С помощью Google Cloud Search вы можете сопоставить идентификационные данные пользователей из сторонних репозиториев, используя источник идентификационной информации. Вы можете хранить идентификационные данные пользователей на сервере LDAP, например Microsoft Active Directory. Чтобы синхронизировать группы в Active Directory с источником идентификационной информации, можно использовать Google Cloud Directory Sync (GCDS).
Если в отношении идентификаторов пользователей, которые вы синхронизируете, действуют определенные правила поиска и исключения, вам нужно применить специальную схему к группе пользователей, используя, например, отрасль, в которой они работают, или тип задания.
Подготовка
- Чтобы синхронизировать данные из Active Directory, следуйте инструкциям в статье Об инструменте Google Cloud Directory Sync.
- Чтобы создать сервисный аккаунт и его учетные данные, следуйте инструкциям в разделе Как создать учетные данные для доступа.
- Чтобы создать источник идентификационной информации в консоли администратора Google, скопируйте идентификатор источника. Подробнее о том, как сопоставлять идентификационные данные пользователей в Cloud Search…
- Ознакомьтесь с информацией по использованию правил поиска, правил исключения и специальных схем.
Шаг 1. Включите группы с сопоставлением идентификационной информации
- Если вы используете Linux, в папке, где установлено приложение, введите следующую команду: $ ./config-manager --enable-img
- Если вы используете Windows, введите следующую команду: > config-manager.exe --enable-im
- Откройте Диспетчер конфигураций.
- Сбоку нажмите Общие настройки.
- Установите флажок Identity Mapped Groups (Группы с сопоставлением идентификационной информации).
Шаг 2. Добавьте группы для синхронизации
- Откройте Диспетчер конфигураций.
- Сбоку экрана нажмите Identity Mapped Groups (Группы с сопоставлением идентификационной информации).
- На вкладке Search Rules (Правила поиска) укажите следующую информацию:
- Identity source ID (Идентификатор источника идентификационной информации) (включите фрагмент строки identitysources/).
- Service account file path (Путь к файлу сервисного аккаунта).
- Нажмите Add Search Rule (Добавить правило) и укажите следующую информацию:
- Область действия
- Rule (Правило);
- Group attributes (Атрибуты группы).
- Нажмите ОК.
- Чтобы проверить добавленное правило поиска, нажмите Test LDAP Query (Проверить запрос LDAP).
- Если нужно добавить дополнительные условия поиска, следуйте инструкциям в разделе "Как добавить правило поиска LDAP". Подробнее об использовании правил поиска LDAP для синхронизации данных…
- Чтобы исключить группы, перейдите на вкладку Правила исключения и добавьте новое правило. Подробнее о том, как использовать правила исключения и запросы, чтобы не синхронизировать определенные данные…
Совет. Подождите 24 часа, чтобы группы, сопоставленные с идентификационной информацией, синхронизировались с GCDS, прежде чем устранять неполадки с отсутствующими результатами поиска или ошибками 403 Forbidden. Сопоставления ACL и данные об участии в группах могут вступить в силу не сразу.
Шаг 3. Синхронизируйте идентификационные данные пользователей с Cloud Search
- Откройте Диспетчер конфигураций.
- Сбоку нажмите Custom schemas (Специальные схемы).
- Нажмите Добавить схему и выберите один из следующих вариантов:
- Define custom search rules (Настроить специальные правила поиска)
- User rules defined in "User Accounts" (Пользовательские правила определены в разделе "Аккаунты пользователей") Подробнее о том, как синхронизировать пользовательские поля с помощью специальных схем…
- Укажите идентификатор источника идентификационной информации в поле Schema name (Название схемы). Не включайте в идентификатор строку identitysources.
- В поле LDAP Field Name (Название поля LDAP) укажите поле LDAP, которое содержит внешний идентификатор пользователя. Например, он используется в субъектах пользователей Cloud Search в следующем формате:identitysources/source-id/users/user-identifier
- В поле Google field name (Название поля Google) укажите идентификатор источника идентификационной информации и добавьте в конце _identifier. Например, для идентификатора источника идентификационной информации 02b392ce3a23 нужно ввести 02b392ce3a23_identifier.
- В поле Тип поля Google выберите Строка и убедитесь, что в поле указано только одно значение.
- Нажмите ОК.
Подробнее о том, как создать источник идентификационной информации…
Шаг 4. Запланируйте синхронизацию
- Откройте Диспетчер конфигураций.
- Сбоку нажмите Sync (Синхронизация).
Вы можете смоделировать синхронизацию или сохранить настройки. Подробнее о том, как автоматизировать процесс синхронизации…
Шаг 5. Выберите схему кодирования двоичных атрибутов (необязательно)
Если вы используете двоичные атрибуты (такие как objectSid или objectGUID) в качестве названия группы или адреса электронной почты пользователя, они преобразуются в строку с помощью схемы кодирования. Поддерживаются следующие схемы:
- Base 16 (Hexadecimal)
- Base 32
- Base 32 Hex;
- Base 64;
- Base 64 URL.
Вы можете вручную изменить схему кодирования в файле конфигурации. Для этого:
- Откройте файл конфигурации, внутри тега <identityMappedGroupBasicConfig> найдите тег <binaryAttributesEncoding>.
-
Если код <binaryAttributesEncoding> отсутствует, вы используете устаревшую схему кодирования base64. Внутри тега <identityMappedGroupBasicConfig> добавьте тег <binaryAttributesEncoding>.
-
Укажите для <binaryAttributesEncoding> один из вариантов:
- BASE16
- BASE32_NOPADDING
- BASE32_HEX_NOPADDING
- BASE64_URL_NOPADDING
Пример:
<identityMappedGroupBasicConfig>
<identitySourceId>identitysources/...</identitySourceId>
<serviceAccountFilePath>....</serviceAccountFilePath>
<binaryAttributesEncoding>BASE16</binaryAttributesEncoding>
</identityMappedGroupBasicConfig>
Google, Google Workspace и связанные наименования и логотипы являются товарными знаками компании Google LLC. Все другие названия компаний и продуктов являются товарными знаками соответствующих компаний.