Usa SCIM entrante para sincronizar los datos de usuarios y grupos de un directorio externo con tu directorio de Google Cloud. El proceso de sincronización se lleva a cabo en la nube, por lo que no es necesario instalar un cliente de sincronización ni software local. El SCIM entrante es ideal si deseas configurar actualizaciones incrementales en tiempo real para mantener la coherencia de tus directorios.
¿Qué admite SCIM entrante?
La mayoría de los proveedores de identidad (IdP) y los sistemas de información de recursos humanos (HRIS) admiten SCIM entrante. Nuestras APIs pueden funcionar con cualquier IdP, HRIS o aplicación personalizada que admita el estándar SCIM 2.0.
¿Cómo funciona SCIM entrante?
Cuando configuras una conexión de SCIM entrante, el sistema crea automáticamente una cuenta de servicio administrada por Google con los roles de Administrador de administración de usuarios y Administrador de grupos. También creas claves de API que se usan para autenticar la cuenta de servicio cuando se realiza la sincronización desde tu IdP. Tus grupos sincronizados están bloqueados de forma predeterminada para ayudar a mantener la coherencia entre tus directorios.
¿Cómo funcionan las claves de API de SCIM entrantes?
Las claves de API se crean para la conexión de SCIM y se vinculan a la cuenta de servicio asociada. Las solicitudes que usan la clave de API para solicitar actualizaciones del directorio usan los permisos de la cuenta de servicio. Si se borra la conexión, también se borrarán la cuenta de servicio y las claves de API asociadas.
Información adicional sobre las claves de API de SCIM entrante:
- Dado que las claves de API y las cuentas de servicio se administran en la Consola del administrador de Google Workspace, no aparecerán en la Consola del administrador de Google Cloud.
- Las claves de API solo se pueden usar para el extremo de la API de SCIM de Cloud Identity.
Los administradores también deben tener en cuenta que las cuentas de administrador de Workspace se deben sincronizar de forma manual. Las cuentas de servicio asociadas con las conexiones de SCIM entrantes no tienen permiso para administrar cuentas de administrador.
¿Cómo funciona el bloqueo de grupos sincronizados?
Cuando creas una conexión SCIM entrante nueva, el parámetro de configuración Lock synced groups está marcado de forma predeterminada. Ayuda a mantener la coherencia entre los proveedores de identidad, ya que evita que los usuarios realicen cambios en tu directorio.
- Procesamiento por primera vez: Cuando se crea o actualiza un grupo por primera vez con una solicitud de SCIM, se aplica el parámetro de configuración Lock synced groups de tu conexión. Una vez que esto sucede, el grupo se marca como procesado.
- Desbloqueos manuales: Si un administrador desbloquea manualmente un grupo procesado, las actualizaciones de SCIM no lo volverán a bloquear. La anulación permanecerá hasta que se actualice la configuración de conexión de SCIM.
- Cambio de la configuración de conexión: Si actualizas el parámetro de configuración Bloquear grupos sincronizados para tu conexión de SCIM, el nuevo parámetro se aplicará a los grupos asociados en la próxima solicitud de SCIM.
Obtén más información para bloquear grupos y mantener los datos sincronizados.
Antes de comenzar
Antes de usar SCIM entrante, debes tener lo siguiente:
- Una cuenta de Google Cloud o Cloud Identity con el rol de administrador avanzado o un rol personalizado con el privilegio de administración de la configuración de sincronización de directorios de SCIM entrante en la Consola del administrador de Google Para obtener más información, consulta Roles de administrador prediseñados.
- Es un recurso de organización de Google Cloud. Obtén más información para obtener un recurso de organización.
Si quieres ayuda para administrar las conexiones de SCIM entrante, puedes otorgarle a otro administrador el privilegio de Administración de la configuración de SCIM entrante de Directory Sync en la Consola del administrador. Si necesitas que otro administrador pueda ver la configuración, pero no actualizarla, puedes otorgarle el privilegio de lectura de la configuración de SCIM entrante de Directory Sync.
Configura SCIM entrante
-
En la Consola del administrador de Google, ve a Menú
Directorio
Directorios externos.
Es necesario tener el privilegio de administración de la configuración de SCIM entrante de Directory Sync.
- Haz clic en Configurar SCIM entrante si no configuraste ninguna otra sincronización. Si ya configuraste Directory Sync, abre la pestaña SCIM entrante y selecciona Agregar conector de SCIM.
Agrega un Nombre de conexión para esta sincronización.
Nota: Elige un nombre corto y descriptivo. Los primeros 18 caracteres del nombre, sin incluir espacios, forman la dirección de correo electrónico de la cuenta de servicio creada para esta conexión de SCIM.
Copia la URL del extremo de SCIM y guárdala. Agrega esto a tu proveedor de identidad externo para conectarte.
El parámetro de configuración Bloquear los grupos sincronizados está marcado de forma predeterminada. Habilitar este parámetro de configuración mantiene la coherencia entre los proveedores de identidad.
Haz clic en Guardar y continuar.
Haz clic en Generar clave de API.
En una ventana emergente, se muestra una clave de API generada. Cópiala y pégala en un lugar al que puedas acceder de nuevo. Luego, haz clic en Copiar en el portapapeles y cerrar.
Nota: Una vez que cierres el diálogo, no podrás volver a ver la clave. Puedes generar hasta dos claves, y borrarlas y volver a generarlas si necesitas nuevas.
En tu IdP externo o en otro cliente de SCIM, usa la clave de API como token de portador para autorizar las solicitudes a la API de SCIM.
Cuando vuelvas a la página Directorios externos, podrás revisar tus conexiones de Directory Sync o SCIM entrante.
Temas relacionados
Google, Google Workspace y las marcas y los logotipos relacionados son marcas comerciales de Google LLC. Todos los demás nombres de productos y empresas son marcas comerciales de las empresas con las que se encuentran asociados.