Premiers pas avec le SCIM entrant

Utilisez SCIM entrant pour synchroniser les données des utilisateurs et des groupes d'un annuaire externe avec votre annuaire Google Cloud. Le processus de synchronisation s'effectue dans le cloud. Il n'est donc pas nécessaire d'installer un client de synchronisation ni un logiciel sur site. Le SCIM entrant est idéal si vous souhaitez configurer des mises à jour incrémentielles en temps réel pour assurer la cohérence de vos annuaires.

Quelles sont les fonctionnalités compatibles avec le SCIM entrant ?

Le protocole SCIM entrant est compatible avec la plupart des fournisseurs d'identité (IdP) et des systèmes d'information de gestion des ressources humaines (SIRH). Nos API peuvent fonctionner avec n'importe quel fournisseur d'identité, SIRH ou application personnalisée compatible avec la norme SCIM 2.0.

Comment fonctionne le SCIM entrant ?

Lorsque vous configurez une connexion SCIM entrante, le système crée automatiquement un compte de service géré par Google avec les rôles Administrateur de la gestion des utilisateurs et Administrateur des groupes. Vous créez également des clés API qui permettent d'authentifier le compte de service lors de la synchronisation depuis votre fournisseur d'identité. Vos groupes synchronisés sont verrouillés par défaut pour assurer la cohérence entre vos annuaires.

Comment fonctionnent les clés API SCIM entrantes ?

Les clés API sont créées pour la connexion SCIM et liées au compte de service associé. Les requêtes qui utilisent la clé API pour demander des mises à jour de l'annuaire utilisent les autorisations du compte de service. Si la connexion est supprimée, le compte de service et toutes les clés API associées le sont également.

Autres informations à connaître sur les clés API SCIM entrantes :

  • Étant donné que les clés API et les comptes de service sont gérés dans la console d'administration Google Workspace, ils n'apparaissent pas dans votre console d'administration Google Cloud.
  • Les clés API ne peuvent être utilisées que pour le point de terminaison de l'API SCIM Cloud Identity.

Les administrateurs doivent également noter que les comptes administrateur Workspace doivent être synchronisés manuellement. Les comptes de service associés aux connexions SCIM entrantes ne sont pas autorisés à gérer les comptes administrateur.

Comment fonctionne le verrouillage des groupes synchronisés ?

Lorsque vous créez une connexion SCIM entrante, le paramètre Verrouiller les groupes synchronisés est coché par défaut. Cela permet de maintenir la cohérence entre les fournisseurs d'identité en empêchant les utilisateurs de modifier votre annuaire.

  • Traitement initial : lorsqu'un groupe est créé ou mis à jour pour la première fois à l'aide d'une requête SCIM, le paramètre Verrouiller les groupes synchronisés de votre connexion est appliqué. Une fois cette opération effectuée, le groupe est marqué comme traité.
  • Déverrouillage manuel : si un administrateur déverrouille manuellement un groupe traité, les mises à jour SCIM ne le verrouillent pas à nouveau. La substitution reste en place jusqu'à ce que les paramètres de connexion SCIM soient mis à jour.
  • Modification des paramètres de connexion : si vous modifiez le paramètre Verrouiller les groupes synchronisés pour votre connexion SCIM, le nouveau paramètre est appliqué aux groupes associés lors de la prochaine requête SCIM.

En savoir plus sur le verrouillage des groupes pour que les données restent synchronisées

Avant de commencer

Avant d'utiliser SCIM entrant, vous devez disposer des éléments suivants :

Si vous souhaitez obtenir de l'aide pour gérer les connexions SCIM entrantes, vous pouvez accorder à un autre administrateur le droit Gestion des paramètres SCIM du flux Directory Sync entrant dans la console d'administration. Si vous avez besoin qu'un autre administrateur puisse consulter les paramètres, mais pas les modifier, vous pouvez lui accorder le droit Lecture des paramètres SCIM du flux Directory Sync entrant.

Configurer le SCIM entrant

  1. Dans la console d'administration Google, accédez à Menu  puis Annuaire puis Annuaires externes.

    Vous devez disposer du droit de gestion des paramètres SCIM du flux Directory Sync entrant.

  2. Cliquez sur Configurer SCIM entrant si vous n'avez configuré aucune autre synchronisation. Si vous avez déjà configuré la synchronisation d'annuaires, ouvrez l'onglet SCIM entrant et sélectionnez Ajouter un connecteur SCIM.

  3. Ajoutez un nom de connexion pour cette synchronisation.

    Remarque : Choisissez un nom court et descriptif. Les 18 premiers caractères du nom (sans les espaces) forment l'adresse e-mail du compte de service créé pour cette connexion SCIM.

  4. Copiez l'URL de votre point de terminaison SCIM et enregistrez-la. Ajoutez cette URL à votre fournisseur d'identité externe pour le connecter.

  5. Le paramètre Verrouiller les groupes synchronisés est coché par défaut. L'activation de ce paramètre permet de maintenir la cohérence entre les fournisseurs d'identité.

  6. Cliquez sur Enregistrer et continuer.

  7. Cliquez sur Générer une clé API.

  8. Une fenêtre pop-up affiche la clé API générée. Copiez-le et collez-le dans un endroit où vous pourrez le retrouver. Cliquez ensuite sur Copier dans le presse-papiers et fermer.

    Remarque : Une fois la boîte de dialogue fermée, vous ne pourrez plus afficher la clé. Vous pouvez générer jusqu'à deux clés, et les supprimer et les regénérer si vous en avez besoin de nouvelles.

  9. Dans votre fournisseur d'identité externe ou un autre client SCIM, utilisez la clé API comme jeton du porteur pour autoriser les requêtes API SCIM.

  10. Lorsque vous revenez sur la page "Annuaires externes", vous pouvez consulter vos connexions Directory Sync ou SCIM entrant.


Google, Google Workspace et les marques et logos associés sont des marques de Google LLC. Tous les autres noms de sociétés et de produits sont des marques des sociétés auxquelles ils sont associés.