Użyj przychodzącego SCIM, aby zsynchronizować dane użytkowników i grup z katalogu zewnętrznego z katalogiem Google Cloud. Synchronizacja odbywa się w chmurze, więc nie trzeba instalować klienta synchronizacji ani oprogramowania lokalnego. Przychodzące SCIM to idealne rozwiązanie, jeśli chcesz skonfigurować przyrostowe aktualizacje w czasie rzeczywistym, aby zachować spójność katalogów.
Co obsługuje przychodzące SCIM?
Przychodzące SCIM jest obsługiwane przez większość dostawców tożsamości i systemów informacji o zasobach ludzkich. Nasze interfejsy API mogą współpracować z dowolnym dostawcą tożsamości, systemem informacji o zasobach ludzkich lub aplikacją niestandardową, która obsługuje standard SCIM 2.0.
Jak działa przychodzące SCIM?
Gdy skonfigurujesz połączenie przychodzące SCIM, system automatycznie utworzy konto usługi zarządzane przez Google z rolami Administrator zarządzania użytkownikami i Administrator grup. Tworzysz też klucze interfejsu API, które służą do uwierzytelniania konta usługi podczas synchronizacji z dostawcą tożsamości. Domyślnie zsynchronizowane grupy są zablokowane, aby zachować spójność między katalogami.
Jak działają klucze interfejsu API przychodzącego SCIM?
Klucze interfejsu API są tworzone na potrzeby połączenia SCIM i powiązane z odpowiednim kontem usługi. Żądania, które używają klucza interfejsu API do wywoływania aktualizacji katalogu, korzystają z uprawnień konta usługi. Jeśli połączenie zostanie usunięte, konto usługi i wszystkie powiązane z nim klucze interfejsu API również zostaną usunięte.
Dodatkowe informacje o kluczach interfejsu API przychodzącego SCIM:
- Klucze interfejsu API i konta usługi są zarządzane w konsoli administracyjnej Google Workspace, więc nie będą widoczne w konsoli administracyjnej Google Cloud.
- Klucze interfejsu API można używać tylko w przypadku punktu końcowego Cloud Identity SCIM API.
Administratorzy powinni też pamiętać, że konta administratora Workspace trzeba synchronizować ręcznie. Konta usługi powiązane z połączeniami przychodzącymi SCIM nie mają uprawnień do zarządzania kontami administratora.
Jak działa blokowanie zsynchronizowanych grup?
Gdy utworzysz nowe połączenie przychodzące SCIM, domyślnie zaznaczone jest ustawienie Zablokuj zsynchronizowane grupy. Pomaga to zachować spójność między dostawcami tożsamości, uniemożliwiając użytkownikom wprowadzanie zmian w katalogu.
- Przetwarzanie po raz pierwszy: gdy grupa zostanie utworzona lub zaktualizowana po raz pierwszy za pomocą żądania SCIM, zastosowane zostanie ustawienie Zablokuj zsynchronizowane grupy z połączenia. Gdy to nastąpi, grupa zostanie oznaczona jako przetworzona.
- Ręczne odblokowywanie: jeśli administrator ręcznie odblokuje przetworzoną grupę, aktualizacje SCIM nie spowodują jej ponownego zablokowania. Zastąpienie pozostanie aktywne do momentu zaktualizowania ustawień połączenia SCIM.
- Zmiana ustawień połączenia: jeśli zaktualizujesz ustawienie Zablokuj zsynchronizowane grupy dla połączenia SCIM, nowe ustawienie zostanie zastosowane do powiązanych grup przy następnym żądaniu SCIM.
Więcej informacji o blokowaniu grup, aby zachować synchronizację danych.
Zanim zaczniesz
Zanim zaczniesz korzystać z przychodzącego SCIM, musisz mieć:
- Konto Google Cloud lub Cloud Identity z rolą superadministratora albo rolą niestandardową z uprawnieniem Zarządzanie ustawieniami ruchu przychodzącego SCIM w Directory Sync w konsoli administracyjnej Google. Szczegółowe informacje znajdziesz w artykule Gotowe role administratora.
- Zasób organizacji w Google Cloud. Dowiedz się, jak uzyskać zasób organizacji.
Jeśli potrzebujesz pomocy w zarządzaniu połączeniami przychodzącymi SCIM, możesz przyznać innemu administratorowi uprawnienie Zarządzanie ustawieniami ruchu przychodzącego SCIM w Directory Sync w konsoli administracyjnej. Jeśli chcesz, aby inny administrator mógł wyświetlać ustawienia, ale nie mógł ich zmieniać, możesz mu przyznać uprawnienie Odczyt ustawień ruchu przychodzącego SCIM w Directory Sync.
Konfigurowanie przychodzącego SCIM
-
W konsoli administracyjnej Google otwórz Menu
Katalog
Katalogi zewnętrzne.
Wymagane jest uprawnienie Zarządzanie ustawieniami ruchu przychodzącego SCIM w Directory Sync.
- Jeśli nie masz skonfigurowanych innych synchronizacji, kliknij Skonfiguruj przychodzące SCIM. Jeśli masz już skonfigurowaną synchronizację katalogów, otwórz kartę Przychodzące SCIM i kliknij Dodaj oprogramowanie sprzęgające SCIM.
Dodaj Nazwę połączenia dla tej synchronizacji.
Uwaga: wybierz krótką, opisową nazwę. Pierwsze 18 znaków nazwy (bez spacji) tworzy adres e-mail konta usługi utworzonego na potrzeby tego połączenia SCIM.
Skopiuj adres URL punktu końcowego SCIM i zapisz go. Dodaj go do zewnętrznego dostawcy tożsamości, aby się połączyć.
Domyślnie zaznaczone jest ustawienie Zablokuj zsynchronizowane grupy. Włączenie tego ustawienia pozwala zachować spójność między dostawcami tożsamości.
Kliknij Zapisz i kontynuuj.
Kliknij Wygeneruj klucz interfejsu API.
W wyskakującym okienku pojawi się wygenerowany klucz interfejsu API. Skopiuj go i wklej w miejsce, do którego będziesz mieć dostęp. Następnie kliknij Skopiuj do schowka i zamknij.
Uwaga: po zamknięciu okna nie będzie można ponownie wyświetlić klucza. Możesz wygenerować maksymalnie 2 klucze, a jeśli potrzebujesz nowych, możesz je usunąć i wygenerować ponownie.
W zewnętrznym dostawcy tożsamości lub innym kliencie SCIM użyj klucza interfejsu API jako tokena okaziciela, aby autoryzować żądania do interfejsu SCIM API.
Gdy wrócisz na stronę Katalogi zewnętrzne, możesz sprawdzić połączenia Directory Sync lub Przychodzące SCIM.
Powiązane artykuły
Google, Google Workspace oraz powiązane znaki i logotypy są znakami towarowymi firmy Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi należącymi do ich właścicieli.