Configura SCIM en Okta

Importante: El aprovisionamiento de SCIM solo se aplica a Gemini Enterprise y Looker (versión preliminar).

En este documento, se describe cómo configurar un usuario de SCIM en un grupo de identidades de personal. Para obtener más información sobre SCIM, consulta Aprovisionamiento de SCIM para la federación de identidades de personal.

Cada grupo de identidades de personal admite solo un inquilino de SCIM. Para configurar un usuario de SCIM nuevo en un grupo que ya tiene uno, primero debes borrar de forma definitiva el usuario existente.

La marca --claim-mapping de un inquilino de SCIM solo puede contener expresiones específicas de Common Expression Language (CEL). Para saber qué expresiones se admiten, consulta Asignación de reclamaciones.

Asegúrate de que tu IdP proporcione valores únicos y no vacíos para los atributos asignados a google.subject y google.group. La sincronización de valores duplicados falla con un error HTTP 409 Conflict, y los valores nulos o vacíos fallan con un error HTTP 400 Bad Request. Para obtener más información, consulta Compatibilidad con SCIM.

Para configurar el Sistema para la administración de identidades entre dominios (SCIM), haz lo siguiente:

1. Configura un usuario y un token de SCIM en Google Cloud
2. Configura SCIM en Okta
3. Actualiza el proveedor para habilitar SCIM
4. Verifica la sincronización de SCIM

Configura un usuario y un token de SCIM en Google Cloud

Para configurar un usuario de SCIM en Google Cloud, haz lo siguiente:

1. Crea un usuario de SCIM.

       gcloud iam workforce-pools providers scim-tenants create SCIM_TENANT_ID \
           --workforce-pool="WORKFORCE_POOL_ID" \
           --provider="PROVIDER_ID" \
           --display-name="SCIM_TENANT_DISPLAY_NAME" \
           --description="SCIM_TENANT_DESCRIPTION" \
           --claim-mapping="CLAIM_MAPPING" \
           --location="global"
       

   Reemplaza lo siguiente:

   • SCIM_TENANT_ID: Es un ID para tu usuario de SCIM.
   • WORKFORCE_POOL_ID: Es el ID del grupo de personal que creaste antes en este documento.
   • PROVIDER_ID: Es el ID del proveedor de grupos de identidades de personal que creaste antes en este documento.
   • SCIM_TENANT_DISPLAY_NAME: Es un nombre visible para tu usuario de SCIM.
   • SCIM_TENANT_DESCRIPTION: Es una descripción para tu usuario de SCIM.
   • CLAIM_MAPPING: Es una lista separada por comas de asignaciones de atributos. Para obtener la lista extendida de atributos de asignación, consulta Asignación de reclamaciones. Se recomienda la siguiente asignación para Gemini Enterprise:

     google.subject=user.emails[0].value.lowerAscii(),google.group=group.displayName

     El atributo google.subject que asignas en el inquilino de SCIM debe hacer referencia de forma inequívoca a las mismas identidades que se asignan en el atributo google.subject en el proveedor de grupos de identidades de personal con la marca --attribute-mapping. Después de crear el inquilino de SCIM, no podrás actualizar la asignación de reclamaciones. Para reemplazarlo, puedes borrar de forma definitiva el inquilino de SCIM y crear uno nuevo de inmediato. Para obtener más información sobre las consideraciones para usar SCIM, consulta Compatibilidad con SCIM.

2. Cuando se complete el comando, haz lo siguiente:

   1. En el campo baseUri del resultado, guarda el URI completo, que tiene el formato https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID. Debes proporcionar este URI a tu IdP.
   2. Además, del URI, guarda solo el SCIM_TENANT_UID. Necesitas este UID para establecer una política de permisos de IAM en el usuario de SCIM más adelante en este documento.

