OIDC 또는 SAML IdP에서 SCIM 구성

중요: SCIM은 Gemini Enterprise에서만 사용할 수 있습니다.

이 문서에서는 직원 ID 풀에서 SCIM 테넌트를 구성하는 방법을 설명합니다. SCIM에 대한 자세한 내용은 직원 ID 제휴를 위한 SCIM 프로비저닝을 참조하세요.

각 직원 ID 풀은 하나의 SCIM 테넌트만 지원합니다. 이미 SCIM 테넌트가 있는 풀에서 새 SCIM 테넌트를 구성하려면 먼저 기존 테넌트를 하드 삭제해야 합니다.

SCIM 테넌트의 --claim-mapping 플래그에는 특정 Common Expression Language(CEL) 표현식만 포함될 수 있습니다. 지원되는 표현식을 알아보려면 토큰 및 SCIM 속성 매핑을 참조하세요.

중요: IdP가 SCIM을 사용하여 google.subject 및 google.group에 매핑하는 속성에 고유한 값을 제공하는지 확인합니다. 자세한 내용은 SCIM 지원을 참조하세요.

도메인 간 ID 관리 시스템 (SCIM)을 구성하려면 다음을 수행합니다.

1. 에서 SCIM 테넌트 및 토큰 구성 Google Cloud
2. OIDC 또는 SAML IdP에서 SCIM 구성
3. SCIM을 사용 설정하도록 공급업체 업데이트
4. SCIM 동기화 확인

에서 SCIM 테넌트 및 토큰 구성 Google Cloud

Google Cloud에서 SCIM 테넌트를 구성하려면 다음을 수행합니다.

1. SCIM 테넌트를 만듭니다.

       gcloud iam workforce-pools providers scim-tenants create SCIM_TENANT_ID \
           --workforce-pool="WORKFORCE_POOL_ID" \
           --provider="PROVIDER_ID" \
           --display-name="SCIM_TENANT_DISPLAY_NAME" \
           --description="SCIM_TENANT_DESCRIPTION" \
           --claim-mapping="CLAIM_MAPPING" \
           --location="global"
       

   다음을 바꿉니다.

   • SCIM_TENANT_ID: SCIM 테넌트의 ID입니다.
   • WORKFORCE_POOL_ID: 이 문서 앞부분에서 만든 직원 풀의 ID입니다.
   • PROVIDER_ID: 이 문서 앞부분에서 만든 직원 ID 풀 공급업체의 ID입니다.
   • SCIM_TENANT_DISPLAY_NAME: SCIM 테넌트의 표시 이름입니다.
   • SCIM_TENANT_DESCRIPTION: SCIM 테넌트에 대한 설명입니다.
   • CLAIM_MAPPING: 속성 매핑의 쉼표로 구분된 목록입니다. 매핑 속성의 확장된 목록은 토큰 및 SCIM 속성 매핑을 참조하세요. Gemini Enterprise에는 다음 매핑이 권장됩니다.

     google.subject=user.emails[0].value.lowerAscii(),google.group=group.externalId

     SCIM 테넌트에서 매핑하는 google.subject 속성은 --attribute-mapping 플래그를 사용하여 직원 ID 풀 프로바이더의 google.subject 속성에 매핑된 동일한 ID를 고유하게 참조해야 합니다. SCIM 테넌트가 생성된 후에는 클레임 매핑을 업데이트할 수 없습니다. 이를 대체하려면 SCIM 테넌트를 하드 삭제하고 즉시 새 테넌트를 만들면 됩니다. SCIM 사용 시 고려사항에 대해 자세히 알아보려면 SCIM 지원을 참조하세요.

2. 명령어가 완료되면 다음을 수행합니다.

   1. 출력의 baseUri 필드에 https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID 형식으로 지정된 전체 URI를 저장합니다. 이 URI를 IdP에 제공해야 합니다.
   2. 또한 URI에서 SCIM_TENANT_UID만 저장합니다. 이 UID는 이 문서 뒷부분에서 IAM 허용 정책을 SCIM 테넌트에 설정하는 데 필요합니다.

