Configura SCIM en el IdP de OIDC o SAML

En este documento, se describe cómo configurar un arrendatario de SCIM en un grupo de identidades de personal. Para obtener más información sobre SCIM, consulta Aprovisionamiento de SCIM para la federación de identidades de personal.

Cada grupo de identidades de personal solo admite un inquilino de SCIM. Para configurar un nuevo usuario de SCIM en un grupo que ya tiene uno, primero debes borrar de forma definitiva el usuario existente.

La marca --claim-mapping para un arrendatario de SCIM solo puede contener expresiones específicas de Common Expression Language (CEL). Para saber qué expresiones se admiten, consulta Asignación de reclamaciones.

Asegúrate de que tu IdP proporcione valores únicos y no vacíos para los atributos asignados a google.subject y google.group. La sincronización de valores duplicados falla con un error HTTP 409 Conflict, y los valores nulos o vacíos fallan con un error HTTP 400 Bad Request. Para obtener más información, consulta Compatibilidad con SCIM.

Para configurar el Sistema para la administración de identidades entre dominios (SCIM), haz lo siguiente:

  1. Configura un usuario y un token de SCIM en Google Cloud
  2. Configura SCIM en el IdP de OIDC o SAML
  3. Actualiza el proveedor para habilitar SCIM
  4. Verifica la sincronización de SCIM

Configura un usuario y un token de SCIM en Google Cloud

Para configurar un usuario de SCIM en Google Cloud, haz lo siguiente:

  1. Crea un usuario de SCIM. 

        gcloud iam workforce-pools providers scim-tenants create SCIM_TENANT_ID \
        --workforce-pool="WORKFORCE_POOL_ID" \
        --provider="PROVIDER_ID" \
        --display-name="SCIM_TENANT_DISPLAY_NAME" \
        --description="SCIM_TENANT_DESCRIPTION" \
        --claim-mapping="CLAIM_MAPPING" \
        --location="global"

    Reemplaza lo siguiente:

    • SCIM_TENANT_ID: Es un ID para tu usuario de SCIM.
    • WORKFORCE_POOL_ID: Es el ID del grupo de personal que creaste antes en este documento.
    • PROVIDER_ID: Es el ID del proveedor de grupos de identidades para cargas de trabajo que creaste antes en este documento.
    • SCIM_TENANT_DISPLAY_NAME: Es un nombre visible para tu usuario de SCIM.
    • SCIM_TENANT_DESCRIPTION: Es una descripción para tu usuario de SCIM.
    • CLAIM_MAPPING: Es una lista separada por comas de asignaciones de atributos. Para obtener la lista extendida de atributos de asignación, consulta Asignación de reclamaciones. Se recomienda la siguiente asignación para Gemini Enterprise: 
      google.subject=user.emails[0].value.lowerAscii(),google.group=group.externalId

      El atributo google.subject que asignas en el arrendatario de SCIM debe hacer referencia de forma inequívoca a las mismas identidades que se asignan en el atributo google.subject del proveedor de grupos de identidades de personal con la marca --attribute-mapping. Después de crear el arrendatario de SCIM, no podrás actualizar la asignación de reclamaciones. Para reemplazarlo, puedes borrar de forma definitiva el arrendatario de SCIM y crear uno nuevo de inmediato. Para obtener más información sobre las consideraciones para usar SCIM, consulta Compatibilidad con SCIM.

  2. Cuando se complete el comando, haz lo siguiente:

    1. En el campo baseUri del resultado, guarda el URI completo, que tiene el formato https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID. Debes proporcionar este URI a tu IdP.
    2. Además, del URI, guarda solo el SCIM_TENANT_UID. Necesitas este UID para establecer una política de IAM de permisos en el arrendatario de SCIM más adelante en este documento.

