使用自定义 SCIM 配置文件设置自动用户配置（Beta 版）

使用自定义 SCIM 配置文件自动预配用户是一项 Beta 版功能，仅面向部分参与者提供。如果您在应用的详情页面上没有看到“自动配置”，则表示贵组织尚无法使用此功能。

您可以使用自定义 SCIM 配置文件，通过自动用户配置功能在支持 SCIM 2.0 的自定义或预集成的 SAML 应用中自动设置和管理用户账号。

准备工作

如需设置自定义 SCIM 配置文件，您需要：

  • 具有超级用户角色的 Cloud Identity 账号。有关详情，请参阅预先创建的管理员角色。
  • 在管理控制台中为用户设置并启用自定义或预先集成的 SAML 应用

您的应用需要有一个 SCIM 服务器，该服务器：

  • 支持 SCIM 2.0 版
  • 使用标准 HTTP 方法，包括 POST、GET、PATCH（回退到 PUT）和 DELETE
  • 支持不记名令牌身份验证。不支持 OAuth 令牌身份验证。

使用自定义 SCIM 配置文件设置自动用户配置

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 应用 然后 Web 应用和移动应用。

    您必须以超级用户身份登录，才能执行此任务。

  2. 点击您的 SAML 应用的名称。
  3. 在自动预配下，点击配置自动预配。
  4. 在访问令牌中输入应用的 Bearer 令牌，然后点击继续。
  5. 在端点网址字段中输入应用的 SCIM 端点网址，然后点击继续。Google 会连接到您的 SCIM 端点，以自动发现支持的属性。
  6. 将 Google 目录属性映射到相应的应用属性。如果您的应用支持架构发现，系统会使用发现的属性预先填充该表。如需手动映射自定义属性，请点击添加映射 然后 完成后点击继续。
  7. （可选）如果您不添加任何群组，系统会为所有有权访问 SAML 应用的用户配置账号。如需仅为特定用户群组设置自动配置，请按以下步骤操作：
    • 在搜索群组部分，输入群组名称的一个或多个字母，然后选择群组名称以及范围。
    • 添加任何其他群组。
    • （可选）如需移除群组，请点击移除。
      如果群组中有用户来自辅助网域或来自贵组织外部，则系统不会配置这些用户。
  8. 决定在应用关闭后，或者用户的 Google Workspace 账号被暂停或删除后，用户可以访问应用多长时间。您可以选择中止其账号、硬删除其账号，或者先中止再硬删除其账号。您可以为每项操作单独设置延迟时间范围。
    1. 根据需要为下列各项事件选择选项：
      • 当关闭用户的应用时
      • 当用户账号被 Google 暂停时
      • 将用户从 Google 中删除时
        如果您中止了某个用户账号，该账号会被标记为已停用。如果您硬删除了某个用户账号，该账号会从应用中永久移除。设置等待多长时间后再硬删除用户的账号时，一定要设置一个相对更长的时间。如需详细了解暂停和删除，请参阅修改取消配置的时间范围。
    2. 点击继续。

  9. 测试连接：

    1. 对于 Google 目录用户，请搜索并选择在您的应用中没有账号的用户。

    2. 点击测试。

      Google 会在您的应用中为用户创建账号，更新该账号，然后将其删除。每项操作都会显示成功、失败或未运行。对于失败的操作，请查看 HTTP 代码、SCIM 错误类型以及应用的查看原始响应详细信息。

      注意：如果您的应用未针对新用户返回 201 Created（例如，因为用户已存在），则创建用户操作会失败，并且 Google 会跳过更新和删除操作。如果删除用户失败，请在应用中手动删除测试账号。

  10. 点击完成。
    即使测试失败，您也可以点击完成，稍后再重新测试。 此步骤会保存配置，但不会启用自动预配。如需开启此功能，请前往应用的详情页面 然后 自动配置，然后将开关切换到有效。
    注意：如果未为任何用户启用您的应用，则该设置处于停用状态。这种情况下，点击用户访问权限，然后启用该应用，即可启用自动配置。

