Preguntas frecuentes sobre GCDS

¿Cómo autorizo GCDS en una máquina sin GUI?

1. Asegúrate de ejecutar la versión 4.7.14 o posterior de GCDS.

   Para obtener más información, consulta Cómo actualizar GCDS.

2. Autoriza GCDS en una computadora que tenga una GUI.

   Para obtener más información, consulta Cómo autorizar tu Cuenta de Google.

3. Crea y guarda el archivo XML. 
4. En la misma computadora, usa la línea de comandos para ejecutar la herramienta upgrade-config con el parámetro -exportkeys.

   Ejemplo: upgrade-config -exportkeys encryption key file [password]

   En este ejemplo, las claves se exportan a un archivo llamado encryption key file. El uso de una contraseña es opcional.

5. Copia el archivo de clave de encriptación y el archivo de configuración en una computadora sin GUI.
6. En la computadora sin GUI, usa la línea de comandos para ejecutar la herramienta upgrade-config con el parámetro -importkeys.

   Ejemplo: upgrade-config -importkeys nombre del archivo

   Importante: El parámetro -importkeys quita cualquier configuración autorizada de GCDS que puedas tener en tu computadora. 

7. Si es necesario, ingresa la contraseña que estableciste en el paso 4.

   Deberías recibir una confirmación de que las claves se importaron correctamente.

Sugerencia: Para obtener más opciones, desde la línea de comandos, ingresa el comando upgrade-config -help.

¿Cómo muevo GCDS a otro servidor?

1. Si crees que tienes cambios pendientes en las direcciones de correo electrónico de los usuarios (cambios de nombre de usuario) o no tienes certeza de ello, elige una opción:
   • Ejecuta una sincronización en el servidor anterior.
   • Copia los archivos de valores delimitados por tabulaciones (TSV) en el servidor nuevo.

     Puedes encontrar el nombre y la ubicación de los archivos TSV en el archivo de configuración buscando .tsv.

   • Instala GCDS en el servidor nuevo. Para obtener instrucciones, consulta Cómo descargar e instalar GCDS.
2. Copia el archivo de configuración en el servidor nuevo.
3. En el servidor nuevo, en el Administrador de configuración, abre el archivo de configuración.
4. Vuelve a autorizar GCDS para tu Cuenta de Google. Para obtener instrucciones, consulta Cómo autorizar tu Cuenta de Google.
5. En la página Configuración de LDAP, actualiza la contraseña de LDAP. Para obtener instrucciones, consulta Configuración de la conexión LDAP.
6. En la página Notificaciones, actualiza la contraseña de SMTP. Para obtener instrucciones, consulta Atributos de notificación.
7. Ejecuta una sincronización simulada.
8. Revisa la sincronización para asegurarte de que no haya cambios inesperados.
9. Ejecuta una sincronización completa.

   Después de la sincronización, se actualizan los archivos TSV del servidor anterior. Si no transferiste los archivos TSV, se crearán archivos nuevos.

¿Qué puedo hacer si tengo problemas con los certificados?

Si tienes problemas con los certificados cuando ejecutas GCDS, consulta Cómo solucionar problemas relacionados con los certificados.

¿Qué APIs usa GCDS?

GCDS usa las APIs de Google Workspace para sincronizar los datos de tu directorio con tu Cuenta de Google. Las APIs usan OAuth, no la contraseña de un administrador, para autenticarse. Este enfoque permite que funciones como la verificación en 2 pasos (2SV) permanezcan activas sin afectar la funcionalidad de GCDS.

GCDS usa las siguientes APIs:

• API de Directory
• API de Cloud Identity
• API de Groups Settings
• API de Enterprise License Manager
• API de Domain Shared Contacts

¿Por qué no veo los cambios esperados en mi Cuenta de Google?

El cambio puede tardar hasta 8 días en aparecer en tu Cuenta de Google. Para comprender el motivo, debes entender cómo GCDS almacena en caché los datos.