3. Crea un token de SCIM:

       gcloud iam workforce-pools providers scim-tenants tokens create SCIM_TOKEN_ID \
           --display-name DISPLAY_NAME \
           --scim-tenant SCIM_TENANT_ID \
           --workforce-pool WORKFORCE_POOL_ID \
           --provider PROVIDER_ID \
           --location global
       

   Reemplaza lo siguiente:

   • SCIM_TOKEN_ID: Es un ID para el token de SCIM.
   • DISPLAY_NAME: Es el nombre visible del token de SCIM.
   • WORKFORCE_POOL_ID: Es el ID del grupo de personal.
   • SCIM_TENANT_ID: Es el ID del usuario de SCIM.
   • PROVIDER_ID: Es el ID del proveedor del grupo de identidades de personal.

4. Cuando se complete el comando gcloud iam workforce-pools providers scim-tenants tokens create, haz lo siguiente:

   1. En el resultado, guarda el valor de SCIM_TOKEN en el campo securityToken. Debes proporcionar este token de seguridad a tu IdP. El token de seguridad se muestra solo en este resultado y, si se pierde, debes crear un token de SCIM nuevo.

   2. Para verificar si la política de la organización rechaza SCIM_TOKEN, ejecuta el siguiente comando:

      curl -v -H "Authorization: Bearer SCIM_TOKEN"  https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Users

      Si el comando falla con un error relacionado con los permisos, ejecuta gcloud organizations add-iam-policy-binding, que se describe en un paso posterior. Si el comando se ejecuta de forma correcta, puedes omitir ese paso.

5. Establece una política de permisos de IAM en el usuario y el token de SCIM. Si el comando curl en un paso anterior falló con un error relacionado con los permisos, debes ejecutar el siguiente comando:

       gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
           --member=serviceAccount:SERVICE_AGENT_EMAIL \
           --role roles/iam.scimSyncer
       

   Reemplaza lo siguiente:

   • ORGANIZATION_ID: Es el ID de la organización.
   • SERVICE_AGENT_EMAIL: Es la dirección de correo electrónico del agente de servicio. La dirección de correo electrónico tiene el siguiente formato: [e-mail]. SCIM_TENANT_UID se devuelve cuando creas el usuario de SCIM.

Cuando aprovisiones grupos en tu IdP, asegúrate de que el nombre visible de cada grupo, como se proporciona en el campo displayName, sea único dentro de un inquilino de SCIM. Para obtener más información sobre los grupos y SCIM en Microsoft Entra ID, consulta Grupos.

Configura SCIM en Okta

Para configurar SCIM en Okta, en tu aplicación de Okta existente, haz lo siguiente:

1. Accede a la Consola del administrador de Okta.
2. Ve a Aplicaciones > Aplicaciones.

3. Selecciona o crea tu aplicación:

   • Si quieres seleccionar una aplicación existente, haz lo siguiente:

     1. Haz clic en el nombre de la aplicación que creaste con la plantilla de la federación de identidades de personal de Google Cloud.

     2. En la pestaña General, haz lo siguiente:

        1. En el panel Configuración de la app, haz clic en Editar.
        2. En el campo Tenant, ingresa el ID de usuario que obtuviste de gcloud CLI.
        3. Haz clic en Listo.

   • Si quieres crear una aplicación nueva, haz lo siguiente:

     1. Haz clic en Browse App Catalog.
     2. En el campo Buscar, ingresa Federación de identidades de personal de Google Cloud y, luego, selecciona la integración de Federación de identidades de personal de Google Cloud en los resultados.

     3. Haz clic en Agregar integración.

        1. En el campo Aplicación, ingresa un nombre para tu app.
        2. En el campo Inquilino, ingresa el ID de inquilino que obtuviste de gcloud CLI.
        3. Haz clic en Listo.

4. En la pestaña Aprovisionamiento, haz lo siguiente:

   1. En el panel Integración, haz clic en Editar.

      1. En el campo Token de API, ingresa el token de SCIM que obtuviste de Google Cloud.
      2. Para confirmar la validez del token de la API, haz clic en Probar credenciales.
      3. Selecciona Importar grupos.
      4. Haz clic en Guardar.

