Provisionamento do SCIM para a federação de identidade de colaboradores

Se o provedor de identidade (IdP) tiver suporte para o Sistema de gerenciamento de identidade entre domínios (SCIM), configure o IdP para provisionar e gerenciar grupos no Google Cloud.

Recursos

O suporte ao SCIM da federação de identidade de colaboradores oferece os seguintes recursos:

  • Sincronização de identidade:sincronize cópias somente leitura dos dados do usuário do IdP para ter uma visão geral das propriedades e associações de usuários no Google Cloud.

  • Simplificação de grupos:o SCIM processa grupos do seu IdP para que todas as associações diretas e indiretas (aninhadas) de um usuário sejam simplificadas e sincronizadas com oGoogle Cloud Serviço de associação a grupos (GMS, na sigla em inglês). Em seguida, o IAM usa esses grupos simplificados para verificações de política, superando as restrições de tamanho encontradas com frequência em tokens de IdP.

  • Integração do Gemini Enterprise:os locatários do SCIM oferecem suporte ao compartilhamento no Gemini Enterprise. O locatário do SCIM ativa dois recursos relacionados ao compartilhamento de notebooks no NotebookLM Enterprise:

    • Preenchimento automático de endereços de e-mail e grupos

    • O uso do nome do grupo em vez do ID do objeto (UUID)

    Para saber mais, consulte Compartilhar um notebook com um grupo.

Considerações

Ao usar o suporte ao SCIM da federação de identidade de colaboradores, as seguintes considerações se aplicam:

  • Você precisa configurar um pool e um provedor de identidade de colaboradores antes de configurar um locatário do SCIM.
  • Cada pool de identidades da força de trabalho aceita apenas um locatário do SCIM. Para configurar um novo locatário do SCIM no mesmo pool de identidade de colaboradores, primeiro exclua o atual. Ao excluir um locatário do SCIM, você tem duas opções:
    • Exclusão reversível (padrão): a exclusão de um locatário do SCIM inicia um período de exclusão reversível de 30 dias. Durante esse período, o locatário fica oculto e não pode ser usado. Além disso, não é possível criar um novo locatário do SCIM no mesmo pool de identidades da força de trabalho.
    • Exclusão permanente:para excluir um locatário do SCIM de forma permanente e imediata, use a flag --hard-delete com o comando de exclusão. Essa ação é irreversível e permite criar um novo locatário do SCIM no mesmo pool de identidades da força de trabalho imediatamente após a conclusão da exclusão. Como alternativa, crie um pool de identidades de colaboradores e um locatário do SCIM ou use um pool de identidades de colaboradores que não tenha sido configurado antes com um locatário do SCIM.
  • Ao usar o SCIM, você mapeia atributos no provedor de pool de identidades de colaboradores e no locatário do SCIM. O atributo google.subject precisa se referir de forma exclusiva às mesmas identidades. Você especifica o google.subject no provedor do pool de identidades de colaboradores usando a flag --attribute-mapping e no locatário do SCIM usando a flag --claim-mapping. O mapeamento de valores de identidade não exclusivos pode fazer com que o Google Cloud trate identidades de IdP diferentes como a mesma identidade. Como resultado, o acesso concedido a um usuário ou grupo pode ser estendido a outros, mas revogar o acesso de um pode não remover de todos.
  • Para usar o SCIM e mapear grupos, defina --scim-usage=enabled-for-groups. Quando você mapeia grupos usando o SCIM, qualquer mapeamento de grupo definido no provedor do pool de identidades da força de trabalho é ignorado. Ao se referir a grupos gerenciados pelo SCIM, o atributo mapeado é google.group, não google.groups. google.groups se refere apenas a grupos mapeados por token.
  • Aplicação da unicidade:o Google Cloud valida e aplica a unicidade em atributos mapeados para google.subject (usuários) e google.group (grupos) em um locatário do SCIM. Se os atributos mapeados provisionados pelo seu IdP resultarem em valores duplicados para google.subject ou google.group durante a sincronização, o provisionamento vai falhar com um erro HTTP 409 Conflict. Se um atributo mapeado for avaliado como nulo ou vazio, o provisionamento vai falhar com um erro HTTP 400 Bad Request.
  • Ao usar o SCIM, os atributos baseados em token mapeados com --attribute-mapping ainda podem ser usados para autenticação e em identificadores principais.
  • Para a configuração do Microsoft Entra ID, use o SCIM para ativar nomes de grupos legíveis por humanos no Gemini Enterprise.

Mapeamento de provedores OIDC e SAML para a configuração do SCIM

É preciso haver consistência entre o mapeamento de atributos na configuração do provedor do pool de identidades da força de trabalho (--attribute-mapping) e os mapeamentos de declarações no locatário do SCIM (--claim-mapping). O atributo do IdP usado para preencher google.subject (para usuários) precisa ser o mesmo, seja lido de uma declaração de token ou de um atributo do SCIM.

Se esses mapeamentos forem inconsistentes, os usuários poderão fazer login, mas não serão reconhecidos como membros dos grupos provisionados pelo SCIM. Por exemplo, se o provedor usar assertion.email para google.subject, o locatário do SCIM também precisará usar o atributo equivalente do SCIM (por exemplo, user.emails[0].value) para google.subject.