  3. Crea un token de SCIM: 

        gcloud iam workforce-pools providers scim-tenants tokens create SCIM_TOKEN_ID \
        --display-name DISPLAY_NAME \
        --scim-tenant SCIM_TENANT_ID \
        --workforce-pool WORKFORCE_POOL_ID \
        --provider PROVIDER_ID \
        --location global

    Reemplaza lo siguiente:

    • SCIM_TOKEN_ID: Es un ID para el token de SCIM.
    • DISPLAY_NAME: Es el nombre visible del token de SCIM.
    • WORKFORCE_POOL_ID: el ID del grupo de personal
    • SCIM_TENANT_ID: Es el ID del usuario de SCIM.
    • PROVIDER_ID: El ID del proveedor de grupo de identidades de personal

  4. Cuando se complete el comando gcloud iam workforce-pools providers scim-tenants tokens create, haz lo siguiente:

    1. En el resultado, guarda el valor de SCIM_TOKEN en el campo securityToken. Debes proporcionar este token de seguridad a tu IdP. El token de seguridad solo se muestra en este resultado, y si se pierde, debes crear un token de SCIM nuevo.

    2. Para verificar si tu política de la organización rechaza SCIM_TOKEN, ejecuta el siguiente comando:

      curl -v -H "Authorization: Bearer SCIM_TOKEN"  https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Users

      Si el comando falla con un error relacionado con los permisos, ejecuta gcloud organizations add-iam-policy-binding, como se describe en un paso posterior. Si el comando se ejecuta de forma correcta, puedes omitir ese paso.

  5. Establece una política de permisos de IAM en el usuario y el token de SCIM. Si el comando curl de un paso anterior falló con un error relacionado con los permisos, debes ejecutar el siguiente comando: 

        gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
        --member=serviceAccount:SERVICE_AGENT_EMAIL \
        --role roles/iam.scimSyncer

    Reemplaza lo siguiente:

    • ORGANIZATION_ID: Es el ID de la organización.
    • SERVICE_AGENT_EMAIL: Es la dirección de correo electrónico del agente de servicio. La dirección de correo electrónico tiene el siguiente formato: o-ORGANIZATION_ID-SCIM_TENANT_UID@gcp-sa-iamscim.iam.gserviceaccount.com. SCIM_TENANT_UID se muestra cuando creas el usuario de SCIM.

Cuando aprovisiones grupos en tu IdP, asegúrate de que el nombre visible de cada grupo, como se proporciona en el campo displayName, sea único dentro de un arrendatario de SCIM. Para obtener más información sobre los grupos y SCIM en Microsoft Entra ID, consulta Grupos.

Actualiza el proveedor para habilitar SCIM

Para habilitar SCIM en un proveedor, establece la marca --scim-usage según el objetivo de tu producto:

Habilita SCIM para grupos (Gemini Enterprise)

OIDC

      gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=LOCATION \
          --scim-usage=enabled-for-groups

Reemplaza lo siguiente:

  • PROVIDER_ID: El ID del proveedor de grupo de identidades de personal
  • WORKFORCE_POOL_ID: el ID del grupo de personal
  • LOCATION: Es la ubicación del grupo de personal.

SAML

      gcloud iam workforce-pools providers update-saml PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=LOCATION \
          --scim-usage=enabled-for-groups

Reemplaza lo siguiente:

  • PROVIDER_ID: El ID del proveedor de grupo de identidades de personal
  • WORKFORCE_POOL_ID: el ID del grupo de personal
  • LOCATION: Es la ubicación del grupo de personal.

Habilita SCIM para usuarios y grupos (Looker) (vista previa)

OIDC

      gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=LOCATION \
          --scim-usage=enabled-for-users-groups

Reemplaza lo siguiente:

  • PROVIDER_ID: El ID del proveedor de grupo de identidades de personal
  • WORKFORCE_POOL_ID: el ID del grupo de personal
  • LOCATION: Es la ubicación del grupo de personal.

SAML

      gcloud iam workforce-pools providers update-saml PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=LOCATION \
          --scim-usage=enabled-for-users-groups

Reemplaza lo siguiente:

  • PROVIDER_ID: El ID del proveedor de grupo de identidades de personal
  • WORKFORCE_POOL_ID: el ID del grupo de personal
  • LOCATION: Es la ubicación del grupo de personal.

