повторить ее позже. На этом шаге конфигурация сохраняется, но автосинхронизация не включается. Чтобы включить ее, перейдите на страницу приложения Автоинициализация и установите переключатель в положение Активно.
    Примечание. Этот параметр будет неактивен, если приложение не включено хотя бы для одного пользователя. Чтобы включить автоинициализацию, выберите Доступ пользователей и включите приложение.

Как изменить настройки инициализации

Как отключить автоинициализацию и удалить информацию конфигурации

Вы можете отключить автоинициализацию для приложения и при этом сохранить или удалить информацию конфигурации.

Как посмотреть сведения об использовании

• После включения автоинициализации вы сможете просматривать сведения об использовании. Подробнее об отслеживании автоматической инициализации аккаунтов…
• Доступна следующая информация об использовании за последние 30 дней:

Событие в журнале администратора	Описание
Создание аккаунта с помощью автоинициализации	Аккаунты, созданные с помощью автоинициализации.
Обновление аккаунта, созданного с помощью автоинициализации	Аккаунты, обновленные с помощью автоинициализации.
Блокировка аккаунта, созданного с помощью автоинициализации	Аккаунты, заблокированные с помощью автоинициализации.
Отмена блокировки аккаунта, созданного с помощью автоинициализации	Аккаунты, блокировка которых была отменена с помощью автоинициализации.
Удаление аккаунта, созданного с помощью автоинициализации, без возможности восстановления	Аккаунты, удаленные с помощью автоинициализации.
Количество ошибок	Количество запросов, которые не удалось выполнить.

Если автоинициализация перестает работать

Автоинициализация перестает работать, если Google больше не может подключиться к вашему приложению. Например, срок действия токена на предъявителя мог истечь или токен был отозван, или URL SCIM приложения мог измениться. Чтобы устранить проблему, обновите токен или URL:

1. В консоли администратора Google нажмите на значок меню Приложения Мобильные и веб-приложения.

   Перейти в раздел "Мобильные и веб-приложения"

   Для выполнения этого действия необходим аккаунт суперадминистратора.

2. Нажмите на название SAML-приложения.
3. Выберите Автоинициализация.
4. Чтобы обновить токен на предъявителя:
   1. В разделе Авторизация приложения нажмите Авторизовать повторно.
   2. В поле Токен доступа вставьте новый токен на предъявителя из приложения.
   3. Нажмите Авторизовать повторно.
5. Чтобы обновить базовый URL SCIM, в разделе URL конечной точки нажмите Изменить, введите новый URL и нажмите Обновить.
6. Чтобы проверить подключение, в разделе Проверить подключение нажмите Проверить.

Информацию о других возможных причинах прекращения работы автоинициализации можно найти в документации к приложению.