您可以使用傳入 SCIM，將使用者和群組資料從外部目錄同步到 Google 雲端目錄。同步處理程序是在雲端進行，因此無須安裝同步處理用戶端或地端部署軟體。如果您想設定即時遞增更新，確保目錄保持一致，建議使用 Inbound SCIM。
Inbound SCIM 支援哪些功能？
大多數識別資訊提供者 (IdP) 和人力資源資訊系統 (HRIS) 都支援傳入 SCIM。我們的 API 可與任何支援 SCIM 2.0 標準的 IdP、HRIS 或自訂應用程式搭配使用。
傳入 SCIM 如何運作？
設定 Inbound SCIM 連線時，系統會自動建立 Google 代管的服務帳戶，並指派使用者管理員和群組管理員角色。您也會建立 API 金鑰，用於在從 IdP 同步處理時驗證服務帳戶。同步處理的群組預設為鎖定狀態，確保目錄之間的一致性。
Inbound SCIM API 金鑰的運作方式
系統會為 SCIM 連線建立 API 金鑰，並繫結至相關聯的服務帳戶。使用 API 金鑰呼叫目錄更新的要求，會使用服務帳戶的權限。如果刪除連線，服務帳戶和任何相關聯的 API 金鑰也會一併刪除。
關於 Inbound SCIM API 金鑰的其他須知事項：
- API 金鑰和服務帳戶是在 Google Workspace 管理控制台中管理，因此不會顯示在 Google Cloud 管理控制台中。
- API 金鑰只能用於 Cloud Identity SCIM API 端點。
管理員也應注意，Workspace 管理員帳戶必須手動同步。與傳入 SCIM 連線相關聯的服務帳戶，沒有管理員帳戶的管理權限。
鎖定同步群組的運作方式為何？
建立新的 Inbound SCIM 連線時，系統預設會勾選「鎖定已同步的群組」設定。這項設定可防止使用者變更目錄，確保各識別資訊提供者之間的資料一致。
- 首次處理：首次使用 SCIM 要求建立或更新群組時，系統會套用連線中的「鎖定已同步處理的群組」設定。完成後，群組會標示為已處理。
- 手動解鎖：如果管理員手動解鎖已處理的群組，SCIM 更新不會重新鎖定該群組。在您更新 SCIM 連線設定前，覆寫設定會維持不變。
- 變更連線設定：如果您更新 SCIM 連線的「鎖定已同步的群組」設定，系統會在下次 SCIM 要求時，將新設定套用至相關聯的群組。
進一步瞭解如何鎖定群組以確保資料同步。
事前準備
使用傳入 SCIM 前，您必須具備：
- 具備超級管理員角色的 Google Cloud 或 Cloud Identity 帳戶，或是在 Google 管理控制台中具備「管理傳入資料的 SCIM Directory Sync 設定」權限的自訂角色。詳情請參閱「預先建立的管理員角色」。
- Google Cloud 機構資源。瞭解如何取得組織資源。
如果您希望有人協助管理傳入 SCIM 連線，可以在管理控制台中，將「管理傳入資料的 SCIM Directory Sync 設定」權限授予其他管理員。如要讓其他管理員可以查看設定，但不授予更新設定的權限，可以將「讀取 Inbound SCIM Directory Sync 設定」權限授予其他管理員。
設定 Inbound SCIM
-
在 Google 管理控制台中，依序點選「選單」圖示
「目錄」
「外部目錄」。
- 如果您尚未設定其他同步作業，請按一下「設定傳入 SCIM」。如果您已設定目錄同步，請開啟「Inbound SCIM」分頁，然後選取「新增 SCIM 連接器」。
新增這項同步作業的連線名稱。
注意：請選擇簡短、具描述性的名稱。名稱的前 18 個字元 (不含空格) 會用於為這個 SCIM 連線建立的服務帳戶電子郵件地址。
複製並儲存 SCIM 端點網址。將這個網址新增至外部身分提供者，即可連線。
系統預設會勾選「鎖定同步處理的群組」設定。啟用這項設定可確保各識別資訊提供者之間的資料一致。
點選「儲存並繼續」。
按一下「產生 API 金鑰」。
彈出式視窗會顯示產生的 API 金鑰。複製並貼到可再次存取的位置。然後按一下「複製到剪貼簿並關閉」。
注意：關閉對話方塊後，就無法再次查看金鑰。最多可以產生兩組金鑰，如果需要新的金鑰，可以刪除並重新產生。
在外部 IDP 或其他 SCIM 用戶端中，使用 API 金鑰做為不記名權杖，授權 SCIM API 要求。
返回「外部目錄」頁面後，您可以查看 Directory Sync 或傳入 SCIM 連線。
相關主題
Google、Google Workspace 和其他相關符號及標誌均為 Google LLC 的商標。所有其他公司名稱和產品名稱則為相關公司的商標。