Gebruik inkomende SCIM om gebruikers- en groepsgegevens te synchroniseren vanuit een externe directory naar uw Google Cloud-directory. Het synchronisatieproces vindt plaats in de cloud. U hoeft dus geen synchronisatieclient of software op locatie te installeren. Inkomende SCIM is ideaal als u incrementele, realtime updates wilt instellen om uw directory's consistent te houden.
Wat wordt ondersteund door inkomende SCIM?
Inkomende SCIM wordt ondersteund door de meeste identiteitsproviders (IdP's) en personeelsinformatiesystemen (HRIS). Onze API's werken met elke IdP, HRIS of aangepaste app die de SCIM 2.0-standaard ondersteunt.
Hoe werkt inkomende SCIM?
Als u een inkomende SCIM-verbinding instelt, maakt het systeem automatisch een door Google beheerd serviceaccount met de rollen Beheerder voor gebruikersbeheer en Groepsbeheerder. U maakt ook API-sleutels die worden gebruikt om het serviceaccount te verifiëren wanneer u synchroniseert vanuit uw IdP. Je gesynchroniseerde groepen zijn standaard vergrendeld om de consistentie tussen je directory's te behouden.
Hoe werken API-sleutels voor inkomende SCIM?
Er worden API-sleutels gemaakt voor de SCIM-verbinding en deze worden gekoppeld aan het bijbehorende serviceaccount. Verzoeken die de API-sleutel gebruiken om directory-updates aan te vragen, gebruiken de rechten van het serviceaccount. Als de koppeling wordt verwijderd, worden het serviceaccount en de bijbehorende API-sleutels ook verwijderd.
Aanvullende informatie over API-sleutels voor inkomende SCIM:
- Omdat de API-sleutels en serviceaccounts worden beheerd in de Google Workspace Beheerdersconsole, verschijnen ze niet in de Google Cloud Beheerdersconsole.
- De API-sleutels kunnen alleen worden gebruikt voor het Cloud Identity SCIM API-eindpunt.
Beheerders moeten er ook rekening mee houden dat Workspace-beheerdersaccounts handmatig moeten worden gesynchroniseerd. Serviceaccounts die zijn gekoppeld aan inkomende SCIM-verbindingen, hebben geen rechten om beheerdersaccounts te beheren.
Hoe werkt het vergrendelen van gesynchroniseerde groepen?
Als u een nieuwe inkomende SCIM-verbinding maakt, is de instelling Gesynchroniseerde groepen vergrendelen standaard aangevinkt. Zo blijft de consistentie tussen identiteitsproviders behouden, omdat gebruikers geen wijzigingen kunnen aanbrengen in uw directory.
- Eerste verwerking: Als een groep voor het eerst wordt gemaakt of geüpdatet met een SCIM-verzoek, wordt de instelling Gesynchroniseerde groepen vergrendelen van je koppeling toegepast. Zodra dit is gebeurd, wordt de groep gemarkeerd als verwerkt.
- Handmatige ontgrendelingen: Als een beheerder een verwerkte groep handmatig ontgrendelt, wordt deze niet opnieuw vergrendeld door SCIM-updates. De overschrijving blijft van kracht totdat je de instellingen van je SCIM-verbinding updatet.
- Verbindingsinstellingen wijzigen: Als u de instelling Gesynchroniseerde groepen vergrendelen updatet voor uw SCIM-verbinding, wordt de nieuwe instelling toegepast op gekoppelde groepen bij het volgende SCIM-verzoek.
Meer informatie over hoe u groepen vergrendelt om gegevens gesynchroniseerd te houden.
Voordat u begint
Voordat u inkomende SCIM gebruikt, heeft u het volgende nodig:
- Een Google Cloud- of Cloud Identity-account met de rol van hoofdbeheerder of een aangepaste rol met het recht Inbound SCIM Directory Sync Settings Management (Beheer van instellingen voor inkomende SCIM Directory Sync) in de Google Beheerdersconsole. Ga naar Vooraf ingestelde beheerdersrollen voor meer informatie.
- Een Google Cloud-organisatieresource. Meer informatie over hoe je een organisatieresource krijgt.
Als u hulp wilt bij het beheer van inkomende SCIM-verbindingen, kunt u een andere beheerder het recht Beheer van instellingen voor inkomende SCIM Directory Sync geven in de Beheerdersconsole. Als u wilt dat een andere beheerder instellingen kan bekijken, maar niet kan updaten, kunt u de beheerder het recht Instellingen voor inkomende SCIM Directory Sync lezen geven.
Inkomende SCIM instellen
-
Ga in de Google Beheerdersconsole naar Menu
Directory
Externe directory's.
Hiervoor is het recht Inbound SCIM Directory Sync Settings Management vereist.
- Klik op Inkomende SCIM instellen als u nog geen andere synchronisaties heeft ingesteld. Als u Directory Sync al heeft ingesteld, opent u het tabblad Inkomende SCIM en selecteert u SCIM-connector toevoegen.
Voeg een verbindingsnaam toe voor deze synchronisatie.
Opmerking: Kies een korte, beschrijvende naam. De eerste 18 tekens van de naam (zonder spaties) vormen het e-mailadres voor het serviceaccount dat is gemaakt voor deze SCIM-verbinding.
Kopieer de URL van uw SCIM-eindpunt en sla deze op. Voeg dit toe aan uw externe identiteitsprovider om deze te koppelen.
De instelling Gesynchroniseerde groepen vergrendelen is standaard aangevinkt. Als u deze instelling aanzet, blijft de consistentie tussen identiteitsproviders behouden.
Klik op Opslaan en doorgaan.
Klik op API-sleutel genereren.
In een pop-up wordt een gegenereerde API-sleutel getoond. Kopieer en plak de code ergens waar je er weer toegang toe hebt. Klik daarna op Kopiëren naar klembord en sluiten.
Opmerking: Nadat u het dialoogvenster heeft gesloten, kunt u de sleutel niet meer bekijken. U kunt maximaal 2 sleutels genereren. Als u nieuwe sleutels nodig heeft, kunt u de bestaande sleutels verwijderen en opnieuw genereren.
Gebruik in uw externe IdP of andere SCIM-client de API-sleutel als dragertoken om SCIM API-verzoeken te autoriseren.
Als je teruggaat naar de pagina Externe directory's, kun je je Cloud Directory Sync- of inkomende SCIM-verbindingen controleren.
Gerelateerde onderwerpen
Google, Google Workspace en gerelateerde merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waarmee ze in verband worden gebracht.