Erste Schritte mit Inbound SCIM

Mit Inbound SCIM können Sie Nutzer- und Gruppendaten aus einem externen Verzeichnis mit Ihrem Google Cloud-Verzeichnis synchronisieren. Die Synchronisierung findet in der Cloud statt, sodass Sie keinen Synchronisierungsclient oder lokale Software installieren müssen. Inbound-SCIM ist ideal, wenn Sie inkrementelle Echtzeitaktualisierungen einrichten möchten, um Ihre Verzeichnisse konsistent zu halten.

Was wird von Inbound SCIM unterstützt?

Inbound-SCIM wird von den meisten Identitätsanbietern (IdPs) und Personalinformationssystemen (HRIS) unterstützt. Unsere APIs können mit jedem IdP, HRIS oder jeder benutzerdefinierten Anwendung verwendet werden, die den SCIM 2.0-Standard unterstützt.

Wie funktioniert Inbound SCIM?

Wenn Sie eine eingehende SCIM-Verbindung einrichten, erstellt das System automatisch ein von Google verwaltetes Dienstkonto mit den Rollen Administrator für die Nutzerverwaltung und Gruppenadministrator. Außerdem erstellen Sie API-Schlüssel, mit denen das Dienstkonto bei der Synchronisierung von Ihrem IdP authentifiziert wird. Ihre synchronisierten Gruppen sind standardmäßig gesperrt, um die Konsistenz zwischen Ihren Verzeichnissen zu gewährleisten.

Wie funktionieren Inbound-SCIM-API-Schlüssel?

API-Schlüssel werden für die SCIM-Verbindung erstellt und an das zugehörige Dienstkonto gebunden. Bei Anfragen, die den API-Schlüssel zum Aufrufen von Verzeichnisaktualisierungen verwenden, werden die Berechtigungen des Dienstkontos verwendet. Wenn die Verbindung gelöscht wird, werden auch das Dienstkonto und alle zugehörigen API-Schlüssel gelöscht.

Weitere Informationen zu Inbound-SCIM-API-Schlüsseln:

  • Da die API-Schlüssel und Dienstkonten in der Google Workspace-Admin-Konsole verwaltet werden, werden sie nicht in der Google Cloud-Admin-Konsole angezeigt.
  • Die API-Schlüssel können nur für den Cloud Identity SCIM API-Endpunkt verwendet werden.

Administratoren sollten außerdem beachten, dass Workspace-Administratorkonten manuell synchronisiert werden müssen. Dienstkonten, die mit eingehenden SCIM-Verbindungen verknüpft sind, sind nicht berechtigt, Administratorkonten zu verwalten.

Wie funktioniert das Sperren synchronisierter Gruppen?

Wenn Sie eine neue eingehende SCIM-Verbindung erstellen, ist die Einstellung Synchronisierte Gruppen sperren standardmäßig aktiviert. So wird die Konsistenz zwischen Identitätsanbietern gewahrt, da Nutzer keine Änderungen an Ihrem Verzeichnis vornehmen können.

  • Erstmalige Verarbeitung:Wenn eine Gruppe zum ersten Mal über eine SCIM-Anfrage erstellt oder aktualisiert wird, wird die Einstellung Synchronisierte Gruppen sperren aus Ihrer Verbindung angewendet. Anschließend wird die Gruppe als verarbeitet markiert.
  • Manuelle Entsperrungen:Wenn ein Administrator eine verarbeitete Gruppe manuell entsperrt, wird sie durch SCIM-Updates nicht wieder gesperrt. Die Überschreibung bleibt bestehen, bis Ihre SCIM-Verbindungseinstellungen aktualisiert werden.
  • Verbindungseinstellungen ändern:Wenn Sie die Einstellung Synchronisierte Gruppen sperren für Ihre SCIM-Verbindung aktualisieren, wird die neue Einstellung bei der nächsten SCIM-Anfrage auf die zugehörigen Gruppen angewendet.

Weitere Informationen zum Sperren von Gruppen, um Daten synchron zu halten

Hinweis

Bevor Sie eingehendes SCIM verwenden können, benötigen Sie Folgendes:

Wenn Sie Hilfe bei der Verwaltung von eingehenden SCIM-Verbindungen benötigen, können Sie einem anderen Administrator in der Admin-Konsole die Berechtigung Verwaltung der Einstellungen für die eingehende SCIM-Verzeichnissynchronisierung erteilen. Wenn ein anderer Administrator die Einstellungen zwar ansehen, aber nicht ändern können soll, können Sie ihm die Berechtigung Lesen der SCIM-Directory Sync-Einstellungen für eingehende Daten zuweisen.

Inbound SCIM einrichten

  1. Öffnen Sie in der Admin-Konsole im Menü  und dann Verzeichnis und dann Externe Verzeichnisse.

    Hierfür ist die Berechtigung Verwaltung der Einstellungen für die eingehende SCIM-Verzeichnissynchronisierung erforderlich.

  2. Klicken Sie auf Inbound SCIM einrichten, wenn Sie noch keine anderen Synchronisierungen eingerichtet haben. Wenn Sie Directory Sync bereits konfiguriert haben, öffnen Sie den Tab Inbound SCIM und wählen Sie SCIM-Connector hinzufügen aus.

  3. Geben Sie einen Verbindungsnamen für diese Synchronisierung ein.

    Hinweis:Wählen Sie einen kurzen, aussagekräftigen Namen. Die ersten 18 Zeichen des Namens (ohne Leerzeichen) bilden die E-Mail-Adresse für das Dienstkonto, das für diese SCIM-Verbindung erstellt wird.

  4. Kopieren Sie die SCIM-Endpunkt-URL und speichern Sie sie. Fügen Sie diese URL Ihrem externen Identitätsanbieter hinzu, um eine Verbindung herzustellen.

  5. Die Einstellung Synchronisierte Gruppen sperren ist standardmäßig aktiviert. Wenn Sie diese Einstellung aktivieren, wird die Konsistenz zwischen Identitätsanbietern gewahrt.

  6. Klicken Sie auf Speichern und fortfahren.

  7. Klicken Sie auf API-Schlüssel generieren.

  8. In einem Pop-up wird ein generierter API-Schlüssel angezeigt. Kopieren Sie ihn und fügen Sie ihn an einer Stelle ein, auf die Sie wieder zugreifen können. Klicken Sie dann auf In Zwischenablage kopieren und schließen.

    Hinweis: Nachdem Sie das Dialogfeld geschlossen haben, können Sie den Schlüssel nicht mehr aufrufen. Sie können bis zu zwei Schlüssel generieren und sie löschen und neu generieren, wenn Sie neue benötigen.

  9. Verwenden Sie den API-Schlüssel in Ihrem externen IdP oder einem anderen SCIM-Client als Bearer-Token, um SCIM API-Anfragen zu autorisieren.

  10. Wenn Sie zur Seite „Externe Verzeichnisse“ zurückkehren, können Sie Ihre Directory Sync- oder Inbound SCIM-Verbindungen prüfen.


Google, Google Workspace und zugehörige Warenzeichen und Logos sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen sind Marken der jeweiligen Unternehmen.