GCDS mantiene una caché de datos de tu Cuenta de Google durante un máximo de 8 días. GCDS puede borrar la caché con más frecuencia, según el tamaño de los datos almacenados en caché. Sin embargo, si no se borra la caché, es posible que los cambios que se realizaron directamente en tu Cuenta de Google (con la Consola del administrador o con otro cliente de API) tarden hasta 8 días en aparecer.

Una vez que se borra la caché, GCDS identifica el cambio en la Cuenta de Google y lo compara con los datos de origen en el directorio LDAP. Si los datos no coinciden, GCDS deshace el cambio realizado en la Cuenta de Google.

Para borrar la caché de forma manual, haz lo siguiente:

• Ejecuta una sincronización desde Configuration Manager y selecciona la opción para borrar la caché cuando se realice la sincronización.
• Usa la función experimental de línea de comandos -f para forzar un vaciado de la caché.
• Modifica el archivo de configuración XML para establecer el valor de maxCacheLifetime en 0.

Importante: Vaciar la caché puede aumentar significativamente el tiempo de sincronización.

¿Cómo accede GCDS a los datos del perfil de usuario en mi Cuenta de Google?

Los perfiles de usuario, incluidos los atributos de usuario adicionales, se escriben en la Cuenta de Google del usuario y se pueden ver en el directorio de la cuenta. GCDS accede al directorio en Contactos de Google. Para obtener más información, consulta Descripción general: Configura y administra el directorio.

¿Cómo determina GCDS qué direcciones de correo electrónico de alias se agregan a una Cuenta de Google?

En la configuración de GCDS, puedes especificar los atributos que evalúa GCDS. GCDS evalúa los datos almacenados en el atributo solo si coinciden con una dirección SMTP válida.

Cuando se usa proxyAddresses de Microsoft Active Directory, GCDS quita el prefijo smtp: durante la sincronización para que no se muestre en tu dominio de Google. 

¿Puedo sincronizar más de una Cuenta de Google al mismo tiempo?

Sí. Puedes usar GCDS para sincronizar un directorio LDAP con varias Cuentas de Google usando más de un archivo de configuración. Si ejecutas varias sincronizaciones al mismo tiempo, asegúrate de que los archivos de configuración se guarden con nombres únicos.

Para clonar un archivo de configuración existente, usa la opción Guardar como en Configuration Manager y guarda el archivo con un nombre nuevo.

¿Cómo resuelve GCDS las cuentas en conflicto?

GCDS sigue la configuración de administración de cuentas en conflicto que estableces en la Consola del administrador de Google. Para obtener más información, consulta Cómo administrar cuentas en conflicto con GCDS.

La forma en que GCDS controla las cuentas en conflicto depende de si el conflicto es con una cuenta personal no administrada, una cuenta laboral no administrada o un usuario existente en tu organización. Para obtener detalles sobre cómo se procesan y resuelven los conflictos, consulta Administra cuentas en conflicto con GCDS y Resuelve errores de cuentas duplicadas.

¿Cómo configuro GCDS para aprovisionar solo un subconjunto de usuarios? 

Si quieres sincronizar un subconjunto de usuarios con tu Cuenta de Google, puedes usar un solo grupo de directorio de Active Directory o LDAP como fuente. El uso de un grupo limita la cantidad de usuarios que se aprovisionan en tu Cuenta de Google.

Ejemplo:

Consulta del usuario
(&(memberof=cn=appsUsers,cn=users,dc=corp,dc=domain,dc=com)(objectCategory=person)(objectClass=user)(mail=*)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))

Esta consulta devuelve todos los usuarios que son miembros del grupo identificado por el DN del grupo, tienen direcciones de correo electrónico y cuyas cuentas no están inhabilitadas.

¿Cómo puedo excluir una unidad organizativa de mi Cuenta de Google de una sincronización?

Puedes configurar GCDS para que excluya una unidad organizativa que se haya configurado en tu Cuenta de Google. Para ello, define una regla de exclusión de ruta de acceso completa de la organización en la configuración del dominio de Google.

Ejemplo:

Regla de exclusión
Tipo: Ruta de acceso completa de la organización
Tipo de coincidencia: Coincidencia exacta
Regla: /OUPath/MyExcludedOU

¿Puedo sincronizar usuarios con un dominio secundario?

