Usa SCIM entrante para sincronizar los datos de usuarios y grupos de un directorio externo con tu directorio de Google Cloud. El proceso de sincronización se lleva a cabo en la nube, por lo que no es necesario instalar un cliente de sincronización ni software local. SCIM entrante es ideal si deseas configurar actualizaciones incrementales en tiempo real para mantener la coherencia de tus directorios.
¿Qué admite SCIM entrante?
SCIM entrante es compatible con la mayoría de los proveedores de identidad (IdP) y los sistemas de información de recursos humanos (HRIS). Nuestras APIs pueden funcionar con cualquier IdP, HRIS o aplicación personalizada que admita el estándar SCIM 2.0.
¿Cómo funciona SCIM entrante?
Cuando configuras una conexión de SCIM entrante, el sistema crea automáticamente una cuenta de servicio administrada por Google con los roles de Administrador de administración de usuarios y Administrador de grupos. También creas claves de API que se usan para autenticar la cuenta de servicio cuando se realiza la sincronización desde tu IdP. Tus grupos sincronizados están bloqueados de forma predeterminada para ayudar a mantener la coherencia entre tus directorios.
¿Cómo funcionan las claves de API de SCIM entrante?
Las claves de API se crean para la conexión de SCIM y se vinculan a la cuenta de servicio asociada. Las solicitudes que usan la clave de API para solicitar actualizaciones de directorio usan los permisos de la cuenta de servicio. Si se borra la conexión, también se borran la cuenta de servicio y las claves de API asociadas.
Otros aspectos que debes saber sobre las claves de API de SCIM entrante:
- Como las claves de API y las cuentas de servicio se administran en la Consola del administrador de Google Workspace, no aparecerán en tu Consola del administrador de Google Cloud.
- Las claves de API solo se pueden usar para el extremo de la API de Cloud Identity SCIM.
Los administradores también deben tener en cuenta que las cuentas de administrador de Workspace se deben sincronizar de forma manual. Las cuentas de servicio asociadas con las conexiones de SCIM entrante no tienen permiso para administrar cuentas de administrador.
¿Cómo funciona el bloqueo de grupos sincronizados?
Cuando creas una conexión de SCIM entrante nueva, la configuración Bloquear grupos sincronizados está marcada de forma predeterminada. Ayuda a mantener la coherencia entre los proveedores de identidad, ya que impide que los usuarios realicen cambios en tu directorio.
- Procesamiento por primera vez: Cuando se crea o actualiza un grupo por primera vez con una solicitud de SCIM, se aplica la configuración Bloquear grupos sincronizados de tu conexión. Una vez que esto sucede, el grupo se marca como procesado.
- Desbloqueos manuales: Si un administrador desbloquea manualmente un grupo procesado, las actualizaciones de SCIM no lo volverán a bloquear. La anulación permanecerá hasta que se actualice la configuración de la conexión de SCIM.
- Cambio de la configuración de conexión: Si actualizas la configuración Bloquear grupos sincronizados para tu conexión de SCIM, la nueva configuración se aplicará a los grupos asociados en la próxima solicitud de SCIM.
Obtén más información para bloquear grupos y mantener los datos sincronizados.
Antes de comenzar
Antes de usar SCIM entrante, debes tener lo siguiente:
- Una cuenta de Google Cloud o Cloud Identity con un rol de administrador avanzado o un rol personalizado con el privilegio Administración de la configuración de SCIM entrante de Directory Sync en la Consola del administrador de Google. Para obtener más información, consulta Roles de administrador prediseñados.
- Un recurso de organización de Google Cloud. Obtén más información para obtener un recurso de organización.
Si deseas obtener ayuda para administrar las conexiones de SCIM entrante, puedes otorgarle a otro administrador el privilegio Administración de la configuración de SCIM entrante de Directory Sync en la Consola del administrador. Si necesitas que otro administrador pueda ver la configuración, pero no actualizarla, puedes otorgarle el privilegio Lectura de la configuración de SCIM entrante de Directory Sync.
Configura SCIM entrante
-
En la Consola del administrador de Google, ve a Menú
Directorio
Directorios externos.
Es necesario tener el privilegio Administración de la configuración de SCIM entrante de Directory Sync.
- Haz clic en Configurar SCIM entrante si no configuraste ninguna otra sincronización. Si ya configuraste Directory Sync, abre la pestaña SCIM entrante y selecciona Agregar conector de SCIM.
Agrega un Nombre de conexión para esta sincronización.
Nota: Elige un nombre breve y descriptivo. Los primeros 18 caracteres del nombre, sin incluir espacios, forman la dirección de correo electrónico de la cuenta de servicio creada para esta conexión de SCIM.
Copia la URL del extremo de SCIM y guárdala. Agrega esta URL a tu proveedor de identidad externo para conectarte.
La configuración Bloquear grupos sincronizados está marcada de forma predeterminada. Si habilitas esta configuración, se mantendrá la coherencia entre los proveedores de identidad.
Haz clic en Guardar y continuar.
Haz clic en Generar clave de API.
En una ventana emergente, se muestra una clave de API generada. Cópiala y pégala en un lugar al que puedas volver a acceder. Luego, haz clic en Copiar al portapapeles y cerrar.
Nota: Una vez que cierres el diálogo, no podrás volver a ver la clave. Puedes generar hasta dos claves, y borrarlas y volver a generarlas si necesitas nuevas.
En tu IdP externo o en otro cliente de SCIM, usa la clave de API como token de portador para autorizar las solicitudes a la API de SCIM.
Cuando vuelvas a la página Directorios externos, podrás revisar tus conexiones de Directory Sync o SCIM entrante.
Temas relacionados
Google, Google Workspace y las marcas y los logotipos relacionados son marcas comerciales de Google LLC. Todos los demás nombres de productos y empresas son marcas comerciales de las empresas con las que se encuentran asociados.