Erste Schritte mit Inbound SCIM

Mit Inbound SCIM können Sie Nutzer- und Gruppendaten aus einem externen Verzeichnis mit Ihrem Google Cloud-Verzeichnis synchronisieren. Die Synchronisierung findet in der Cloud statt, sodass Sie keinen Synchronisierungsclient oder lokale Software installieren müssen. Inbound-SCIM ist ideal, wenn Sie inkrementelle Echtzeit-Updates einrichten möchten, um Ihre Verzeichnisse konsistent zu halten.

Was wird von Inbound SCIM unterstützt?

Eingehender SCIM wird von den meisten Identitätsanbietern (IdPs) und Personalverwaltungssystemen (HRIS) unterstützt. Unsere APIs sind mit jedem IdP, HRIS oder jeder benutzerdefinierten Anwendung kompatibel, die den SCIM 2.0-Standard unterstützt.

Wie funktioniert Inbound SCIM?

Wenn Sie eine eingehende SCIM-Verbindung einrichten, wird automatisch ein von Google verwaltetes Dienstkonto mit den Rollen Administrator für Nutzerverwaltung und Administrator für Gruppen erstellt. Außerdem erstellen Sie API-Schlüssel, mit denen das Dienstkonto bei der Synchronisierung von Ihrem IdP authentifiziert wird. Ihre synchronisierten Gruppen sind standardmäßig gesperrt, um die Konsistenz zwischen Ihren Verzeichnissen zu gewährleisten.

Wie funktionieren Inbound-SCIM-API-Schlüssel?

API-Schlüssel werden für die SCIM-Verbindung erstellt und an das zugehörige Dienstkonto gebunden. Für Anfragen, bei denen der API-Schlüssel zum Aufrufen von Verzeichnisaktualisierungen verwendet wird, werden die Berechtigungen des Dienstkontos verwendet. Wenn die Verbindung gelöscht wird, werden auch das Dienstkonto und alle zugehörigen API-Schlüssel gelöscht.

Weitere Informationen zu Inbound-SCIM-API-Schlüsseln:

  • Da die API-Schlüssel und Dienstkonten in der Google Workspace Admin-Konsole verwaltet werden, werden sie nicht in Ihrer Google Cloud Admin-Konsole angezeigt.
  • Die API-Schlüssel können nur für den Cloud Identity SCIM API-Endpunkt verwendet werden.

Administratoren sollten außerdem beachten, dass Workspace-Administratorkonten manuell synchronisiert werden müssen. Dienstkonten, die mit eingehenden SCIM-Verbindungen verknüpft sind, haben keine Berechtigung zum Verwalten von Administratorkonten.

Wie funktioniert das Sperren synchronisierter Gruppen?

Wenn Sie eine neue eingehende SCIM-Verbindung erstellen, ist die Einstellung Synchronisierte Gruppen sperren standardmäßig aktiviert. So wird die Konsistenz zwischen Identitätsanbietern aufrechterhalten, da Nutzer keine Änderungen an Ihrem Verzeichnis vornehmen können.

  • Erstmalige Verarbeitung:Wenn eine Gruppe zum ersten Mal über eine SCIM-Anfrage erstellt oder aktualisiert wird, wird die Einstellung Synchronisierte Gruppen sperren aus Ihrer Verbindung angewendet. Sobald dies geschieht, wird die Gruppe als verarbeitet markiert.
  • Manuelle Entsperrungen:Wenn ein Administrator eine verarbeitete Gruppe manuell entsperrt, wird sie durch SCIM-Updates nicht wieder gesperrt. Die Überschreibung bleibt bestehen, bis Ihre SCIM-Verbindungseinstellungen aktualisiert werden.
  • Verbindungseinstellungen ändern:Wenn Sie die Einstellung Synchronisierte Gruppen sperren für Ihre SCIM-Verbindung aktualisieren, wird die neue Einstellung bei der nächsten SCIM-Anfrage auf die zugehörigen Gruppen angewendet.

Weitere Informationen zum Sperren von Gruppen, um Daten synchron zu halten

Hinweis

Bevor Sie eingehendes SCIM verwenden können, benötigen Sie Folgendes:

Wenn Sie Hilfe bei der Verwaltung von eingehenden SCIM-Verbindungen benötigen, können Sie einem anderen Administrator in der Admin-Konsole die Berechtigung Verwaltung der Einstellungen für die eingehende SCIM-Verzeichnissynchronisierung erteilen. Wenn ein anderer Administrator die Einstellungen ansehen, aber nicht aktualisieren soll, können Sie ihm die Berechtigung Lesen der SCIM-Directory Sync-Einstellungen für eingehende Daten zuweisen.

Inbound SCIM einrichten

  1. Öffnen Sie in der Admin-Konsole das Dreistrich-Menü  und dann Verzeichnis und dann Externe Verzeichnisse.

    Hierfür ist die Berechtigung „Verwaltung der Einstellungen für die eingehende SCIM-Verzeichnissynchronisierung“ erforderlich.

  2. Klicken Sie auf Eingehende SCIM-Synchronisierung einrichten, wenn Sie noch keine anderen Synchronisierungen eingerichtet haben. Wenn Sie die Verzeichnissynchronisierung bereits konfiguriert haben, öffnen Sie den Tab Inbound SCIM und wählen Sie SCIM-Connector hinzufügen aus.

  3. Geben Sie einen Verbindungsnamen für diese Synchronisierung ein.

    Hinweis:Wählen Sie einen kurzen, aussagekräftigen Namen. Die ersten 18 Zeichen des Namens (ohne Leerzeichen) bilden die E-Mail-Adresse für das Dienstkonto, das für diese SCIM-Verbindung erstellt wurde.

  4. Kopieren Sie die SCIM-Endpunkt-URL und speichern Sie sie. Fügen Sie dies Ihrem externen Identitätsanbieter hinzu, um eine Verbindung herzustellen.

  5. Die Einstellung Synchronisierte Gruppen sperren ist standardmäßig aktiviert. Wenn Sie diese Einstellung aktivieren, wird die Konsistenz zwischen Identitätsanbietern aufrechterhalten.

  6. Klicken Sie auf Speichern und fortfahren.

  7. Klicken Sie auf API-Schlüssel generieren.

  8. In einem Pop-up-Fenster wird ein generierter API-Schlüssel angezeigt. Kopieren Sie ihn und fügen Sie ihn an einer Stelle ein, an der Sie wieder darauf zugreifen können. Klicken Sie dann auf In Zwischenablage kopieren und schließen.

    Hinweis:Nachdem Sie das Dialogfeld geschlossen haben, können Sie den Schlüssel nicht noch einmal aufrufen. Sie können bis zu zwei Schlüssel generieren und sie löschen und neu generieren, wenn Sie neue benötigen.

  9. Verwenden Sie im externen IdP oder einem anderen SCIM-Client den API-Schlüssel als Bearer-Token, um SCIM API-Anfragen zu autorisieren.

  10. Wenn Sie zur Seite „Externe Verzeichnisse“ zurückkehren, können Sie Ihre Directory Sync- oder Inbound SCIM-Verbindungen überprüfen.


Google, Google Workspace und zugehörige Warenzeichen und Logos sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen sind Marken der jeweiligen Unternehmen.