Użyj przychodzącego SCIM, aby zsynchronizować dane użytkowników i grup z katalogu zewnętrznego z katalogiem Google Cloud. Synchronizacja odbywa się w chmurze, więc nie trzeba instalować klienta synchronizacji ani oprogramowania lokalnego. Przychodzący SCIM to idealne rozwiązanie, jeśli chcesz skonfigurować przyrostowe aktualizacje w czasie rzeczywistym, aby zachować spójność katalogów.
Jakie funkcje obsługuje przychodzący SCIM?
Przychodzący SCIM jest obsługiwany przez większość dostawców tożsamości i kadrowych systemów informacyjnych. Nasze interfejsy API mogą współpracować z dowolnym dostawcą tożsamości, systemem HRIS lub aplikacją niestandardową, które obsługują standard SCIM 2.0.
Jak działa przychodzący SCIM?
Gdy skonfigurujesz połączenie SCIM przychodzące, system automatycznie utworzy konto usługi zarządzane przez Google z rolami Administrator zarządzania użytkownikami i Administrator grup. Tworzysz też klucze interfejsu API, które służą do uwierzytelniania konta usługi podczas synchronizacji z dostawcą tożsamości. Zsynchronizowane grupy są domyślnie zablokowane, aby zachować spójność między katalogami.
Jak działają klucze interfejsu API przychodzącego SCIM?
Klucze interfejsu API są tworzone na potrzeby połączenia SCIM i powiązane z odpowiednim kontem usługi. Żądania, które używają klucza interfejsu API do wywoływania aktualizacji katalogu, korzystają z uprawnień konta usługi. Jeśli połączenie zostanie usunięte, konto usługi i wszystkie powiązane z nim klucze interfejsu API również zostaną usunięte.
Dodatkowe informacje o kluczach interfejsu API przychodzącego SCIM:
- Klucze API i konta usługi są zarządzane w konsoli administracyjnej Google Workspace, więc nie będą widoczne w konsoli administracyjnej Google Cloud.
- Klucze interfejsu API można używać tylko w przypadku punktu końcowego interfejsu Cloud Identity SCIM API.
Administratorzy powinni też pamiętać, że konta administratorów Workspace muszą być synchronizowane ręcznie. Konta usługi powiązane z połączeniami SCIM przychodzącymi nie mają uprawnień do zarządzania kontami administratora.
Jak działa blokowanie zsynchronizowanych grup?
Gdy tworzysz nowe połączenie przychodzące SCIM, ustawienie Zablokuj zsynchronizowane grupy jest domyślnie zaznaczone. Pomaga to zachować spójność między dostawcami tożsamości, ponieważ uniemożliwia użytkownikom wprowadzanie zmian w katalogu.
- Przetwarzanie po raz pierwszy: gdy grupa jest tworzona lub aktualizowana po raz pierwszy za pomocą żądania SCIM, stosowane jest ustawienie Blokuj zsynchronizowane grupy z połączenia. Gdy to nastąpi, grupa zostanie oznaczona jako przetworzona.
- Ręczne odblokowywanie: jeśli administrator ręcznie odblokuje przetworzoną grupę, aktualizacje SCIM nie spowodują ponownego zablokowania. Zastąpienie pozostanie aktywne do czasu zaktualizowania ustawień połączenia SCIM.
- Zmiana ustawień połączenia: jeśli zaktualizujesz ustawienie Zablokuj zsynchronizowane grupy dla połączenia SCIM, nowe ustawienie zostanie zastosowane do powiązanych grup przy następnym żądaniu SCIM.
Dowiedz się więcej o blokowaniu grup w celu zachowania synchronizacji danych.
Zanim zaczniesz
Zanim zaczniesz korzystać z SCIM przychodzącego, musisz mieć:
- Konto Google Cloud lub Cloud Identity z rolą superadministratora lub rolą niestandardową z uprawnieniem Zarządzanie ustawieniami synchronizacji katalogu SCIM przychodzącego w konsoli administracyjnej Google. Szczegółowe informacje znajdziesz w artykule Gotowe role administratora.
- Zasób organizacji Google Cloud. Dowiedz się, jak uzyskać zasób organizacji
Jeśli potrzebujesz pomocy w zarządzaniu połączeniami SCIM ruchu przychodzącego, możesz przyznać innemu administratorowi uprawnienie Zarządzanie ustawieniami ruchu przychodzącego SCIM w Directory Sync w konsoli administracyjnej. Jeśli chcesz, aby inny administrator mógł wyświetlać ustawienia, ale nie mógł ich zmieniać, możesz mu przyznać uprawnienia Odczyt ustawień ruchu przychodzącego SCIM w Directory Sync.
Konfigurowanie przychodzącego SCIM
-
W konsoli administracyjnej Google otwórz Menu
Katalog
Katalogi zewnętrzne.
Wymaga uprawnień do zarządzania ustawieniami ruchu przychodzącego SCIM w Directory Sync.
- Jeśli nie masz skonfigurowanych innych synchronizacji, kliknij Skonfiguruj SCIM dla ruchu przychodzącego. Jeśli masz już skonfigurowaną synchronizację katalogu, otwórz kartę Przychodzące SCIM i kliknij Dodaj oprogramowanie sprzęgające SCIM.
Dodaj nazwę połączenia dla tej synchronizacji.
Uwaga: wybierz krótką, opisową nazwę. Pierwsze 18 znaków nazwy (bez spacji) tworzy adres e-mail konta usługi utworzonego na potrzeby tego połączenia SCIM.
Skopiuj i zapisz adres URL punktu końcowego SCIM. Dodaj ten adres do zewnętrznego dostawcy tożsamości, aby nawiązać połączenie.
Ustawienie Blokuj zsynchronizowane grupy jest domyślnie zaznaczone. Włączenie tego ustawienia zapewnia spójność między dostawcami tożsamości.
Kliknij Zapisz i kontynuuj.
Kliknij Wygeneruj klucz interfejsu API.
W wyskakującym okienku pojawi się wygenerowany klucz interfejsu API. Skopiuj go i wklej w miejscu, do którego będziesz mieć ponownie dostęp. Następnie kliknij Skopiuj do schowka i zamknij.
Uwaga: po zamknięciu okna nie będzie już można wyświetlić klucza. Możesz wygenerować maksymalnie 2 klucze, a w razie potrzeby usunąć je i wygenerować ponownie.
W zewnętrznym dostawcy tożsamości lub innym kliencie SCIM użyj klucza interfejsu API jako tokena dostępu do autoryzacji żądań do interfejsu SCIM API.
Gdy wrócisz na stronę Katalogi zewnętrzne, możesz sprawdzić połączenia Directory Sync lub przychodzące SCIM.
Powiązane artykuły
Google, Google Workspace oraz powiązane znaki i logotypy są znakami towarowymi firmy Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi należącymi do ich właścicieli.