A tabela a seguir mostra os mapeamentos entre atributos de declaração de token e atributos do SCIM:

Atributo do Google Mapeamento de provedor de pool de identidade de colaboradores Mapeamento de locatário do SCIM (SCIM)
google.subject assertion.oid (EntraId) user.externalId
google.subject assertion.sub (Okta) user.externalId
google.subject assertion.preferred_username user.userName
google.subject assertion.preferred_username.lowerAscii() user.userName.lowerAscii()
google.subject assertion.email user.emails[0].value
google.subject assertion.email.lowerAscii() user.emails[0].value.lowerAscii()
google.group N/A (mapeado usando SCIM) group.externalId

Endpoints compatíveis e incompatíveis

Há suporte para os seguintes endpoints padrão do protocolo SCIM:

  • /Users: gerenciar recursos do usuário. Operações compatíveis: Create, Get, Update, Delete, Patch e Put.

  • /Groups: gerenciar recursos de grupo. Operações aceitas: Create, Get, Update, Delete e Patch. O método PUT não é compatível com grupos.

  • /Schemas: recupera informações do esquema.

  • /ServiceProviderConfig: recupere a configuração do provedor de serviços.

Os seguintes endpoints do protocolo SCIM não são compatíveis:

  • /Me

  • /Bulk

  • /Search

  • /ResourceTypes

Limitações

As seções a seguir descrevem as limitações e os desvios da implementação do SCIM da Federação de identidade da força de trabalho em relação às especificações do SCIM (RFC 7643 e 7644).

Limitações dos recursos do protocolo

  • Suporte a filtros:ao listar usuários ou grupos usando os endpoints /Users ou /Groups, as expressões de filtro só aceitam o operador eq (igual a). É possível combinar vários filtros eq com and. Outros operadores de filtro do SCIM, como co (contém) ou sw (começa com), não são compatíveis.

  • Paginação:a API SCIM do IAM não oferece suporte à paginação padrão para listar usuários ou grupos.

    • startIndex: esse parâmetro é sempre 1. A API retorna até 100 resultados, independente do valor fornecido para startIndex.

    • itemsPerPage: o número máximo de recursos retornados em uma única resposta é 100.

    • totalResults: a API não retorna a contagem total real de recursos correspondentes. O campo totalResults na resposta é sempre igual ao número de itens retornados nela, com um máximo de 100.

  • Receber grupo e listar grupos sem filtro:as APIs GetGroup e ListGroups retornam uma lista de participantes vazia. Para recuperar membros de um grupo específico, use a API ListGroups com um filtro de membros.

  • Resposta JSON não compatível com tokens inválidos:APIs que contêm um token de API inválido resultam em um 401 HTTP error de Google Cloud. A resposta não é uma estrutura JSON, conforme exigido pelas especificações.

Limitações de comportamento do SCIM

  • Identificadores imutáveis:os valores de atributos do SCIM mapeados para google.subject ou google.group são tratados como identificadores imutáveis em Google Cloud. Se precisar mudar esses valores, exclua permanentemente o usuário ou grupo do IdP e recrie com o novo valor.

  • Identificadores exclusivos e não vazios: Google Cloud impõe a exclusividade em valores mapeados para google.subject e google.group em um locatário do SCIM. A sincronização de atributos mapeados que resultam em valores duplicados para google.subject ou google.group falha com um erro HTTP 409 Conflict. Os atributos mapeados que são avaliados como nulos ou vazios falham com um erro HTTP 400 Bad Request.

  • Requisito de e-mail único:para que a sincronização do SCIM seja bem-sucedida, cada usuário precisa ter exatamente um endereço de e-mail do tipo work. O provisionamento ou as atualizações vão falhar se o IdP enviar vários e-mails ou se o único e-mail fornecido não for digitado como work.

  • Transformações sem diferenciação de maiúsculas e minúsculas:transformações limitadas da Common Expression Language (CEL) são compatíveis com mapeamentos de declarações do SCIM. Apenas .lowerAscii() é compatível com comparações sem diferenciação de maiúsculas e minúsculas para user.userName e user.emails[0].value.

Limitações de atributos

As seções a seguir descrevem o suporte a atributos para usuários, grupos e a extensão de esquema de usuário empresarial.

Atributos do usuário

A tabela a seguir detalha o suporte para atributos do usuário:

Atributo Subatributos Com suporte Limitações
userName N/A Sim N/A
name formatted, familyName, givenName, middleName, honorificPrefix, honorificSuffix Sim N/A
displayName N/A Sim N/A
nickName N/A Sim N/A
profileUrl N/A Sim N/A
title N/A Sim N/A
userType N/A Sim N/A
preferredLanguage N/A Sim N/A
locale N/A Sim N/A
timezone N/A Sim N/A
active N/A Sim N/A
password N/A Não N/A
emails display, type, value, primary Sim Somente o tipo de e-mail work é compatível.
phoneNumbers display, type, value, primary Sim N/A
ims display, type, value Sim N/A
photos display, type, value Sim N/A
addresses formatted, streetAddress, locality, region, postalCode, country Sim N/A
groups N/A Não N/A
entitlements display, type, value Sim N/A
roles type, value Sim display não é compatível.
x509Certificates type, value Sim display não é compatível.

Atributos do grupo

A tabela a seguir detalha o suporte para atributos de grupo:

Atributo Subatributos aceitos
displayName N/A
externalId N/A
members value, type, $ref, display

Atributos de extensão do esquema de usuário empresarial

A tabela a seguir detalha o suporte para a extensão do esquema de usuário corporativo:

Atributo Subatributos aceitos
employeeNumber N/A
costCenter N/A
organization N/A
division N/A
department N/A
manager value, $ref, displayName

A seguir