   2. En el panel A la app, haz clic en Editar.

      1. Selecciona Crear usuarios, Actualizar atributos de usuario y Desactivar usuarios.
      2. Haz clic en Guardar.

Actualiza el proveedor para habilitar SCIM

Para habilitar SCIM para un proveedor, establece la marca --scim-usage según tu producto de destino:

• Habilitado para grupos (enabled-for-groups): Se usa para Gemini Enterprise. Usa grupos sincronizados con SCIM para la autorización de IAM y la evaluación de políticas. Los atributos de usuario se siguen obteniendo de los tokens de acceso del IdP.
• Habilitado para usuarios y grupos (enabled-for-users-groups): Se usa para Looker (versión preliminar). Usa los datos de usuarios y grupos sincronizados con SCIM como la fuente principal de reclamaciones para los flujos de trabajo de autorización de IAM y acceso con OAuth.

Habilita SCIM para grupos (Gemini Enterprise)

OIDC

      gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=global \
          --scim-usage=enabled-for-groups
    

Reemplaza lo siguiente:

• PROVIDER_ID: Es el ID del proveedor del grupo de identidades de personal.
• WORKFORCE_POOL_ID: Es el ID del grupo de personal.

SAML

      gcloud iam workforce-pools providers update-saml PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=global \
          --scim-usage=enabled-for-groups
    

Reemplaza lo siguiente:

• PROVIDER_ID: Es el ID del proveedor del grupo de identidades de personal.
• WORKFORCE_POOL_ID: Es el ID del grupo de personal.

Habilita SCIM para usuarios y grupos (Looker) (versión preliminar)

OIDC

      gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=global \
          --scim-usage=enabled-for-users-groups
    

Reemplaza lo siguiente:

• PROVIDER_ID: Es el ID del proveedor del grupo de identidades de personal.
• WORKFORCE_POOL_ID: Es el ID del grupo de personal.

SAML

      gcloud iam workforce-pools providers update-saml PROVIDER_ID \
          --workforce-pool=WORKFORCE_POOL_ID \
          --location=global \
          --scim-usage=enabled-for-users-groups
    

Reemplaza lo siguiente:

• PROVIDER_ID: Es el ID del proveedor del grupo de identidades de personal.
• WORKFORCE_POOL_ID: Es el ID del grupo de personal.

Para verificar la sincronización de SCIM, consulta Verifica la sincronización de SCIM.

Asignación de reclamaciones

Cuando configuras SCIM, defines asignaciones de reclamaciones (--claim-mapping) en el inquilino de SCIM para asignar atributos de usuarios y grupos de SCIM a atributos de Google.

Atributos de Google Cloud compatibles para la asignación de reclamaciones

En la siguiente tabla, se enumeran los atributos de Google Cloud que puedes asignar en tu inquilino de SCIM (--claim-mapping) con Common Expression Language (CEL):

