Начало работы с SCIM для входящих данных

Используйте SCIM для входящих данных, чтобы синхронизировать данные пользователей и групп из внешнего каталога с каталогом Google Cloud. Этот процесс выполняется в облаке, поэтому устанавливать клиент синхронизации или локальное программное обеспечение не потребуется. Входящий SCIM идеально подходит, если вы хотите настроить добавочные обновления в реальном времени, чтобы поддерживать согласованность каталогов.

Что поддерживает SCIM для входящих данных?

Входящий SCIM поддерживается большинством поставщиков идентификационной информации и информационных систем управления персоналом. Наши API могут работать с любым поставщиком идентификационной информации, HRIS или пользовательским приложением, поддерживающим стандарт SCIM 2.0.

Как работает SCIM для входящих данных?

Когда вы настраиваете входящее подключение SCIM, система автоматически создает управляемый Google сервисный аккаунт с ролями Администратор аккаунтов пользователей и Администратор групп. Вы также создаете ключи API, которые используются для аутентификации сервисного аккаунта при синхронизации данных из поставщика идентификационной информации. Синхронизированные группы по умолчанию заблокированы, чтобы обеспечить согласованность между каталогами.

Как работают ключи API SCIM для входящих данных?

Ключи API создаются для подключения SCIM и привязываются к связанному сервисному аккаунту. Запросы, в которых ключ API используется для вызова обновлений каталога, используют разрешения сервисного аккаунта. Если подключение удалено, сервисный аккаунт и все связанные с ним ключи API также удаляются.

Дополнительная информация о ключах API SCIM для входящих данных:

  • Поскольку ключи API и сервисные аккаунты управляются в консоли администратора Google Workspace, они не будут отображаться в консоли администратора Google Cloud.
  • Ключи API можно использовать только для конечной точки Cloud Identity SCIM API.

Администраторам также следует учитывать, что аккаунты администраторов Workspace необходимо синхронизировать вручную. У сервисных аккаунтов, связанных с входящими подключениями SCIM, нет разрешения на управление аккаунтами администраторов.

Как работает блокировка синхронизированных групп?

При создании нового подключения Inbound SCIM параметр Блокировать синхронизированные группы включен по умолчанию. Это помогает обеспечить согласованность между поставщиками идентификационной информации, запрещая пользователям вносить изменения в каталог.

  • Первоначальная обработка. Когда группа создается или обновляется в первый раз с помощью запроса SCIM, применяется параметр Заблокировать синхронизированные группы из вашего подключения. После этого группа помечается как обработанная.
  • Разблокировка вручную. Если администратор вручную разблокирует обработанную группу, обновления SCIM не заблокируют ее снова. Переопределение будет действовать, пока вы не обновите настройки подключения SCIM.
  • Изменение настроек подключения. Если вы измените настройку Блокировать синхронизированные группы для подключения SCIM, новая настройка будет применена к связанным группам при следующем запросе SCIM.

Подробнее о том, как блокировать группы, чтобы обеспечить синхронизацию данных…

Подготовка

Чтобы использовать SCIM для входящих данных, вам потребуется:

Если вам нужна помощь в работе с входящими подключениями SCIM, в консоли администратора назначьте право Управление настройками Directory Sync для входящих данных SCIM ещё одному администратору. Если вам нужно, чтобы другой администратор мог видеть настройки, но не изменять их, назначьте ему право Чтение настроек Directory Sync для входящих данных SCIM.

Как настроить SCIM для входящих данных

  1. В консоли администратора Google нажмите на значок меню > Каталог > Внешние каталоги.

    Необходимо иметь право доступа "Управление настройками Directory Sync для входящих данных SCIM".

  2. Если вы не настраивали другие синхронизации, нажмите Настроить входящие данные SCIM. Если вы уже настроили Directory Sync, откройте вкладку SCIM для входящих данных и выберите Добавить коннектор SCIM.

  3. Укажите название подключения для этой синхронизации.

    Примечание. Выберите короткое и понятное название. Первые 18 символов названия (без пробелов) образуют адрес электронной почты сервисного аккаунта, созданного для этого SCIM-подключения.

  4. Скопируйте и сохраните URL конечной точки SCIM. Добавьте этот URL в свой внешний поставщик идентификационной информации, чтобы подключить его.

  5. Параметр Заблокировать синхронизируемые группы включен по умолчанию. Включение этого параметра обеспечивает согласованность между поставщиками идентификационной информации.

  6. Нажмите Сохранить и продолжить.

  7. Нажмите Сгенерировать ключ API.

  8. Во всплывающем окне появится сгенерированный ключ API. Скопируйте и вставьте его туда, где вы сможете его найти. Затем нажмите Скопировать в буфер обмена и закрыть.

    Примечание. После закрытия диалогового окна вы больше не сможете увидеть ключ. Можно сгенерировать до двух ключей, а также удалить и сгенерировать их заново, если вам нужны новые.

  9. В стороннем поставщике идентификационной информации или другом SCIM-клиенте используйте ключ API в качестве токена на предъявителя для авторизации SCIM-запросов к API.

  10. Вернувшись на страницу "Внешние каталоги", вы можете посмотреть подключения Directory Sync или SCIM для входящих данных.


Google, Google Workspace и связанные наименования и логотипы являются товарными знаками компании Google LLC. Все другие названия компаний и продуктов являются товарными знаками соответствующих компаний.