Si agregaste un dominio adicional (secundario), puedes usar GCDS para sincronizar usuarios con ese dominio. Para sincronizar usuarios con tu dominio secundario, asegúrate de que las direcciones de correo electrónico de los usuarios en tu servidor LDAP coincidan con el nombre de tu dominio secundario. GCDS crea los usuarios en tu Cuenta de Google con tu dominio secundario como la dirección de correo electrónico principal.

Si no quieres realizar cambios en tu atributo de correo electrónico de LDAP existente, asigna otro atributo para sincronizar las direcciones de correo electrónico de los usuarios de tu dominio secundario. Para obtener más información sobre los dominios secundarios, consulta Agrega un dominio de alias de usuario o un dominio secundario.

¿Cómo maneja GCDS los conflictos entre las direcciones de correo electrónico principales y los alias?

¿Puedo usar comodines con las consultas de búsqueda de usuarios de LDAP?

Sí, siempre que el servidor LDAP admita comodines.

Los directorios LDAP no admiten comodines en los atributos de nombre distinguido (DN) cuando realizas una consulta de búsqueda de usuarios. Por ejemplo, puedes usar (mail=user*), pero no (distinguishedName=*,DC=domain,DC=com).

¿Puedo usar una búsqueda recursiva de memberOf para las consultas de búsqueda de usuarios?

Sí, si usas un servidor LDAP que admita búsquedas recursivas de memberOf. Son compatibles con Active Directory, pero no con OpenLDAP.

¿Por qué se suspende mi cuenta de usuario de Google Workspace después de ejecutar GCDS?

Si se suspende una cuenta de usuario de Google Workspace después de ejecutar GCDS, recibirás un error en el que se explicará por qué sucedió esto. Para evitar que se repita el error en las sincronizaciones posteriores, puedes implementar una de las siguientes soluciones según la causa del problema:

• Problema: El usuario no existe en el servidor LDAP.

  Solución: Como el usuario no existe en el servidor LDAP, el cliente debe establecer una regla de exclusión de usuarios de Google para evitar que GCDS suspenda a este usuario en Google Workspace.

• Problema: El usuario no tiene un correo electrónico válido en el servidor LDAP.

  Solución: Debes configurar una dirección de correo electrónico para este usuario o establecer una regla de exclusión de usuarios de Google para evitar que GCDS suspenda al usuario en Google Workspace.

  También puedes cambiar la configuración de GCDS para que use el atributo de dirección de correo electrónico del usuario que se encuentra en el servidor LDAP. Por ejemplo, usa el atributo userPrincipalName (UPN) en lugar del atributo mail.

• Problema: Las reglas de exclusión del servidor LDAP omiten al usuario.

  Solución: Si no quieres suspender a este usuario, debes corregir las reglas de exclusión.

• Problema: El usuario se encuentra y se suspende en las reglas de búsqueda porque la opción Suspender a estos usuarios en el dominio de Google está marcada.

  Solución: Es posible que se deba suspender al usuario.

• Problema: Se suspendió al usuario en el servidor LDAP.

  Solución: Es posible que se deba suspender al usuario.

¿Puede GCDS sincronizar membresías de grupos cíclicos?

En una membresía de grupo cíclica, 2 (o más) grupos son miembros entre sí. Por ejemplo, el Grupo A es miembro del Grupo B y el Grupo B es miembro del Grupo A.

Las membresías de grupos cíclicos son compatibles con LDAP y Microsoft Active Directory. Sin embargo, los Grupos de Google no los admiten. Si intentas sincronizar una membresía cíclica, verás el error "No se permiten las membresías cíclicas".

¿Cómo puedo asegurarme de que GCDS no borrará ni modificará los grupos existentes que creé?

Puedes configurar GCDS para excluir un grupo definiendo una regla de exclusión de dirección de correo electrónico de grupo en la configuración del dominio de Google. Para obtener más información, consulta Cómo usar reglas para los datos de Google.