修改预配信息

修改要自动配置的用户群组

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 应用 然后 Web 应用和移动应用。

    您必须以超级用户身份登录，才能执行此任务。

  2. 点击您的 SAML 应用的名称。
  3. 点击自动预配。
  4. 在预配范围部分，点击修改。
  5. 在搜索群组部分，输入群组名称的一个或多个字母，然后选择群组名称以及范围。
  6. 添加任何其他群组。
  7. （可选）如需移除群组，请点击移除。
    如果群组中有用户来自辅助网域或来自贵组织外部，则系统不会配置这些用户。
  8. 点击更新。

修改取消配置时间范围

要指定取消配置操作将在延迟多长时间后生效，请按照以下步骤操作：

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 应用 然后 Web 应用和移动应用。

    您必须以超级用户身份登录，才能执行此任务。

  2. 点击您的 SAML 应用的名称。
  3. 点击自动预配。
  4. 在取消预配部分，点击修改。
  5. 对于每个事件（当应用对用户停用时、当用户被 Google 暂停时和当用户被 Google 删除时），选择要执行的操作，以及在发生更改后 Google 等待多长时间再向您的应用发送请求（24 小时内、1 天后、7 天后或 21 天后）：
    • 暂停用户账号：在应用中停用用户（PATCH 或 PUT，搭配 active: false）。
    • 硬删除用户账号：从应用 (DELETE /Users/{id}) 中永久删除用户。
      如果您同时选择这两个选项，请务必将硬删除的延迟时间设置为比暂停的延迟时间更长。
  6. 点击更新。

关闭自动预配功能并删除配置信息

您可以为应用停用自动预配功能，而不会丢失配置信息。您也可以关闭自动配置功能并移除所有配置信息。

关闭自动配置

如需为应用停用自动预配功能并保留配置信息，请按以下步骤操作：

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 应用 然后 Web 应用和移动应用。

    您必须以超级用户身份登录，才能执行此任务。

  2. 点击您的 SAML 应用的名称。
  3. 根据需要选择操作步骤：
    • 关闭自动配置。
    • 点击自动配置 然后 状态 然后 关闭。
  4. 点击关闭进行确认。

关闭自动预配功能并删除配置信息

如需关闭自动配置并移除所有配置信息，请按以下步骤操作：

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 应用 然后 Web 应用和移动应用。

    您必须以超级用户身份登录，才能执行此任务。

  2. 点击您的 SAML 应用的名称。
  3. 点击自动预配。
  4. 点击删除以关闭自动配置功能并移除所有配置信息。
    现有用户不会被移除，并且仍然可以使用该应用。

查看使用情况信息

  • 启用自动预配功能后，您可以查看使用情况信息。有关详情，请参阅监控自动用户预配。
  • 您可以查看过去 30 天的以下使用情况信息：
管理员日志事件 说明
通过自动预配创建用户 通过自动预配创建的用户
更新自动预配的用户 通过自动配置更新了用户
暂停自动预配的用户 通过自动配置中止的用户
取消中止自动预配的用户 通过自动配置重新激活的用户
硬删除自动预配的用户 通过自动配置删除了用户
失败 失败的请求

如果自动配置功能停止运行

如果 Google 无法再连接到您的应用，自动配置功能将停止运行。例如，不记名令牌可能已过期或被撤消，或者应用的 SCIM 网址可能已更改。如需解决此问题，请更新令牌或网址：

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 应用 然后 Web 应用和移动应用。

    您必须以超级用户身份登录，才能执行此任务。

  2. 点击您的 SAML 应用的名称。
  3. 点击自动预配。
  4. 如需更新不记名令牌，请执行以下操作：
    1. 在应用授权部分，点击重新授权。
    2. 对于访问令牌，粘贴应用中的新不记名令牌。
    3. 点击重新授权。
  5. 如需更新 SCIM 基础网址，请在端点网址部分点击修改，输入新网址，然后点击更新。
  6. （可选）如需验证连接，请在测试连接部分点击测试。

如需详细了解自动配置可能停止运行的其他原因，请参阅应用的相关文档。