AtributoGoogle Cloud	Requisito	Descripción	Expresiones y límites admitidos
google.subject	Obligatorio	Es el identificador único del usuario que se autentica. El atributo de IdP subyacente que se usa para propagar google.subject debe ser idéntico tanto en la asignación del proveedor (--attribute-mapping) como en el inquilino de SCIM (--claim-mapping). Si estas asignaciones no son coherentes, es posible que los usuarios puedan acceder, pero no se los reconocerá como miembros de los grupos aprovisionados por SCIM.	Se restringe a las siguientes expresiones base (o con .lowerAscii()): user.externalId user.userName user.emails[0].value Longitud máxima: 127 bytes. Nota: Esta asignación es inmutable una vez que se crea el usuario de SCIM. Para actualizarla, debes borrar de forma definitiva y volver a crear el usuario de SCIM.
google.group	Obligatorio para los grupos de SCIM	Es el identificador único de la membresía del grupo sincronizada con SCIM.	Se restringe a las siguientes expresiones base (o con .lowerAscii()): group.externalId group.displayName Nota: Esta asignación es inmutable una vez que se crea el usuario de SCIM. Para actualizarla, debes borrar de forma definitiva y volver a crear el usuario de SCIM.
google.display_name	Opcional	Es un atributo que establece el nombre del usuario que accedió a la consola de Google Cloud . No se puede usar en las políticas de permiso de IAM.	Se asigna a un atributo de cadena (como user.displayName o user.name.formatted). Longitud máxima: 100 bytes.
google.profile_photo	Opcional	Es una URL de la foto en miniatura del usuario que se muestra como su foto de perfil en la consola de Google Cloud . No se puede usar en las políticas de permiso de IAM.	Debe evaluarse como una cadena de URL válida (como user.photos.filter(p, p.type == 'thumbnail')[0].value o user.photos[0].value).
google.email	Opcional	Es un atributo que se usa para asignar direcciones de correo electrónico del IdP a productos integrados con la integración de clientes de OAuth de la federación de identidades del personal. No se puede usar en las políticas de permiso de IAM.	Se asigna a un atributo de correo electrónico (como user.emails.filter(e, e.type == 'work')[0].value o user.emails[0].value).
google.posix_username	Opcional	Es una cadena de nombre de usuario única que cumple con POSIX y se usa para SSH en el navegador y el Acceso al SO con la federación de identidades de personal. Este atributo no se puede usar en las políticas de permiso de IAM.	La longitud máxima es de 32 caracteres.
attribute.KEY	Opcional	Atributos personalizados de tu IdP que puedes usar para definir tu estrategia de autorización en una política de permisos de IAM. Reemplaza KEY por el nombre del atributo que deseas usar. Por ejemplo, puedes definir un atributo personalizado, como costcenter = "1234", y hacer referencia a él con principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workforcePools/WORKFORCE_POOL_ID/attribute.costcenter/1234. Si otorgas acceso a este identificador de principal, se otorgará acceso a todas las identidades configuradas en el IdP con ese centro de costo.	Hasta 50 reglas de asignación de atributos personalizados Tamaño máximo por regla: 256 caracteres.

Ejemplos de asignaciones para la coherencia del sujeto

Como se describe en Atributos admitidos para la asignación de reclamaciones, el atributo de IdP subyacente que se usa para propagar google.subject debe ser idéntico en la asignación del proveedor (--attribute-mapping) y en el inquilino de SCIM (--claim-mapping). En la siguiente tabla, se muestran ejemplos de referencia para Okta:

Atributo de Google	Asignación de proveedores de grupos de identidades de personal	Asignación de usuarios de SCIM
google.subject	assertion.sub	user.externalId
google.subject	assertion.subject	user.userName
google.subject	assertion.subject.lowerAscii()	user.userName.lowerAscii()
google.subject	assertion.preferred_username	user.userName
google.subject	assertion.preferred_username.lowerAscii()	user.userName.lowerAscii()
google.subject	assertion.email	user.emails[0].value
google.subject	assertion.email.lowerAscii()	user.emails[0].value.lowerAscii()

Verifica la sincronización de SCIM

Importante: Debido a que SCIM se basa en envíos desde tu IdP, Google Cloud no extrae datos de forma activa ni verifica el estado de la conexión. Si la conexión entre tu IdP y Google Cloud se interrumpe de forma silenciosa, los datos de identidad pueden quedar obsoletos.

En los flujos de trabajo de duración de sesión extendida (ESL) que duran hasta 90 días, un usuario desactivado puede conservar el acceso hasta la próxima sincronización correcta o el vencimiento de la sesión. Para evitar el acceso no autorizado, supervisa y audita de forma continua el estado de la sincronización de SCIM.

Después de configurar SCIM, puedes usar curl para consultar el extremo del servicio de SCIM de IAM (iamscim.googleapis.com) y verificar que los usuarios y los grupos se sincronicen con Google Cloud. Estos comandos requieren un token de SCIM válido y el UID de tu usuario de SCIM. El servicio iamscim.googleapis.com implementa el protocolo SCIM 2.0 (RFC 7644). Para obtener detalles sobre los extremos admitidos, los filtros de consulta y las limitaciones, consulta Extremos admitidos y no admitidos y Limitaciones de las funciones del protocolo.