Ejemplo:

Regla de exclusión
Tipo: Dirección de correo electrónico del grupo
Tipo de coincidencia: Coincidencia exacta
Regla: GCP_Project1@example.com

Nota: Te recomendamos que crees y administres estos grupos en tu directorio LDAP. Las membresías de los grupos se mantienen actualizadas en tu Cuenta de Google cuando GCDS sincroniza los datos.

Para conservar los grupos existentes que no están en LDAP, puedes activar el parámetro de configuración No borrar los Grupos de Google que no se encuentren en LDAP. Para obtener más información, consulta la política de eliminación de Grupos de Google.

¿GCDS sincroniza los grupos creados por los usuarios?

Un grupo creado por el usuario es un grupo creado en Grupos de Google para empresas. Si un grupo de LDAP coincide con un grupo creado por un usuario, GCDS lo ignora como si hubiera una regla de exclusión de GCDS para ese grupo específico. No se quitará el grupo si no coincide con los datos de LDAP. 

Si agregaste miembros al objeto o la entidad correspondiente en LDAP, GCDS los agrega al grupo. Si agregaste usuarios al Grupo de Google que no coinciden con tus datos de LDAP, esos miembros no se quitarán durante el proceso de sincronización.

Para obtener más información sobre los grupos creados por usuarios, consulta las Preguntas frecuentes para administradores de Grupos.

¿Puede GCDS sincronizar membresías de grupos anidados?

Sí, GCDS sincroniza las membresías de grupos anidados. Sin embargo, existen algunas limitaciones con respecto a los grupos anidados y la entrega de correos electrónicos con Grupos de Google para empresas. No todos los miembros de un grupo anidado reciben el contenido de los correos electrónicos que se envían al grupo en los siguientes casos:

• El permiso de moderación está habilitado. Los correos electrónicos no se enviarán automáticamente a los miembros del grupo ni a otros grupos anidados hasta que el moderador del grupo los apruebe.
• Un grupo superior no tiene permiso de publicación para enviar el mensaje a los grupos anidados.

Temas relacionados

• Cómo agregar un grupo a otro grupo
• Consulta quién puede ver, publicar y moderar contenido

¿Puede GCDS buscar membresías de grupos anidados?

Sí. GCDS sincroniza los miembros de los grupos, independientemente de si el miembro es un usuario o un grupo. Sin embargo, GCDS no admite una regla de búsqueda para expandir los miembros de grupos anidados si tu servidor LDAP no la admite.

¿Por qué GCDS no sincroniza los miembros de los grupos?

Si GCDS usa puertos de catálogo global, podría deberse a la forma en que Active Directory copia los detalles de los grupos en tus servidores. Para conservar el ancho de banda, Active Directory excluye los detalles de los miembros del grupo del índice del catálogo global. Cuando GCDS recupera grupos con puertos de catálogo global, Active Directory devuelve el grupo, pero no incluye la lista de miembros. Como resultado, GCDS calcula el grupo con cero miembros.

Para permitir que GCDS sincronice los miembros de los grupos, haz lo siguiente:

1. En Active Directory, cambia el parámetro de configuración Permiso del grupo a Universal.

   Este cambio garantiza que la membresía del grupo se replique en el catálogo global y hace que los miembros sean visibles para GCDS cuando la herramienta consulta el puerto 3268 o 3269.

   Nota: Los cambios pueden tardar hasta 30 minutos en aplicarse.

2. Si las políticas de tu organización te impiden cambiar el parámetro de configuración Ámbito del grupo, haz lo siguiente:
   1. Configura GCDS para que consulte el puerto LDAP 389 o 636 en lugar de un puerto de catálogo global.
   2. Asegúrate de que el nombre de host LDAP de GCDS se conecte directamente al controlador de dominio del dominio local y de que el DN base esté incluido en la ruta de acceso del directorio en el que residen los grupos.

¿Cómo puedo sincronizar solo los miembros válidos del grupo?

