Użyj przychodzącego SCIM, aby zsynchronizować dane użytkowników i grup z katalogu zewnętrznego z katalogiem Google Cloud. Synchronizacja odbywa się w chmurze, więc nie trzeba instalować klienta synchronizacji ani oprogramowania lokalnego. Przychodzący SCIM to idealne rozwiązanie, jeśli chcesz skonfigurować przyrostowe aktualizacje w czasie rzeczywistym, aby zachować spójność katalogów.
Co obsługuje przychodzący SCIM?
Przychodzący SCIM jest obsługiwany przez większość dostawców tożsamości i systemów informacji kadrowej (HRIS). Nasze interfejsy API mogą współpracować z dowolnym dostawcą tożsamości, systemem HRIS lub aplikacją niestandardową, które obsługują standard SCIM 2.0.
Jak działa przychodzący SCIM?
Gdy skonfigurujesz przychodzące połączenie SCIM, system automatycznie utworzy konto usługi zarządzane przez Google z rolami Administrator zarządzania użytkownikami i Administrator grup. Tworzysz też klucze interfejsu API, które są używane do uwierzytelniania konta usługi podczas synchronizacji z dostawcą tożsamości. Zsynchronizowane grupy są domyślnie zablokowane, aby zachować spójność między katalogami.
Jak działają klucze interfejsu API przychodzącego SCIM?
Klucze interfejsu API są tworzone na potrzeby połączenia SCIM i powiązane z powiązanym kontem usługi. Żądania, które używają klucza interfejsu API do wywoływania aktualizacji katalogu, korzystają z uprawnień konta usługi. Jeśli połączenie zostanie usunięte, konto usługi i wszystkie powiązane klucze interfejsu API również zostaną usunięte.
Dodatkowe informacje o kluczach interfejsu API przychodzącego SCIM:
- Klucze interfejsu API i konta usługi są zarządzane w konsoli administracyjnej Google Workspace, więc nie będą widoczne w konsoli administracyjnej Google Cloud.
- Kluczy interfejsu API można używać tylko w przypadku punktu końcowego Cloud Identity SCIM API.
Administratorzy powinni też pamiętać, że konta administratorów Workspace muszą być synchronizowane ręcznie. Konta usługi powiązane z przychodzącymi połączeniami SCIM nie mają uprawnień do zarządzania kontami administratora.
Jak działa blokowanie zsynchronizowanych grup?
Gdy tworzysz nowe połączenie przychodzące SCIM, ustawienie Zablokuj zsynchronizowane grupy jest domyślnie zaznaczone. Pomaga zachować spójność między dostawcami tożsamości, uniemożliwiając użytkownikom wprowadzanie zmian w katalogu.
- Przetwarzanie po raz pierwszy: gdy grupa jest tworzona lub aktualizowana po raz pierwszy za pomocą żądania SCIM, stosowane jest ustawienie Zablokuj zsynchronizowane grupy z połączenia. Gdy to nastąpi, grupa zostanie oznaczona jako przetworzona.
- Ręczne odblokowywanie: jeśli administrator ręcznie odblokuje przetworzoną grupę, aktualizacje SCIM nie spowodują jej ponownego zablokowania. Zastąpienie pozostanie aktywne, dopóki nie zaktualizujesz ustawień połączenia SCIM.
- Zmiana ustawień połączenia: jeśli zaktualizujesz ustawienie Blokuj zsynchronizowane grupy dla połączenia SCIM, nowe ustawienie zostanie zastosowane do powiązanych grup przy następnym żądaniu SCIM.
Dowiedz się więcej o blokowaniu grup w celu zachowania synchronizacji danych.
Zanim zaczniesz
Zanim użyjesz przychodzącego SCIM, musisz mieć:
- Konto Google Cloud lub Cloud Identity z rolą superadministratora lub rolą niestandardową z uprawnieniem Zarządzanie ustawieniami ruchu przychodzącego SCIM w Directory Sync w konsoli administracyjnej Google. Szczegółowe informacje znajdziesz w artykule Gotowe role administratora.
- zasób organizacji Google Cloud, Dowiedz się, jak uzyskać zasób organizacji
Jeśli potrzebujesz pomocy w zarządzaniu połączeniami przychodzącymi SCIM, możesz przyznać innemu administratorowi uprawnienie Zarządzanie ustawieniami ruchu przychodzącego SCIM w Directory Sync w konsoli administracyjnej. Jeśli chcesz, aby inny administrator mógł wyświetlać ustawienia, ale nie mógł ich zmieniać, możesz mu przyznać uprawnienia Odczyt ustawień ruchu przychodzącego SCIM w Directory Sync.
Konfigurowanie przychodzącego SCIM
-
W konsoli administracyjnej Google otwórz Menu
Katalog
Katalogi zewnętrzne.
Wymaga uprawnień do zarządzania ustawieniami ruchu przychodzącego SCIM w Directory Sync.
- Jeśli nie masz skonfigurowanych żadnych innych synchronizacji, kliknij Skonfiguruj przychodzący SCIM. Jeśli masz już skonfigurowaną usługę Directory Sync, otwórz kartę Przychodzące SCIM i wybierz Dodaj oprogramowanie sprzęgające SCIM.
Dodaj nazwę połączenia dla tej synchronizacji.
Uwaga: wybierz krótką, opisową nazwę. Pierwsze 18 znaków nazwy (bez spacji) tworzy adres e-mail konta usługi utworzonego na potrzeby tego połączenia SCIM.
Skopiuj adres URL punktu końcowego SCIM i zapisz go. Dodaj go do zewnętrznego dostawcy tożsamości, aby się połączyć.
Ustawienie Blokuj zsynchronizowane grupy jest domyślnie zaznaczone. Włączenie tego ustawienia pozwala zachować spójność między dostawcami tożsamości.
Kliknij Zapisz i kontynuuj.
Kliknij Wygeneruj klucz interfejsu API.
Pojawi się wyskakujące okienko z wygenerowanym kluczem interfejsu API. Skopiuj go i wklej w miejscu, do którego masz dostęp. Następnie kliknij Skopiuj do schowka i zamknij.
Uwaga: po zamknięciu okna nie będzie można ponownie wyświetlić klucza. Możesz wygenerować maksymalnie 2 klucze, a jeśli potrzebujesz nowych, możesz je usunąć i wygenerować ponownie.
W zewnętrznym dostawcy tożsamości lub innym kliencie SCIM użyj klucza interfejsu API jako tokena na okaziciela, aby autoryzować żądania do interfejsu SCIM API.
Gdy wrócisz na stronę Katalogi zewnętrzne, możesz sprawdzić połączenia Directory Sync lub przychodzące SCIM.
Powiązane artykuły
Google, Google Workspace oraz powiązane znaki i logotypy są znakami towarowymi firmy Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi należącymi do ich właścicieli.