Começar a usar o SCIM de entrada

Use o SCIM de entrada para sincronizar dados de usuários e grupos de um diretório externo com o diretório do Google Cloud. O processo de sincronização ocorre na nuvem. Por isso, não é necessário instalar clientes de sincronização ou softwares no local. O SCIM de entrada é ideal para configurar atualizações incrementais em tempo real e manter a consistência dos diretórios.

O que o SCIM de entrada aceita?

O SCIM de entrada é compatível com a maioria dos provedores de identidade (IdPs) e sistemas de informações de recursos humanos (HRIS). Nossas APIs funcionam com qualquer IdP, HRIS ou aplicativo personalizado que seja compatível com o padrão SCIM 2.0.

Como funciona o SCIM de entrada?

Quando você configura uma conexão SCIM de entrada, o sistema cria automaticamente uma conta de serviço gerenciada pelo Google com as funções de administrador de gerenciamento de usuários e administrador de grupos. Você também cria chaves de API que são usadas para autenticar a conta de serviço ao sincronizar com o IdP. Os grupos sincronizados são bloqueados por padrão para manter a consistência entre os diretórios.

Como funcionam as chaves de API SCIM de entrada?

As chaves de API são criadas para a conexão do SCIM e vinculadas à conta de serviço associada. As solicitações que usam a chave de API para chamar atualizações de diretório usam as permissões da conta de serviço. Se a conexão for excluída, a conta de serviço e as chaves de API associadas também serão excluídas.

Outras informações sobre as chaves de API do SCIM de entrada:

  • Como as chaves de API e as contas de serviço são gerenciadas no Admin Console do Google Workspace, elas não aparecem no Admin Console do Google Cloud.
  • As chaves de API só podem ser usadas para o endpoint de API Cloud Identity SCIM.

Os administradores também precisam saber que as contas de administrador do Workspace precisam ser sincronizadas manualmente. As contas de serviço associadas a conexões SCIM de entrada não têm permissão para gerenciar contas de administrador.

Como funciona o bloqueio de grupos sincronizados?

Quando você cria uma nova conexão de SCIM de entrada, a configuração Bloquear grupos sincronizados fica marcada por padrão. Ele ajuda a manter a consistência entre os provedores de identidade, impedindo que os usuários façam mudanças no seu diretório.

  • Primeiro processamento:quando um grupo é criado ou atualizado pela primeira vez usando uma solicitação SCIM, a configuração Bloquear grupos sincronizados da sua conexão é aplicada. Depois disso, o grupo é marcado como processado.
  • Desbloqueios manuais:se um administrador desbloquear manualmente um grupo processado, as atualizações do SCIM não vão bloqueá-lo novamente. A substituição permanece até que as configurações de conexão do SCIM sejam atualizadas.
  • Mudar as configurações de conexão:se você atualizar a configuração Bloquear grupos sincronizados da sua conexão do SCIM, a nova configuração será aplicada aos grupos associados na próxima solicitação do SCIM.

Saiba mais sobre como bloquear grupos para manter os dados sincronizados.

Antes de começar

Antes de usar o SCIM de entrada, você precisa ter:

Se você precisar de ajuda para gerenciar as conexões do SCIM de entrada, conceda a outro administrador o privilégio Gerenciar as configurações do Directory Sync do tipo SCIM de entrada no Admin Console. Se você precisar que outro administrador possa ver, mas não atualizar as configurações, conceda a ele o privilégio Leitura das configurações do Directory Sync do tipo SCIM de entrada.

Configurar o SCIM de entrada

  1. No Google Admin Console, acesse Menu e depois Diretório e depois Diretórios externos.

    Exige o privilégio de gerenciamento das configurações do Directory Sync do tipo SCIM de entrada.

  2. Clique em Configurar o SCIM de entrada se você não tiver configurado outras sincronizações. Se você já configurou o Directory Sync, abra a guia SCIM de entrada e selecione Adicionar conector SCIM.

  3. Adicione um Nome da conexão para essa sincronização.

    Observação:escolha um nome curto e descritivo. Os primeiros 18 caracteres do nome, sem incluir espaços, formam o endereço de e-mail da conta de serviço criada para essa conexão SCIM.

  4. Copie e salve o URL do endpoint SCIM. Adicione isso ao seu provedor de identidade externo para se conectar.

  5. A configuração Bloquear grupos sincronizados fica marcada por padrão. A ativação dessa configuração mantém a consistência entre os provedores de identidade.

  6. Clique em Salvar e continuar.

  7. Clique em Gerar chave de API.

  8. Um pop-up vai mostrar uma chave de API gerada. Copie e cole em um local que você possa acessar novamente. Em seguida, clique em Copiar para a área de transferência e fechar.

    Observação:depois de fechar a caixa de diálogo, não será possível ver a chave novamente. Você pode gerar até duas chaves, além de excluir e gerar novas, se necessário.

  9. No seu IdP externo ou em outro cliente SCIM, use a chave de API como um token do portador para autorizar solicitações de API SCIM.

  10. Ao voltar para a página "Diretórios externos", você pode revisar as conexões do Directory Sync ou do SCIM de entrada.


Google, Google Workspace e marcas e logotipos relacionados são marcas registradas da Google LLC. Todos os outros nomes de empresas e produtos são marcas registradas das empresas às quais estão associados.