Solo quieres sincronizar los miembros que son usuarios activos en el servidor LDAP. Por ejemplo, tienes el Grupo 1 en el servidor LDAP, que tiene 2 miembros: usuario1 y usuario2. Sin embargo, el usuario1 se suspendió en el servidor LDAP. Después de una sincronización, el Grupo 1 de tu Cuenta de Google debería contener a user2 como único miembro, mientras que user1 debería estar suspendido (o quitado, según tu configuración de GCDS).

Para sincronizar los miembros válidos del grupo, haz lo siguiente:

1. Ubica el archivo de configuración. Este es el mismo archivo XML que usas para cargar tu configuración de GCDS.
2. Abre el archivo de configuración con un editor de texto.
3. Busca y borra la opción INDEPENDENT_GROUP_SYNC.
4. Busca la opción ADD_VALID_GROUP_MEMBERS_ONLY.

   Si no existe, agrégala al archivo.

5. Asegúrate de que la sincronización de cuentas de usuario esté activada.

   Para obtener más información, consulta Define tu lista de usuarios.

6. Ejecuta la simulación para verificar los resultados antes de ejecutar una sincronización completa.

¿Por qué GCDS no sincroniza los grupos de seguridad?

Si la propiedad adminCreated de la API de Directory se establece en false para los grupos creados por el administrador en la Consola del administrador de Google, es posible que GCDS omita estos grupos durante la sincronización. Para asegurarte de que GCDS sincronice un nuevo grupo de seguridad, haz lo siguiente:

1. Usa la Consola del administrador de Google o la API de Directory para crear el grupo nuevo como un grupo de correo electrónico.
2. Modifica la configuración del grupo para cambiarlo a un grupo de seguridad.

GCDS tampoco sincroniza los grupos de seguridad que existen en tu servidor LDAP, pero no en Google. Estos grupos se sincronizan como grupos normales.

¿Cómo agrego una marca de función opcional al archivo de configuración de GCDS?

Antes de comenzar: Asegúrate de que GCDS admita la función.

1. Ubica el archivo de configuración. Este es el mismo archivo XML que usas para cargar tu configuración de GCDS.
2. Abre el archivo de configuración con un editor de texto.
3. En el archivo en formato XML, busca la etiqueta <features> y, luego, inserta una línea nueva dentro de ella. 
4. En la línea nueva, agrega una etiqueta <optional> nueva con el nombre de la función dentro de ella.
5. Guarda y cierra el archivo.

Ejemplo

En el siguiente ejemplo, se muestra cómo agregar la función DONT_RESOLVE_USER_CONFLICT_ACCOUNTS.

<features>

      <optional>DONT_RESOLVE_USER_CONFLICT_ACCOUNTS</optional>

</features>

¿Por qué GCDS sigue mostrando un error cuando se borra la caché?

El error puede deberse a un problema de configuración, como una configuración incorrecta de la regla de exclusión. La configuración incorrecta se puede ocultar con el almacenamiento en caché de GCDS.

GCDS mantiene una caché de datos para tu servicio de Google (como Google Workspace o Cloud Identity) durante un máximo de 8 días. GCDS puede borrar la caché con más frecuencia, según el tamaño de los datos almacenados en caché. Sin embargo, si no se borra la caché, es posible que los cambios que se realizaron directamente en tu Cuenta de Google (con la Consola del administrador o con otro cliente de API) tarden hasta 8 días en aparecer. 

Para borrar la caché de forma manual, haz lo siguiente:

• Ejecuta una sincronización desde el Administrador de configuración y selecciona la opción para borrar la caché cuando se realice una sincronización.
• Usa la función experimental de línea de comandos -f para forzar un vaciado de la caché.
• Modifica el archivo de configuración XML para establecer el valor de maxCacheLifetime en 0.

Importante: Vaciar la caché puede aumentar significativamente el tiempo de sincronización.

Ejemplo: Tienes un grupo que existe tanto en tu servidor LDAP como en tu Cuenta de Google. Creas una regla de exclusión de Google para este grupo con la esperanza de evitar que GCDS lo modifique durante una sincronización.

