インバウンド SCIM を使用して、外部ディレクトリのユーザーデータとグループのデータを Google Cloud のディレクトリに同期します。この同期プロセスはクラウドで行われるため、同期クライアントやオンプレミス ソフトウェアをインストールする必要はありません。インバウンド SCIM は、ディレクトリの整合性を保つために増分リアルタイム更新を設定する場合に最適です。
インバウンド SCIM のサポート対象
インバウンド SCIM は、ほとんどの ID プロバイダ（IdP）と人事情報システム（HRIS）でサポートされています。Google の API は、SCIM 2.0 標準をサポートする任意の IdP、HRIS、カスタム アプリケーションと連携できます。
インバウンド SCIM の仕組み
インバウンド SCIM 接続を設定すると、システムは ユーザー管理管理者とグループ管理者のロールを持つ Google 管理のサービス アカウントを自動的に作成します。また、IdP から同期する際にサービス アカウントの認証に使用される API キーも作成します。同期されたグループは、ディレクトリ間の一貫性を維持するために、デフォルトでロックされています。
インバウンド SCIM API キーの仕組み
API キーは SCIM 接続用に作成され、関連付けられたサービス アカウントにバインドされます。API キーを使用してディレクトリの更新を呼び出すリクエストは、サービス アカウントの権限を使用します。接続が削除されると、サービス アカウントと関連付けられている API キーも削除されます。
インバウンド SCIM API キーに関するその他の注意事項:
- API キーとサービス アカウントは Google Workspace 管理コンソールで管理されるため、Google Cloud 管理コンソールには表示されません。
- API キーは、Cloud Identity SCIM API エンドポイントでのみ使用できます。
また、Workspace 管理者アカウントは手動で同期する必要があることにもご注意ください。インバウンド SCIM 接続に関連付けられているサービス アカウントには、管理者アカウントを管理する権限がありません。
同期されたグループのロックの仕組み
新しいインバウンド SCIM 接続を作成すると、[同期されたグループをロックする] 設定がデフォルトでオンになります。ユーザーがディレクトリを変更できないようにすることで、ID プロバイダ間の一貫性を維持できます。
- 初回処理: SCIM リクエストを使用してグループが初めて作成または更新されると、接続の [同期されたグループをロックする] 設定が適用されます。この処理が完了すると、グループは処理済みとしてマークされます。
- 手動によるロック解除: 管理者が処理済みのグループを手動でロック解除した場合、SCIM の更新によって再度ロックされることはありません。オーバーライドは、SCIM 接続設定が更新されるまで維持されます。
- 接続設定の変更: SCIM 接続の [同期されたグループをロックする] 設定を更新すると、次の SCIM リクエストで関連付けられたグループに新しい設定が適用されます。
詳しくは、グループをロックしてデータの同期を維持するをご覧ください。
始める前に
インバウンド SCIM を使用する前に、次のものが必要です。
- Google 管理コンソールで、特権管理者ロールまたはインバウンド SCIM ディレクトリ同期設定管理権限を持つカスタムロールが割り当てられている Google Cloud または Cloud Identity のアカウント。詳しくは、既定の管理者ロールをご確認ください。
- Google Cloud 組織リソース。組織リソースを取得する方法を確認する。
インバウンド SCIM 接続の管理でサポートが必要な場合は、管理コンソールで別の管理者に [インバウンド SCIM Directory Sync の設定の管理] 権限を付与できます。別の管理者に設定の表示のみを許可する（設定の更新は許可しない）場合は、その管理者に [インバウンド SCIM Directory Sync の設定の読み取り] 権限を付与できます。
インバウンド SCIM を設定する
-
Google 管理コンソールで、メニュー アイコン
[ディレクトリ] [外部ディレクトリ] に移動します。
アクセスするには、インバウンド SCIM Directory Sync の設定の管理権限が必要です。
- 他の同期を設定していない場合は、[受信 SCIM を設定] をクリックします。Directory Sync をすでに設定している場合は、[インバウンド SCIM] タブを開き、[SCIM コネクタを追加] を選択します。
この同期の接続名を追加します。
注: 簡潔でわかりやすい名前を選択してください。名前の最初の 18 文字（スペースを除く）は、この SCIM 接続用に作成されたサービス アカウントのメールアドレスになります。
SCIM エンドポイント URL をコピーして保存します。これを外部 ID プロバイダに追加して接続します。
[同期したグループをロックする] 設定は、デフォルトでオンになっています。この設定を有効にすると、ID プロバイダ間の一貫性が維持されます。
[保存して次へ] をクリックします。
[API キーを生成] をクリックします。
生成された API キーがポップアップで表示されます。後でアクセスできる場所にコピーして貼り付けます。[クリップボードにコピーして閉じる] をクリックします。
注: ダイアログを閉じると、キーを再び確認することはできません。キーは 2 つまで生成できます。新しいキーが必要な場合は、削除して再生成できます。
外部 IDP またはその他の SCIM クライアントで、API キーをベアラートークンとして使用して SCIM API リクエストを承認します。
[外部ディレクトリ] ページに戻ると、Directory Sync またはインバウンド SCIM の接続を確認できます。
関連トピック
Google、Google Workspace、および関連するマークとロゴは、Google LLC の商標です。その他すべての企業名および商品名は関連各社の商標です。