您可以使用傳入 SCIM，將使用者和群組資料從外部目錄同步到 Google 雲端目錄。同步處理程序是在雲端進行，因此無須安裝同步處理用戶端或地端部署軟體。如果您想設定增量即時更新，確保目錄一致性，建議使用 Inbound SCIM。
傳入 SCIM 支援哪些功能？
大多數身分識別提供者 (IdP) 和人力資源資訊系統 (HRIS) 都支援 SCIM 傳入。我們的 API 可與支援 SCIM 2.0 標準的任何 IdP、HRIS 或自訂應用程式搭配使用。
傳入 SCIM 的運作方式
設定 Inbound SCIM 連線時，系統會自動建立 Google 管理的服務帳戶，並指派「使用者管理管理員」和「群組管理員」角色。您也會建立 API 金鑰，用於從 IdP 同步處理時驗證服務帳戶。為確保目錄資料一致，系統預設會鎖定已同步的群組。
Inbound SCIM API 金鑰的運作方式
系統會為 SCIM 連線建立 API 金鑰，並繫結至相關聯的服務帳戶。使用 API 金鑰呼叫目錄更新的要求，會使用服務帳戶的權限。如果刪除連線，系統也會一併刪除服務帳戶和所有相關聯的 API 金鑰。
關於 Inbound SCIM API 金鑰，您還需要瞭解以下事項：
- 由於 API 金鑰和服務帳戶是在 Google Workspace 管理控制台中管理，因此不會顯示在 Google Cloud 管理控制台中。
- API 金鑰只能用於 Cloud Identity SCIM API 端點。
管理員也請注意，Workspace 管理員帳戶必須手動同步。與 Inbound SCIM 連線相關聯的服務帳戶，沒有管理管理員帳戶的權限。
如何鎖定已同步處理的群組？
建立新的 SCIM 傳入連線時，系統預設會勾選「鎖定已同步處理的群組」設定。禁止使用者變更目錄，確保各識別資訊提供者之間的資料一致。
- 首次處理：首次使用 SCIM 要求建立或更新群組時，系統會套用連線的「鎖定已同步群組」設定。完成後，系統會將該群組標示為已處理。
- 手動解除鎖定：如果管理員手動解除已處理群組的鎖定，SCIM 更新不會重新鎖定該群組。除非更新 SCIM 連線設定，否則系統會持續覆寫設定。
- 變更連線設定：如果您更新 SCIM 連線的「鎖定已同步的群組」設定，系統會在下一個 SCIM 要求中，將新設定套用至相關聯的群組。
進一步瞭解如何鎖定群組以確保資料同步。
事前準備
使用 Inbound SCIM 前，請先準備好：
- 具有超級管理員角色或自訂角色的 Google Cloud 或 Cloud Identity 帳戶，且該自訂角色在 Google 管理控制台中具備「管理傳入 SCIM 目錄同步設定」權限。詳情請參閱「預先建立的管理員角色」。
- Google Cloud 機構資源。瞭解如何取得機構資源。
如要請其他管理員協助管理傳入資料的 SCIM 連線，請在管理控制台中授予對方「管理傳入資料的 SCIM Directory Sync 設定」權限。如要讓其他管理員可以查看設定，但不授予更新設定的權限，可以將「讀取 Inbound SCIM 目錄同步設定」權限授予其他管理員。
設定 Inbound SCIM
-
在 Google 管理控制台中，依序點選「選單」圖示
「目錄」
「外部目錄」。
- 如果尚未設定任何其他同步作業，請按一下「設定 Inbound SCIM」。如果已設定目錄同步處理，請開啟「Inbound SCIM」分頁，然後選取「Add SCIM connector」。
為這項同步作業新增「連線名稱」。
注意：請選擇簡短的描述性名稱，名稱的前 18 個字元 (不含空格) 會構成為這個 SCIM 連線建立的服務帳戶電子郵件地址。
複製並儲存 SCIM 端點網址。將這個網址新增至外部識別資訊提供者，即可連線。
系統預設會勾選「鎖定同步處理的群組」設定。啟用這項設定可確保各識別資訊提供者之間的資料一致。
點選「儲存並繼續」。
點選「產生 API 金鑰」。
彈出式視窗會顯示產生的 API 金鑰。複製並貼到可再次存取的位置。然後按一下「複製到剪貼簿並關閉」。
注意：關閉對話方塊後，您就無法再次查看金鑰。最多可以產生兩組金鑰，如果需要新金鑰，可以刪除並重新產生。
在外部 IDP 或其他 SCIM 用戶端中，使用 API 金鑰做為承載權杖，授權 SCIM API 要求。
返回「外部目錄」頁面後，即可查看「目錄同步處理」或「Inbound SCIM」連線。
相關主題
Google、Google Workspace 和其他相關符號及標誌均為 Google LLC 的商標。所有其他公司名稱和產品名稱則為相關公司的商標。