Sin embargo, esta regla hace que GCDS se comporte como si el grupo no existiera en tu Cuenta de Google. GCDS intenta crear el grupo, pero, como ya existe, ves un error y GCDS lo agrega a la caché. Las sincronizaciones posteriores usan la caché y GCDS reconoce que el grupo ya existe. Luego, una vez que se borra la caché, GCDS vuelve a comportarse como si el grupo no existiera.

¿Por qué debo configurar GCDS para sincronizar las contraseñas?

La configuración predeterminada de sincronización de contraseñas en GCDS se usa para definir cómo GCDS crea contraseñas para las cuentas de usuario nuevas. Si no quieres personalizar la contraseña inicial de la cuenta, no es necesario que realices ninguna acción. Solo usa la configuración predeterminada.

Si usas Active Directory, puedes usar la Sincronización de contraseñas para sincronizar las contraseñas de los usuarios de Active Directory con tu dominio de Google.

¿Cómo resuelve GCDS los conflictos cuando se aplican varias reglas de sincronización?

GCDS considera las reglas en orden, de la más alta a la más baja. 

Por ejemplo, configuras una regla de sincronización de cuentas de usuario para crear usuarios en la unidad organizativa raíz o /. Luego, creas una regla de nivel inferior para crear usuarios en la unidad organizativa /Excepciones. Después de una sincronización, los usuarios que coinciden con ambas reglas se crean en la unidad organizativa raíz porque esa regla tiene mayor prioridad. 

Para asegurarte de que los usuarios se ubiquen correctamente en /Exceptions, asegúrate de que la regla aparezca antes que cualquier otra regla en conflicto. O bien, asegúrate de que sea la primera regla de la lista ordenada.

¿Cómo puedo auditar y revisar una sincronización de GCDS? 

GCDS usa OAuth 2.0 de 3 niveles para la autorización. Este proceso otorga a GCDS un token de OAuth 2.0. El token permite que GCDS tome medidas en nombre del administrador que realizó la autorización.

Todos los eventos de auditoría se muestran según el administrador que autorizó GCDS. Considera crear una cuenta de administrador de GCDS dedicada para que puedas ver claramente los cambios y las auditorías que realiza GCDS.

Tema relacionado

Autoriza tu Cuenta de Google

¿GCDS borra mis esquemas si habilito la sincronización de esquemas?

Durante una sincronización, GCDS considera la configuración actual de LDAP para determinar si se debe conservar o borrar un esquema personalizado en tu Cuenta de Google.

Además, el archivo de configuración de GCDS tiene un parámetro de configuración schemaHistory que contiene información sobre los esquemas personalizados que se sincronizaron antes. Si GCDS sincronizó un esquema personalizado, este se agrega automáticamente al schemaHistory. Si borras manualmente la configuración de schemaHistory en el archivo de configuración y el esquema personalizado no existe en tu directorio LDAP, GCDS omite el esquema personalizado y no lo borra en tu Cuenta de Google.

Para borrar manualmente el schemaHistory en tu archivo de configuración, busca lo siguiente: 

<schemas>
   <schemaDefinitions />
   <schemaHistory>
      <schemaName>GroupMembership</schemaName>
   </schemaHistory>
</schemas>

¿Puedo sincronizar GCDS desde varios directorios LDAP?

GCDS solo puede sincronizar desde un único directorio LDAP. Si tienes varios directorios LDAP, consolida los datos de tu servidor LDAP en un solo directorio. Para obtener más información, consulta el paso 2 en Prepara tu directorio LDAP.

¿Cómo genera y almacena de forma segura la clave simétrica GCDS?

La clave simétrica que encripta el token de actualización de GCDS se genera con el KeyGenerator de criptografía de Java predeterminado con AES 128. 

El almacenamiento de claves simétricas se controla con el método userNodeForPackage en la clase Preferences de Java. GCDS no controla la ubicación exacta de la clave, que depende del SO.

En Windows, los datos de preferencias se almacenan en el subárbol del registro del usuario. En Linux, se almacena en el directorio principal del usuario.

Recomendamos que los clientes sigan las prácticas recomendadas para garantizar que la clave esté protegida de forma adecuada, tanto con un sistema de archivos encriptado como con ACL restrictivas.