Verifica la sincronización del usuario

Para verificar que un usuario se haya sincronizado correctamente, busca el userName del usuario con el siguiente filtro:

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Users?filter=userName%20eq%20%22USER_NAME%22"

Respuesta de ejemplo:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "USER_ID",
      "userName": "USER_NAME",
      ...
    }
  ]
}

Verifica la sincronización de grupos

Para verificar que un grupo se haya sincronizado correctamente, busca el displayName del grupo con el siguiente filtro:

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Groups?filter=displayName%20eq%20%22GROUP_NAME%22"

Respuesta de ejemplo:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "GROUP_ID",
      "displayName": "GROUP_NAME",
      ...
    }
  ]
}

Verifica la membresía del grupo

Para verificar si un usuario específico es miembro de un grupo, usa un filtro que especifique el ID del grupo y el ID del usuario.

curl -H "Authorization: Bearer SCIM_TOKEN" \
  "https://iamscim.googleapis.com/v1alpha1/tenants/SCIM_TENANT_UID/Groups?filter=id%20eq%20%22GROUP_ID%22%20and%20members%20eq%20%22USER_ID%22"

Ejemplo de respuesta si el usuario es miembro:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 1,
  "Resources": [
    {
      "id": "GROUP_ID",
      "displayName": "GROUP_NAME",
      ...
    }
  ]
}

Respuesta de ejemplo si el usuario no es miembro:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:ListResponse"],
  "totalResults": 0,
  "Resources": []
}

Nota: Para obtener el GROUP_ID y el USER_ID, primero busca el grupo y el usuario con los filtros displayName y userName. Los IDs se devuelven en el campo id de la respuesta. Reemplaza SCIM_TOKEN, SCIM_TENANT_UID, USER_NAME, GROUP_NAME, GROUP_ID y USER_ID por tus valores reales.

Cómo forzar la eliminación de un usuario de SCIM

Para forzar la eliminación de un usuario de SCIM, haz lo siguiente:

1. Si se establece --scim-usage=enabled-for-groups o --scim-usage=enabled-for-users-groups para tu proveedor, inhabilítalo desde la configuración del proveedor:

   OIDC

   gcloud iam workforce-pools providers update-oidc PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --location=global \
       --scim-usage=SCIM_USAGE_UNSPECIFIED
   

   Reemplaza lo siguiente:

   • PROVIDER_ID: Es el ID del proveedor del grupo de identidades de personal.
   • WORKFORCE_POOL_ID: Es el ID del grupo de personal.

   SAML

   gcloud iam workforce-pools providers update-saml PROVIDER_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --location=global \
       --scim-usage=SCIM_USAGE_UNSPECIFIED
   

   Reemplaza lo siguiente:

   • PROVIDER_ID: Es el ID del proveedor del grupo de identidades de personal.
   • WORKFORCE_POOL_ID: Es el ID del grupo de personal.

2. Borra el usuario de SCIM:

   gcloud iam workforce-pools providers scim-tenants delete SCIM_TENANT_ID \
       --workforce-pool=WORKFORCE_POOL_ID \
       --provider=PROVIDER_ID \
       --hard-delete \
       --location=global
   

   Reemplaza lo siguiente:

   • SCIM_TENANT_ID: Es el ID del usuario de SCIM que se borrará.
   • WORKFORCE_POOL_ID: Es el ID del grupo de personal.
   • PROVIDER_ID: Es el ID del proveedor del grupo de identidades de personal.
   Para obtener más información sobre SCIM, incluida la eliminación de usuarios de SCIM, consulta Compatibilidad con SCIM.

¿Qué sigue?

• Soluciona problemas de aprovisionamiento de SCIM
• Borra los usuarios de la federación de identidades de personal y sus datos
• Revoca las sesiones de los usuarios de la federación de identidades de personal
• Obtén información sobre qué productos de Google Cloud admiten la federación de identidades de personal.
• Configura el acceso de usuario a la consola (federada)