使用入站 SCIM 可将外部目录中的用户和群组数据同步到您的 Google Cloud 目录。同步过程在云端进行，因此您无需安装同步客户端或本地软件。如果您想设置增量式实时更新，以保持目录一致，那么入站 SCIM 是理想之选。
Inbound SCIM 支持哪些功能？
大多数身份提供方 (IdP) 和人力资源信息系统 (HRIS) 都支持入站 SCIM。我们的 API 可与支持 SCIM 2.0 标准的任何 IdP、HRIS 或自定义应用搭配使用。
Inbound SCIM 的工作原理
设置入站 SCIM 连接时，系统会自动创建一个具有用户管理管理员和群组管理员角色的 Google 管理的服务账号。您还可以创建 API 密钥，用于在从 IdP 同步时对服务账号进行身份验证。默认情况下，同步的群组处于锁定状态，有助于保持目录之间的一致性。
Inbound SCIM API 密钥的工作原理
为 SCIM 连接创建 API 密钥，并将其绑定到关联的服务账号。使用 API 密钥调用目录更新的请求会使用服务账号的权限。如果删除关联，服务账号和所有关联的 API 密钥也会被删除。
关于 Inbound SCIM API 密钥，您还需要了解以下事项：
- 由于 API 密钥和服务账号是在 Google Workspace 管理控制台中管理的，因此它们不会显示在 Google Cloud 管理控制台中。
- API 密钥只能用于 Cloud Identity SCIM API 端点。
管理员还应注意，Workspace 管理员账号必须手动同步。与入站 SCIM 连接关联的服务账号无权管理管理员账号。
锁定同步群组的运作方式
创建新的入站 SCIM 连接时，系统会默认选中锁定已同步的群组设置。它有助于防止用户更改您的目录，从而保持身份提供方之间的一致性。
- 首次处理：首次使用 SCIM 请求创建或更新群组时，系统会应用连接中的锁定已同步的群组设置。发生这种情况后，相应群组会被标记为已处理。
- 手动解锁：如果管理员手动解锁已处理的群组，SCIM 更新不会重新锁定该群组。在您更新 SCIM 连接设置之前，此替换设置会一直生效。
- 更改连接设置：如果您更新 SCIM 连接的锁定同步群组设置，则新设置会在下次 SCIM 请求时应用于关联的群组。
详细了解如何锁定群组以保持数据同步。
准备工作
在使用入站 SCIM 之前，您需要具备以下条件：
- 在 Google 管理控制台中，拥有超级用户角色或具有“入站 SCIM 目录同步设置管理”权限的自定义角色的 Google Cloud 或 Cloud Identity 账号。有关详情，请参阅预先创建的管理员角色。
- Google Cloud 组织资源。了解如何获取组织资源。
如果您需要有关管理入站 SCIM 连接的帮助，可以在管理控制台中向其他管理员授予入站 SCIM Directory Sync 设置管理权限。如果您需要其他管理员能够查看但不能更新设置，可以向该管理员授予读取入站 SCIM Directory Sync 设置权限。
设置 Inbound SCIM
-
在 Google 管理控制台中，依次点击“菜单”图标
目录
外部目录。
- 如果您尚未设置任何其他同步，请点击设置入站 SCIM。如果您已配置 Directory Sync，请打开 Inbound SCIM 标签页，然后选择 Add SCIM connector。
为此同步添加连接名称。
注意：请选择一个简短的描述性名称。名称的前 18 个字符（不包括空格）构成了为此 SCIM 连接创建的服务账号的电子邮件地址。
复制您的 SCIM 端点网址并保存。将此内容添加到您的外部身份提供方以进行连接。
默认情况下，锁定同步的群组设置处于选中状态。启用此设置可保持身份提供方之间的一致性。
点击保存并继续。
点击 Generate API key。
系统会显示一个弹出式窗口，其中包含生成的 API 密钥。复制并粘贴到您可再次访问的位置。然后点击复制到剪贴板并关闭。
注意：关闭此对话框后，您将无法再次查看该密钥。您最多可以生成 2 个密钥，并且可以根据需要删除并重新生成密钥。
在外部 IdP 或其他 SCIM 客户端中，使用 API 密钥作为不记名令牌来授权 SCIM API 请求。
返回“外部目录”页面后，您可以查看 Directory Sync 或 Inbound SCIM 连接。
相关主题
Google、Google Workspace 以及相关标志和徽标是 Google LLC 的商标。其他所有公司名和产品名是其各自相关公司的商标。