3. SCIM 토큰을 만듭니다.

       gcloud iam workforce-pools providers scim-tenants tokens create SCIM_TOKEN_ID \
           --display-name DISPLAY_NAME \
           --scim-tenant SCIM_TENANT_ID \
           --workforce-pool WORKFORCE_POOL_ID \
           --provider PROVIDER_ID \
           --location global
       

   다음을 바꿉니다.

   • SCIM_TOKEN_ID: SCIM 토큰 ID입니다.
   • DISPLAY_NAME: SCIM 토큰의 표시 이름입니다.
   • WORKFORCE_POOL_ID: 직원 풀의 ID입니다.
   • SCIM_TENANT_ID: SCIM 테넌트의 ID입니다.
   • PROVIDER_ID: 직원 ID 풀 공급업체의 ID입니다.

4. gcloud iam workforce-pools providers scim-tenants tokens create 명령어가 완료되면 다음을 수행합니다.

   1. 출력에서 SCIM_TOKEN 값을 securityToken 필드에 저장합니다. 이 보안 토큰을 IdP에 제공해야 합니다. 보안 토큰은 이 출력에만 표시되며 분실한 경우 새 SCIM 토큰을 만들어야 합니다.

   2. 조직 정책에서 SCIM_TOKEN을 거부했는지 확인하려면 다음 명령어를 실행합니다.

      curl -v -H "Authorization: Bearer SCIM_TOKEN"  https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Users

      권한 관련 오류가 표시되면서 명령어가 실패하면 이후 단계에 설명된 gcloud organizations add-iam-policy-binding을 실행합니다. 명령어가 성공하면 이 단계를 건너뛸 수 있습니다.

5. SCIM 테넌트 및 토큰에 IAM 허용 정책을 설정합니다. 권한 관련 오류가 표시되면서 이전 단계의 curl 명령어가 실패하면 다음 명령어를 실행해야 합니다.

       gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
           --member=serviceAccount:SERVICE_AGENT_EMAIL \
           --role roles/iam.scimSyncer
       

   다음을 바꿉니다.

   • ORGANIZATION_ID: 조직의 ID입니다.
   • SERVICE_AGENT_EMAIL: 서비스 에이전트의 이메일 주소입니다. 이메일 주소는 [e-mail] 형식입니다. SCIM 테넌트를 만들면 SCIM_TENANT_UID가 반환됩니다.

IdP에서 그룹을 프로비저닝할 때 displayName 필드에 제공된 각 그룹의 표시 이름이 SCIM 테넌트 내에서 고유해야 합니다. Microsoft Entra ID의 그룹 및 SCIM을 자세히 알아보려면 그룹을 참조하세요.

OIDC 또는 SAML IdP에서 SCIM 구성

IdP 문서의 설명대로 IdP에서 SCIM을 구성합니다. 이전 단계에서 가져온 SCIM URL 및 SCIM 토큰을 사용합니다.

SCIM을 사용 설정하도록 공급업체 업데이트

공급업체에 SCIM을 사용 설정하려면 다음 단계를 따르세요.

OIDC

      gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=LOCATION \
          --scim-usage=enabled-for-groups
    

다음을 바꿉니다.

• PROVIDER_ID: 직원 ID 풀 공급업체의 ID입니다.
• WORKFORCE_POOL_ID: 직원 풀의 ID입니다.
• LOCATION: 직원 풀의 위치입니다.

SAML

      gcloud iam workforce-pools providers update-saml PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=LOCATION \
          --scim-usage=enabled-for-groups
    

다음을 바꿉니다.

• PROVIDER_ID: 직원 ID 풀 공급업체의 ID입니다.
• WORKFORCE_POOL_ID: 직원 풀의 ID입니다.
• LOCATION: 직원 풀의 위치입니다.

SCIM 동기화를 확인하려면 SCIM 동기화 확인을 참조하세요.

토큰 및 SCIM 속성 매핑

직원 ID 풀 프로바이더와 프로바이더에 대해 구성된 SCIM 테넌트 모두에서 속성을 일관되게 매핑해야 합니다. 직원 ID 풀 프로바이더의 경우 --attribute-mapping 플래그를 사용하고 SCIM 테넌트의 경우 --claim-mapping 플래그를 사용합니다. 사용자의 google.subject에 매핑된 IdP 속성은 토큰에 정의되었는지 SCIM 매핑에 정의되었는지에 관계없이 동일한 ID를 고유하게 참조해야 합니다. SCIM을 사용할 때 속성을 매핑하는 방법을 자세히 알아보려면 SCIM 지원 섹션을 참조하세요. 다음 표에는 토큰 클레임의 속성과 SCIM 속성을 매핑하는 방법이 나와 있습니다.