Para verificar la sincronización de SCIM, consulta Cómo verificar la sincronización de SCIM.

Asignación de reclamaciones

Cuando configuras SCIM, defines asignaciones de reclamaciones (--claim-mapping) en el usuario de SCIM para asignar atributos de usuarios y grupos de SCIM a atributos de Google.

Atributos Google Cloud compatibles para la asignación de reclamaciones

En la siguiente tabla, se enumeran los atributos de Google Cloud que puedes asignar en tu arrendatario de SCIM (--claim-mapping) con Common Expression Language (CEL):

AtributoGoogle Cloud Requisito Descripción Expresiones y límites admitidos
google.subject Obligatorio

Es el identificador único del usuario que se autentica.

El atributo subyacente del IdP que se usa para completar google.subject debe ser idéntico en la asignación del proveedor (--attribute-mapping) y en el arrendatario de SCIM (--claim-mapping). Si estas asignaciones son incoherentes, es posible que los usuarios puedan acceder, pero no se los reconocerá como miembros de los grupos aprovisionados por SCIM.

 Se restringe a las siguientes expresiones básicas (o con .lowerAscii()):
  • user.externalId
  • user.userName
  • user.emails[0].value

Longitud máxima: 127 bytes.

Nota: Esta asignación es inmutable una vez que se crea el usuario de SCIM. Para actualizarla, debes borrar de forma permanente y volver a crear el usuario de SCIM.
google.group Obligatorio para los grupos de SCIM Es el identificador único de la pertenencia a un grupo que se sincronizó con SCIM. Se restringe a las siguientes expresiones básicas (o con .lowerAscii()):
  • group.externalId
  • group.displayName

Nota: Esta asignación es inmutable una vez que se crea el usuario de SCIM. Para actualizarla, debes borrar de forma permanente y volver a crear el usuario de SCIM.
google.display_name Opcional Es un atributo que establece el nombre del usuario que accedió a la consola de Google Cloud . No se puede usar en las políticas de permiso de IAM. Se asigna a un atributo de cadena (como user.displayName o user.name.formatted). La longitud máxima es de 100 bytes.
google.profile_photo Opcional Es la URL de la foto en miniatura del usuario que se ve como su foto de perfil en la consola de Google Cloud . No se puede usar en las políticas de permiso de IAM. Debe evaluarse como una cadena de URL válida (como user.photos.filter(p, p.type == 'thumbnail')[0].value o user.photos[0].value).
google.email Opcional Es un atributo que se usa para asignar direcciones de correo electrónico del IdP a productos integrados con la integración de clientes de OAuth de la federación de identidades del personal. No se puede usar en las políticas de permiso de IAM. Se asigna a un atributo de correo electrónico (como user.emails.filter(e, e.type == 'work')[0].value o user.emails[0].value).
google.posix_username Opcional Cadena de nombre de usuario única que cumple con POSIX y se usa para la conexión SSH en el navegador y el Acceso al SO con la federación de identidades de personal. Este atributo no se puede usar en las políticas de permiso de IAM. La longitud máxima es de 32 caracteres.
attribute.KEY Opcional

Son atributos personalizados de tu IdP que puedes usar para definir tu estrategia de autorización en una política de permisos de IAM. Reemplaza KEY por el nombre del atributo que deseas usar.

Por ejemplo, puedes definir un atributo personalizado como costcenter = "1234" y hacer referencia a él con principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.costcenter/1234. Otorgar acceso a este identificador principal permite acceder a todas las identidades configuradas en el IdP con ese centro de costos.

 Hasta 50 reglas de asignación de atributos personalizados El tamaño máximo por regla es de 256 caracteres.

