Gebruik Inbound SCIM om gebruikers- en groepsgegevens vanuit een externe directory te synchroniseren met uw Google Cloud-directory. Het synchronisatieproces vindt plaats in de cloud, dus u hoeft geen synchronisatieclient of software op locatie te installeren. Inbound SCIM is ideaal als u incrementele, realtime updates wilt instellen om uw directory's consistent te houden.
Wat ondersteunt Inbound SCIM?
Inbound SCIM wordt ondersteund door de meeste identiteitsproviders (IdP's) en personeelsinformatiesystemen (HRIS). Onze API's kunnen samenwerken met elke IdP, HRIS of aangepaste applicatie die de SCIM 2.0-standaard ondersteunt.
Hoe werkt Inbound SCIM?
Wanneer u een inkomende SCIM-verbinding instelt, maakt het systeem automatisch een door Google beheerd serviceaccount aan met de rollen Gebruikersbeheerbeheerder en Groepsbeheerder . U maakt ook API-sleutels aan die worden gebruikt om het serviceaccount te authenticeren bij het synchroniseren vanuit uw IdP. Uw gesynchroniseerde groepen zijn standaard vergrendeld om de consistentie tussen uw directory's te waarborgen.
Hoe werken inkomende SCIM API-sleutels?
API-sleutels worden aangemaakt voor de SCIM-verbinding en gekoppeld aan het bijbehorende serviceaccount. Verzoeken die de API-sleutel gebruiken om directory-updates op te vragen, maken gebruik van de machtigingen van het serviceaccount. Als de verbinding wordt verwijderd, worden het serviceaccount en alle bijbehorende API-sleutels ook verwijderd.
Aanvullende informatie over Inbound SCIM API-sleutels:
- Aangezien de API-sleutels en serviceaccounts worden beheerd in de Google Workspace-beheerconsole, worden ze niet weergegeven in uw Google Cloud-beheerconsole.
- De API-sleutels kunnen alleen worden gebruikt voor het Cloud Identity SCIM API-eindpunt.
Beheerders dienen er ook rekening mee te houden dat Workspace Admin-accounts handmatig gesynchroniseerd moeten worden. Serviceaccounts die gekoppeld zijn aan inkomende SCIM-verbindingen hebben geen toestemming om Admin-accounts te beheren.
Hoe werkt het vergrendelen van gesynchroniseerde groepen?
Wanneer u een nieuwe inkomende SCIM-verbinding maakt, is de instelling ' Gesynchroniseerde groepen vergrendelen' standaard ingeschakeld. Dit helpt de consistentie tussen identiteitsproviders te waarborgen door te voorkomen dat gebruikers wijzigingen in uw directory aanbrengen.
- Eerste verwerking: Wanneer een groep voor het eerst wordt aangemaakt of bijgewerkt met behulp van een SCIM-verzoek, wordt de instelling ' Gesynchroniseerde groepen vergrendelen' van uw verbinding toegepast. Zodra dit gebeurt, wordt de groep gemarkeerd als verwerkt.
- Handmatig ontgrendelen: Als een beheerder een verwerkte groep handmatig ontgrendelt, zal SCIM deze niet opnieuw vergrendelen na een update. De overschrijving blijft van kracht totdat uw SCIM-verbindingsinstellingen worden bijgewerkt.
- Verbindingsinstellingen wijzigen: Als u de instelling ' Gesynchroniseerde groepen vergrendelen ' voor uw SCIM-verbinding bijwerkt, wordt de nieuwe instelling toegepast op de bijbehorende groepen bij het volgende SCIM-verzoek.
Leer meer over het vergrendelen van groepen om gegevens gesynchroniseerd te houden .
Voordat je begint
Voordat u Inbound SCIM kunt gebruiken, heeft u het volgende nodig:
- Een Google Cloud- of Cloud Identity-account met een superbeheerdersrol of een aangepaste rol met het beheerrecht voor inkomende SCIM-directorysynchronisatie-instellingen in de Google Admin-console. Zie Voorgedefinieerde beheerdersrollen voor meer informatie.
- Een organisatieresource van Google Cloud. Lees hoe u een organisatieresource kunt verkrijgen .
Als u hulp nodig hebt bij het beheren van inkomende SCIM-verbindingen, kunt u een andere beheerder de machtiging ' Inkomende SCIM-directorysynchronisatie-instellingen beheren' geven in de beheerdersconsole. Als u wilt dat een andere beheerder de instellingen kan bekijken, maar niet wijzigen, kunt u de beheerder de machtiging 'Inkomende SCIM-directorysynchronisatie-instellingen lezen' geven.
Inkomende SCIM instellen
- Ga in de Google Admin-console naar Menu.
Directory Externe mappen .Vereist dat u de machtiging 'Inkomende SCIM-directorysynchronisatie-instellingen beheren' hebt.
- Klik op Inkomende SCIM instellen als u nog geen andere synchronisaties hebt ingesteld. Als u de directorysynchronisatie al hebt geconfigureerd, opent u het tabblad Inkomende SCIM en selecteert u SCIM-connector toevoegen .
Voeg een verbindingsnaam toe voor deze synchronisatie.
Let op: Kies een korte, beschrijvende naam. De eerste 18 tekens van de naam – exclusief spaties – vormen het e-mailadres van het serviceaccount dat voor deze SCIM-verbinding wordt aangemaakt.
Kopieer de URL van uw SCIM-eindpunt en sla deze op. Voeg deze toe aan uw externe identiteitsprovider om verbinding te maken.
De instelling ' Gesynchroniseerde groepen vergrendelen' is standaard ingeschakeld. Door deze instelling in te schakelen, blijft de consistentie tussen identiteitsproviders gewaarborgd.
Klik op Opslaan en verdergaan .
Klik op API-sleutel genereren .
Er verschijnt een pop-upvenster met een gegenereerde API-sleutel. Kopieer deze en plak hem op een plek waar u hem later gemakkelijk terug kunt vinden. Klik vervolgens op 'Kopiëren naar klembord' en sluit het venster .
Let op: zodra u het dialoogvenster sluit, kunt u de sleutel niet meer zien. U kunt maximaal twee sleutels genereren en deze verwijderen en opnieuw genereren als u nieuwe nodig hebt.
Gebruik in uw externe IDP of andere SCIM-client de API-sleutel als een bearer-token om SCIM API-verzoeken te autoriseren.
Wanneer u terugkeert naar de pagina Externe mappen, kunt u uw Directory Sync- of Inkomende SCIM- verbindingen bekijken.
Gerelateerde onderwerpen
Google, Google Workspace en aanverwante merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waaraan ze zijn verbonden.