Используйте Inbound SCIM для синхронизации данных пользователей и групп из внешнего каталога в ваш облачный каталог Google. Процесс синхронизации происходит в облаке, поэтому нет необходимости устанавливать клиент синхронизации или локальное программное обеспечение. Inbound SCIM идеально подходит, если вы хотите настроить инкрементальные обновления в режиме реального времени для обеспечения согласованности ваших каталогов.
Что поддерживает Inbound SCIM?
Входящий SCIM поддерживается большинством поставщиков идентификационных данных (IdP) и систем управления персоналом (HRIS). Наши API могут работать с любым IdP, HRIS или пользовательским приложением, поддерживающим стандарт SCIM 2.0.
Как работает входящий SCIM?
При настройке входящего SCIM-соединения система автоматически создает управляемую Google учетную запись службы с ролями администратора управления пользователями и администратора групп . Вы также создаете ключи API, которые используются для аутентификации учетной записи службы при синхронизации с вашего поставщика идентификации. Синхронизированные группы по умолчанию заблокированы для обеспечения согласованности между вашими каталогами.
Как работают входящие ключи SCIM API?
Для подключения SCIM создаются ключи API, которые привязываются к соответствующей учетной записи службы. Запросы, использующие ключ API для обновления каталога, используют разрешения учетной записи службы. Если подключение удаляется, учетная запись службы и все связанные с ней ключи API также удаляются.
Дополнительная информация о входящих ключах SCIM API:
- Поскольку ключи API и учетные записи служб управляются в консоли администратора Google Workspace, они не будут отображаться в вашей консоли администратора Google Cloud.
- Ключи API можно использовать только для конечной точки API Cloud Identity SCIM.
Администраторам также следует учитывать, что учетные записи администраторов рабочей области необходимо синхронизировать вручную. Служебные учетные записи, связанные с входящими SCIM-подключениями, не имеют разрешения на управление учетными записями администраторов.
Как работает блокировка синхронизированных групп?
При создании нового входящего SCIM-подключения параметр « Блокировать синхронизированные группы» по умолчанию устанавливается в положение «Включить». Это помогает поддерживать согласованность между поставщиками идентификации, предотвращая внесение пользователями изменений в ваш каталог.
- Первичная обработка: При первом создании или обновлении группы с помощью SCIM-запроса применяется параметр «Заблокировать синхронизированные группы» из вашего соединения. После этого группа помечается как обработанная.
- Ручная разблокировка: Если администратор вручную разблокирует обрабатываемую группу, обновления SCIM не заблокируют её повторно. Действие блокировки сохраняется до тех пор, пока не будут обновлены параметры подключения SCIM.
- Изменение параметров подключения: Если вы обновите параметр « Блокировать синхронизированные группы» для вашего SCIM-подключения, новый параметр будет применен к связанным группам при следующем SCIM-запросе.
Узнайте больше о блокировке групп для синхронизации данных .
Прежде чем начать
Перед использованием Inbound SCIM вам необходимо иметь следующее:
- Учетная запись Google Cloud или Cloud Identity с ролью суперадминистратора или пользовательской ролью с привилегией «Управление настройками синхронизации каталогов SCIM» в консоли администратора Google. Подробности см. в разделе «Предварительно созданные роли администратора» .
- Ресурс для организации в Google Cloud. Узнайте, как получить ресурс для организации .
Если вам нужна помощь в управлении входящими SCIM-подключениями, вы можете предоставить другому администратору привилегию « Управление настройками синхронизации каталогов входящих SCIM» в консоли администратора. Если вам необходимо, чтобы другой администратор мог просматривать, но не обновлять настройки, вы можете предоставить ему привилегию « Чтение настроек синхронизации каталогов входящих SCIM» .
Настройка входящего SCIM
- В консоли администратора Google перейдите в меню.
Каталог Внешние каталоги .Для этого требуется наличие привилегии «Управление настройками синхронизации входящего каталога SCIM» .
- Нажмите «Настроить входящие SCIM-соединения», если вы еще не настроили другие синхронизации. Если вы уже настроили синхронизацию каталогов, откройте вкладку « Входящие SCIM-соединения» и выберите «Добавить SCIM-коннектор» .
Добавьте имя соединения для этой синхронизации.
Примечание: Выберите короткое, описательное имя. Первые 18 символов имени, не считая пробелов, образуют адрес электронной почты для учетной записи службы, созданной для этого SCIM-подключения.
Скопируйте URL-адрес вашей конечной точки SCIM и сохраните его. Добавьте его в свой внешний поставщик идентификации для подключения.
Параметр «Блокировать синхронизированные группы» включен по умолчанию. Включение этого параметра обеспечивает согласованность между поставщиками идентификации.
Нажмите «Сохранить и продолжить» .
Нажмите «Сгенерировать ключ API» .
Во всплывающем окне отобразится сгенерированный ключ API. Скопируйте и вставьте его в место, где вы сможете получить к нему доступ. Затем нажмите «Скопировать в буфер обмена» и закройте окно .
Примечание: После закрытия диалогового окна вы больше не сможете увидеть ключ. Вы можете сгенерировать до двух ключей, удалить и сгенерировать их заново, если вам понадобятся новые.
В вашем внешнем IDP или другом SCIM-клиенте используйте ключ API в качестве токена носителя для авторизации запросов к SCIM API.
Вернувшись на страницу «Внешние каталоги», вы сможете просмотреть свои подключения синхронизации каталогов или входящие SCIM- соединения.
Связанные темы
Google, Google Workspace, а также связанные с ними знаки и логотипы являются товарными знаками Google LLC. Все остальные названия компаний и продуктов являются товарными знаками компаний, с которыми они связаны.