インバウンド SCIM を使ってみる

インバウンド SCIM を使用して、外部ディレクトリのユーザーデータとグループのデータを Google Cloud のディレクトリに同期します。この同期プロセスはクラウドで行われるため、同期クライアントやオンプレミス ソフトウェアをインストールする必要はありません。インバウンド SCIM は、ディレクトリの一貫性を保つために、増分更新をリアルタイムで設定する場合に最適です。

インバウンド SCIM のサポート対象

インバウンド SCIM は、ほとんどの ID プロバイダ（IdP）と人事情報システム（HRIS）でサポートされています。Google の API は、SCIM 2.0 標準をサポートする任意の IdP、HRIS、カスタム アプリケーションで使用できます。

インバウンド SCIM の仕組み

インバウンド SCIM 接続を設定すると、システムによって、ユーザー管理管理者 ロールとグループ管理者 ロールを持つ Google 管理のサービス アカウントが自動的に作成されます。また、IdP から同期する際にサービス アカウントの認証に使用する API キーも作成します。同期されたグループは、ディレクトリ間の一貫性を維持するために、デフォルトでロックされます。

インバウンド SCIM API キーの仕組み

API キーは SCIM 接続用に作成され、関連付けられたサービス アカウントにバインドされます。API キーを使用してディレクトリの更新を呼び出すリクエストは、サービス アカウントの権限を使用します。接続が削除されると、サービス アカウントと関連付けられている API キーも削除されます。

インバウンド SCIM API キーに関するその他の注意事項:

  • API キーとサービス アカウントは Google Workspace 管理コンソールで管理されるため、Google Cloud 管理コンソールには表示されません。
  • API キーは、Cloud Identity SCIM API エンドポイントでのみ使用できます。

管理者は、Workspace 管理者アカウントを手動で同期する必要があることにも注意してください。インバウンド SCIM 接続に関連付けられたサービス アカウントには、管理者アカウントを管理する権限はありません。

同期されたグループのロックの仕組み

新しいインバウンド SCIM 接続を作成すると、[同期されたグループをロックする] 設定がデフォルトでオンになります。これにより、ユーザーがディレクトリを変更できなくなるため、ID プロバイダ間の一貫性を維持できます。

  • 初回処理: SCIM リクエストを使用してグループが初めて作成または更新されると、接続の [同期されたグループをロックする] 設定が適用されます。この処理が完了すると、グループは処理済みとしてマークされます。
  • 手動でのロック解除: 管理者が処理済みのグループを手動でロック解除した場合、SCIM の更新によって再度ロックされることはありません。このオーバーライドは、SCIM 接続の設定が更新されるまで有効です。
  • 接続設定の変更: SCIM 接続の [同期されたグループをロックする] 設定を更新すると、次の SCIM リクエストで、関連付けられたグループに新しい設定が適用されます。

グループをロックしてデータを同期する方法の詳細をご確認ください。

始める前に

インバウンド SCIM を使用するには、次のものが必要です。

インバウンド SCIM 接続の管理でサポートが必要な場合は、管理コンソールで別の管理者に [インバウンド SCIM Directory Sync の設定管理] 権限を付与できます。別の管理者に設定の表示のみを許可する（設定の更新は許可しない）場合は、その管理者に [インバウンド SCIM Directory Sync の設定の読み取り] 権限を付与できます。

インバウンド SCIM をセットアップする

  1. Google 管理コンソールで、メニュー アイコン 次に [**ディレクトリ**] 次に [**外部ディレクトリ**] に移動します。

    アクセスするには、インバウンド SCIM Directory Sync の設定管理権限が必要です。

  2. 他の同期を設定していない場合は、[インバウンド SCIM をセットアップ] をクリックします。Directory Sync をすでに構成している場合は、[インバウンド SCIM] タブを開き、[SCIM コネクタを追加] を選択します。

  3. この同期の接続名 を追加します。

    注: 短くわかりやすい名前を選択してください。名前の最初の 18 文字（スペースを除く）は、この SCIM 接続用に作成されたサービス アカウントのメールアドレスになります。

  4. SCIM エンドポイント URL をコピーして保存します。外部 ID プロバイダに追加して接続します。

  5. [同期されたグループをロックする] 設定はデフォルトでオンになっています。この設定を有効にすると、ID プロバイダ間の一貫性が維持されます。

  6. [保存して次へ] をクリックします。

  7. [API キーを生成] をクリックします。

  8. 生成された API キーがポップアップ表示されます。コピーして、後でアクセスできる場所に貼り付けます。[クリップボードにコピーして閉じる] をクリックします。

    注: ダイアログを閉じると、キーを再度表示することはできません。最大 2 つのキーを生成できます。新しいキーが必要な場合は、削除して再生成できます。

  9. 外部 IDP または他の SCIM クライアントで、API キーをベアラートークンとして使用して、SCIM API リクエストを承認します。

  10. [外部ディレクトリ] ページに戻ると、[Directory Sync] または [インバウンド SCIM] 接続を確認できます。


Google、Google Workspace、および関連するマークとロゴは、Google LLC の商標です。その他すべての企業名および商品名は関連各社の商標です。