Ejemplo de asignaciones para la coherencia del tema

Como se describe en Atributos admitidos para la asignación de reclamaciones, el atributo de IdP subyacente que se usa para propagar google.subject debe ser idéntico en la asignación del proveedor (--attribute-mapping) y en el arrendatario de SCIM (--claim-mapping). En la siguiente tabla, se muestran ejemplos de referencia para el IdP de OIDC o SAML:

Atributo de Google Asignación de proveedores de grupos de identidades del personal Asignación de usuarios de SCIM

Verifica la sincronización de SCIM

Después de configurar SCIM, puedes usar curl para consultar el extremo del servicio SCIM de IAM (iamscim.googleapis.com) y verificar que los usuarios y los grupos se sincronicen con Google Cloud. Estos comandos requieren un token de SCIM válido y el UID de tu arrendatario de SCIM. El servicio iamscim.googleapis.com implementa el protocolo SCIM 2.0 (RFC 7644). Para obtener detalles sobre los extremos admitidos, los filtros de consulta y las limitaciones, consulta Extremos admitidos y no admitidos y Limitaciones de las funciones del protocolo.

Verifica la sincronización del usuario

Para verificar que un usuario se haya sincronizado correctamente, busca su userName con el siguiente filtro:

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Users?filter=userName%20eq%20%22USER_NAME%22"

Respuesta de ejemplo:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "USER_ID",
      "userName": "USER_NAME",
      ...
    }
  ]
}

Verifica la sincronización de grupos

Para verificar que un grupo se haya sincronizado correctamente, busca su displayName con el siguiente filtro:

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Groups?filter=displayName%20eq%20%22GROUP_NAME%22"

Respuesta de ejemplo:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "GROUP_ID",
      "displayName": "GROUP_NAME",
      ...
    }
  ]
}

Verifica la pertenencia a un grupo

Para verificar si un usuario específico es miembro de un grupo, usa un filtro que especifique el ID del grupo y el ID del usuario.

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Groups?filter=id%20eq%20%22GROUP_ID%22%20and%20members%20eq%20%22USER_ID%22"

Ejemplo de respuesta si el usuario es miembro:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "GROUP_ID",
      "displayName": "GROUP_NAME",
      ...
    }
  ]
}

Ejemplo de respuesta si el usuario no es miembro:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 0,
  "Resources": []
}

Nota: Para obtener GROUP_ID y USER_ID, primero busca el grupo y el usuario con los filtros displayName y userName. Los IDs se muestran en el campo id de la respuesta. Reemplaza SCIM_TOKEN, SCIM_TENANT_UID, USER_NAME, GROUP_NAME, GROUP_ID y USER_ID por tus valores reales.

Forzar la eliminación de un usuario de SCIM

Para forzar el borrado de un usuario de SCIM, haz lo siguiente:

  1. Si se configuró --scim-usage=enabled-for-groups o --scim-usage=enabled-for-users-groups para tu proveedor, inhabilítalo en la configuración del proveedor:

    OIDC

    gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=LOCATION \
    --scim-usage=SCIM_USAGE_UNSPECIFIED

    Reemplaza lo siguiente:

    • PROVIDER_ID: El ID del proveedor de grupo de identidades de personal
    • WORKFORCE_POOL_ID: el ID del grupo de personal
    • LOCATION: Es la ubicación del grupo de personal.

    SAML

    gcloud iam workforce-pools providers update-saml PROVIDER_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --location=LOCATION \
    --scim-usage=SCIM_USAGE_UNSPECIFIED

    Reemplaza lo siguiente:

    • PROVIDER_ID: El ID del proveedor de grupo de identidades de personal
    • WORKFORCE_POOL_ID: el ID del grupo de personal
    • LOCATION: Es la ubicación del grupo de personal.
  2. Borra el usuario de SCIM: 
    gcloud iam workforce-pools providers scim-tenants delete SCIM_TENANT_ID \
    --workforce-pool=WORKFORCE_POOL_ID \
    --provider=PROVIDER_ID \
    --hard-delete \
    --location=global

    Reemplaza lo siguiente:

    • SCIM_TENANT_ID: Es el ID del usuario de SCIM que se borrará.
    • WORKFORCE_POOL_ID: el ID del grupo de personal
    • PROVIDER_ID: El ID del proveedor de grupo de identidades de personal
    Para obtener más información sobre SCIM, incluida la eliminación de arrendatarios de SCIM, consulta Compatibilidad con SCIM.

¿Qué sigue?