Começar a usar o SCIM de entrada

Use o SCIM de entrada para sincronizar dados de usuários e grupos de um diretório externo com o diretório do Google Cloud. O processo de sincronização ocorre na nuvem. Por isso, não é necessário instalar clientes de sincronização ou softwares no local. O SCIM de entrada é ideal se você quiser configurar atualizações incrementais em tempo real para manter a consistência dos diretórios.

O que o SCIM de entrada aceita?

O SCIM de entrada é compatível com a maioria dos provedores de identidade (IdPs) e sistemas de informações de recursos humanos (HRIS). Nossas APIs funcionam com qualquer IdP, HRIS ou aplicativo personalizado que seja compatível com o padrão SCIM 2.0.

Como funciona o SCIM de entrada?

Ao configurar uma conexão SCIM de entrada, o sistema cria automaticamente uma conta de serviço gerenciada pelo Google com as funções Administrador de gerenciamento de usuários e Administrador de grupos. Você também cria chaves de API usadas para autenticar a conta de serviço ao sincronizar do IdP. Por padrão, os grupos sincronizados são bloqueados para manter a consistência entre os diretórios.

Como as chaves de API SCIM de entrada funcionam?

As chaves de API são criadas para a conexão SCIM e vinculadas à conta de serviço associada. As solicitações que usam a chave de API para pedir atualizações de diretório usam as permissões da conta de serviço. Se a conexão for excluída, a conta de serviço e todas as chaves de API associadas também serão excluídas.

Outras informações importantes sobre as chaves de API SCIM de entrada:

  • Como as chaves de API e as contas de serviço são gerenciadas no Google Workspace Admin Console, elas não aparecem no seu Google Cloud Admin Console.
  • As chaves de API só podem ser usadas para o endpoint da API SCIM do Cloud Identity.

Os administradores também precisam saber que as contas de administrador do Workspace precisam ser sincronizadas manualmente. As contas de serviço associadas a conexões SCIM de entrada não têm permissão para gerenciar contas de administrador.

Como funciona o bloqueio de grupos sincronizados?

Quando você cria uma conexão SCIM de entrada, a configuração Bloquear grupos sincronizados é marcada por padrão. Ele ajuda a manter a consistência entre os provedores de identidade, impedindo que os usuários façam mudanças no seu diretório.

  • Processamento inicial:quando um grupo é criado ou atualizado pela primeira vez usando uma solicitação SCIM, a configuração Bloquear grupos sincronizados da sua conexão é aplicada. Quando isso acontece, o grupo é marcado como processado.
  • Desbloqueios manuais:se um administrador desbloquear manualmente um grupo processado, as atualizações do SCIM não vão bloqueá-lo novamente. A substituição permanece até que as configurações de conexão do SCIM sejam atualizadas.
  • Mudança nas configurações de conexão:se você atualizar a configuração Bloquear grupos sincronizados da sua conexão SCIM, a nova configuração será aplicada aos grupos associados na próxima solicitação SCIM.

Saiba mais sobre como bloquear grupos para manter os dados sincronizados.

Antes de começar

Antes de usar o SCIM de entrada, você precisa ter:

Se você precisar de ajuda para gerenciar conexões SCIM de entrada, conceda a outro administrador o privilégio Gerenciamento de configurações do Directory Sync do tipo SCIM de entrada no Admin Console. Se você precisar que outro administrador possa ver, mas não atualizar as configurações, conceda a ele o privilégio Leitura das configurações do Directory Sync do tipo SCIM de entrada.

Configurar o SCIM de entrada

  1. No Google Admin Console, acesse Menu e depois Diretório e depois Diretórios externos.

    Exige o privilégio Gerenciamento de configurações do Directory Sync do tipo SCIM de entrada.

  2. Clique em Configurar SCIM de entrada se você não tiver configurado nenhuma outra sincronização. Se você já tiver configurado o Directory Sync, abra a guia SCIM de entrada e selecione Adicionar conector SCIM.

  3. Adicione um Nome da conexão para essa sincronização.

    Observação:escolha um nome curto e descritivo. Os primeiros 18 caracteres do nome, sem incluir espaços, formam o endereço de e-mail da conta de serviço criada para essa conexão SCIM.

  4. Copie e salve o URL do endpoint SCIM. Adicione isso ao seu provedor de identidade externo para se conectar.

  5. A configuração Bloquear grupos sincronizados fica marcada por padrão. Ativar essa configuração mantém a consistência entre os provedores de identidade.

  6. Clique em Salvar e continuar.

  7. Clique em Gerar chave de API.

  8. Um pop-up mostra uma chave de API gerada. Copie e cole em algum lugar onde você possa acessar de novo. Em seguida, clique em Copiar para a área de transferência e fechar.

    Observação:depois de fechar a caixa de diálogo, não será possível ver a chave novamente. Você pode gerar até duas chaves, além de excluir e gerar novamente se precisar de novas.

  9. No seu IdP externo ou outro cliente SCIM, use a chave de API como um token de portador para autorizar solicitações da API SCIM.

  10. Quando você voltar à página "Diretórios externos", poderá revisar as conexões do Directory Sync ou do SCIM de entrada.


Google, Google Workspace e marcas e logotipos relacionados são marcas registradas da Google LLC. Todos os outros nomes de empresas e produtos são marcas registradas das empresas às quais estão associados.