Use o SCIM de entrada para sincronizar dados de usuários e grupos de um diretório externo com o diretório do Google Cloud. O processo de sincronização ocorre na nuvem. Por isso, não é necessário instalar clientes de sincronização ou softwares no local. O SCIM de entrada é ideal se você quiser configurar atualizações incrementais em tempo real para manter a consistência dos diretórios.
O que o SCIM de entrada aceita?
O SCIM de entrada é aceito pela maioria dos provedores de identidade (IdPs) e sistemas de informações de recursos humanos (HRIS). Nossas APIs podem funcionar com qualquer IdP, HRIS ou aplicativo personalizado que seja compatível com o padrão SCIM 2.0.
Como o SCIM de entrada funciona?
Ao configurar uma conexão SCIM de entrada, o sistema cria automaticamente uma conta de serviço gerenciada pelo Google com as funções de Administrador de gerenciamento de usuários e Administrador de grupos. Você também cria chaves de API usadas para autenticar a conta de serviço ao sincronizar do IdP. Seus grupos sincronizados são bloqueados por padrão para ajudar a manter a consistência entre os diretórios.
Como as chaves de API SCIM de entrada funcionam?
As chaves de API são criadas para a conexão SCIM e vinculadas à conta de serviço associada. As solicitações que usam a chave de API para pedir atualizações de diretório usam as permissões da conta de serviço. Se a conexão for excluída, a conta de serviço e todas as chaves de API associadas também serão excluídas.
Outras informações importantes sobre as chaves de API SCIM de entrada:
- Como as chaves de API e as contas de serviço são gerenciadas no Google Workspace Admin Console, elas não aparecem no Google Cloud Admin Console.
- As chaves de API só podem ser usadas para o endpoint da API Cloud Identity SCIM.
Os administradores também precisam saber que as contas de administrador do Workspace precisam ser sincronizadas manualmente. As contas de serviço associadas a conexões SCIM de entrada não têm permissão para gerenciar contas de administrador.
Como funciona o bloqueio de grupos sincronizados?
Ao criar uma conexão SCIM de entrada, a configuração Bloquear grupos sincronizados é marcada por padrão. Ela ajuda a manter a consistência entre os provedores de identidade, impedindo que os usuários façam mudanças no diretório.
- Processamento pela primeira vez:quando um grupo é criado ou atualizado pela primeira vez usando uma solicitação SCIM, a configuração Bloquear grupos sincronizados da conexão é aplicada. Depois disso, o grupo é marcado como processado.
- Desbloqueios manuais:se um administrador desbloquear manualmente um grupo processado, as atualizações do SCIM não o bloquearão novamente. A substituição permanece até que as configurações de conexão SCIM sejam atualizadas.
- Mudança nas configurações de conexão:se você atualizar a configuração Bloquear grupos sincronizados da conexão SCIM, a nova configuração será aplicada aos grupos associados na próxima solicitação SCIM.
Saiba mais sobre como bloquear grupos para manter os dados sincronizados.
Antes de começar
Antes de usar o SCIM de entrada, você precisa ter:
- Uma conta do Google Cloud ou do Cloud Identity com uma função de superadministrador ou uma função personalizada com o privilégio Gerenciamento de configurações do Directory Sync do tipo SCIM de entrada no Google Admin Console. Saiba mais detalhes em Funções de administrador predefinidas.
- Um recurso da organização do Google Cloud. Saiba como acessar um recurso da organização.
Se você precisar de ajuda para gerenciar conexões SCIM de entrada, conceda a outro administrador o privilégio Gerenciamento de configurações do Directory Sync do tipo SCIM de entrada no Admin Console. Se você precisar que outro administrador possa ver, mas não atualizar as configurações, conceda a ele o privilégio Leitura das configurações do Directory Sync do tipo SCIM de entrada.
Configurar o SCIM de entrada
-
No Google Admin Console, acesse Menu
Diretório
Diretórios externos.
Exige o privilégio Gerenciamento de configurações do Directory Sync do tipo SCIM de entrada.
- Clique em Configurar o SCIM de entrada se você ainda não tiver configurado nenhuma outra sincronização. Se você já tiver configurado o Directory Sync, abra a guia SCIM de entrada e selecione Adicionar conector SCIM.
Adicione um nome de conexão para essa sincronização.
Observação:escolha um nome curto e descritivo. Os primeiros 18 caracteres do nome, sem incluir espaços, formam o endereço de e-mail da conta de serviço criada para essa conexão SCIM.
Copie o URL do endpoint SCIM e salve-o. Adicione-o ao seu provedor de identidade externo para se conectar.
A configuração Bloquear grupos sincronizados é marcada por padrão. Ativar essa configuração mantém a consistência entre os provedores de identidade.
Clique em Salvar e continuar.
Clique em Gerar chave de API.
Uma janela pop-up mostra uma chave de API gerada. Copie e cole em um lugar onde você possa acessá-la novamente. Em seguida, clique em Copiar para a área de transferência e fechar.
Observação:depois de fechar a caixa de diálogo, não será possível ver a chave novamente. Você pode gerar até duas chaves, além de excluir e regenerar se precisar de novas.
No seu IdP externo ou em outro cliente SCIM, use a chave de API como um token de portador para autorizar solicitações da API SCIM.
Ao retornar à página "Diretórios externos", você pode revisar as conexões do Directory Sync ou do SCIM de entrada.
Temas relacionados
Google, Google Workspace e marcas e logotipos relacionados são marcas registradas da Google LLC. Todos os outros nomes de empresas e produtos são marcas registradas das empresas às quais estão associados.