¿Cuál es el ID único?

GCDS usa internamente el ID único (también conocido como clave primaria sin dirección), que no se sincroniza con Google Workspace. GCDS almacena el ID único en un archivo TSV en la computadora en la que está instalado. Puedes encontrar el nombre del archivo TSV y su ruta de acceso completa en el archivo de configuración XML.

Si se cambia el nombre de un usuario en el servidor LDAP, pero no en Google Workspace, GCDS usa el ID único para evitar que se borren o dupliquen los detalles del usuario.

Nota: Es posible que se produzcan problemas de sincronización si cambias manualmente las direcciones de correo electrónico del usuario tanto en el servidor LDAP como en Google Workspace. Para evitar este problema, quita los registros de usuario correspondientes del archivo TSV antes de ejecutar GCDS.

¿Cómo puedo sincronizar los grupos de seguridad de Active Directory o mi directorio LDAP y usarlos en Cloud IAM? 

Puedes configurar GCDS para sincronizar grupos de seguridad con reglas de búsqueda de LDAP.

Ejemplo 1: Busca todos los grupos de seguridad

En este ejemplo, se muestra una búsqueda LDAP de todos los grupos de seguridad que tienen una dirección de correo electrónico:

(&(objectCategory=group)(groupType:1.2.840.113556.1.4.803:=-2147483648)(mail=*))

Ejemplo 2: Busca un subconjunto de grupos de seguridad

Si quieres sincronizar un subconjunto de grupos de seguridad, considera usar extensionAttribute1 y establecer un valor específico, como GoogleCloud. Luego, puedes definir mejor la consulta de GCDS para aprovisionar solo el subconjunto específico de grupos de seguridad.

En este ejemplo, se muestra una búsqueda de LDAP de todos los grupos de seguridad que tienen una dirección de correo electrónico y el atributo GoogleCloud:

(&(objectCategory=group)(groupType:1.2.840.113556.1.4.803:=-2147483648)(mail=*)(extensionAttribute1=GoogleCloud))

Importante:

• Se hace referencia a todos los grupos de un dominio de Google con una dirección de correo electrónico. Debes asegurarte de que todos los grupos de seguridad que quieras sincronizar tengan definido un atributo de correo electrónico válido.
• Un grupo creado en un dominio de Google no tiene automáticamente un rol explícito de Cloud Identity and Access Management (IAM) de Google Cloud. Después de crear un grupo, debes usar Cloud IAM para asignarle roles específicos.

¿Cómo puedo agregar usuarios que solo necesitan una cuenta para los proyectos de Google Cloud?

Para configurar GCDS, agrega una regla de sincronización de usuarios para los usuarios de Google Cloud. La forma más sencilla es crear una consulta nueva basada en los usuarios que son miembros de un grupo, por ejemplo:

(&(memberof=cn=CloudUsers,cn=users,dc=corp,dc=domain,dc=com)(objectCategory=person)(objectClass=user)(mail=*)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))

Luego, puedes usar el siguiente filtro de búsqueda para mostrar los usuarios que son miembros del grupo, tienen una dirección de correo electrónico y cuyas cuentas no están suspendidas: 

group cn=CloudUsers,cn=users,dc=corp,dc=domain,dc=com

Considera colocar a estos usuarios en una sola unidad organizativa. Para ello, define un Nombre de la unidad organizativa (por ejemplo, Usuarios de Cloud) en la regla. Crea la unidad organizativa si aún no existe. 

Problemas de licencias

Considera cómo está configurado tu dominio para que puedas asignar correctamente las licencias de productos a las cuentas de usuario. Si las licencias automáticas están habilitadas, es posible que quieras excluir la unidad organizativa de usuarios de Cloud para que no se le asigne una licencia de producto. Para obtener más detalles, consulta Cómo configurar las opciones de licencias automáticas para una organización.

En el caso de requisitos de licencias más complejos, puedes configurar GCDS para sincronizar y administrar todas las asignaciones de licencias de los usuarios. Para obtener más información, consulta Cómo sincronizar licencias.