Google 속성	직원 ID 풀 공급업체 매핑	SCIM 테넌트 매핑
google.subject	assertion.sub	user.externalId
google.group: --scim-usage=enabled-for-groups로 공급업체를 업데이트하도록 지원	N/A	group.externalId

SCIM 동기화 확인

SCIM을 구성한 후 curl을 사용하여 사용자와 그룹이 에 올바르게 동기화되는지 확인할 수 있습니다 Google Cloud. 이러한 명령어를 사용하려면 유효한 SCIM 토큰과 SCIM 테넌트 ID가 필요합니다.

사용자 동기화 확인

사용자가 올바르게 동기화되었는지 확인하려면 다음 필터를 사용하여 사용자의 userName을 검색합니다.

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Users?filter=userName%20eq%20%22USER_NAME%22"

응답 예:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "USER_ID",
      "userName": "USER_NAME",
      ...
    }
  ]
}

그룹 동기화 확인

그룹이 올바르게 동기화되었는지 확인하려면 다음 필터를 사용하여 그룹의 displayName을 검색합니다.

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Groups?filter=displayName%20eq%20%22GROUP_NAME%22"

응답 예:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "GROUP_ID",
      "displayName": "GROUP_NAME",
      ...
    }
  ]
}

그룹 멤버십 확인

특정 사용자가 그룹의 구성원인지 확인하려면 그룹 ID와 사용자 ID를 모두 지정하는 필터를 사용합니다.

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Groups?filter=id%20eq%20%22GROUP_ID%22%20and%20members%20eq%20%22USER_ID%22"

사용자가 구성원인 경우 응답 예:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "GROUP_ID",
      "displayName": "GROUP_NAME",
      ...
    }
  ]
}

사용자가 구성원이 아닌 경우 응답 예:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 0,
  "Resources": []
}

참고: GROUP_ID 및 USER_ID를 가져오려면 먼저 displayName 및 userName 필터를 사용하여 그룹과 사용자를 찾습니다. ID는 응답의 id 필드에 반환됩니다. SCIM_TOKEN, SCIM_TENANT_UID, USER_NAME, GROUP_NAME, GROUP_ID, USER_ID를 실제 값으로 바꿉니다.

SCIM 테넌트 강제 삭제

SCIM 테넌트를 강제 삭제하려면 다음을 수행합니다.

1. 공급업체에 --scim-usage=enabled-for-groups가 설정되어 있으면 공급업체 구성에서 사용 중지합니다.

             gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
                 --workforce-pool=WORKFORCE_POOL_ID \
                 --location=LOCATION \
                 --scim-usage=SCIM_USAGE_UNSPECIFIED
           

   다음을 바꿉니다.

   • PROVIDER_ID: 직원 ID 풀 공급업체의 ID입니다.
   • WORKFORCE_POOL_ID: 직원 풀의 ID입니다.
   • LOCATION: 직원 풀의 위치입니다.

2. SCIM 테넌트를 삭제합니다.

     gcloud iam workforce-pools providers scim-tenants delete SCIM_TENANT_ID \
         --workforce-pool=WORKFORCE_POOL_ID \
         --provider=PROVIDER_ID \
         --hard-delete \
         --location=global
   

   다음을 바꿉니다.

   • SCIM_TENANT_ID: 삭제할 SCIM 테넌트의 ID입니다.
   • WORKFORCE_POOL_ID: 직원 풀의 ID입니다.
   • PROVIDER_ID: 직원 ID 풀 공급업체의 ID입니다.
   SCIM 테넌트 삭제를 비롯해 SCIM에 대해 자세히 알아보려면 SCIM 지원을 참조하세요.

다음 단계

• 직원 ID 제휴 사용자 및 데이터 삭제
• 직원 ID 제휴를 지원하는 Google Cloud 제품 알아보기
• 콘솔에 대한 사용자 액세스 설정(제휴)