Настройка Google Cloud и Google Workspace для автоматического предоставления пользователей с Microsoft Entra ID

В этой статье описаны действия, которые необходимо выполнить в Google (Google Cloud или Google Workspace) и в идентификаторе Microsoft Entra для настройки автоматической подготовки пользователей. При настройке Microsoft Entra ID автоматически выполняет предоставление и отзыв прав для пользователей и групп в Google Workspace с помощью службы подготовки Microsoft Entra. Важные сведения о том, что делает эта служба, как она работает и часто задаваемые вопросы см. в статье Автоматизация подготовки и удаления пользователей в приложениях SaaS с помощью идентификатора Microsoft Entra ID.

Поддерживаемые возможности

Предварительные условия

В сценарии, описанном в этой статье, предполагается, что у вас уже есть следующие предварительные требования:

• Учетная запись пользователя Microsoft Entra с активной подпиской. Если ее нет, можно создать учетную запись бесплатно.
• Одна из следующих ролей:
  • Администратор приложений
  • Администратор облачных приложений
  • владелец приложения.

• Клиент G Suite.
• Учетная запись пользователя G Suite с разрешениями администратора.

Шаг 1. Планирование развертывания предоставления ресурсов

1. Узнайте, как работает служба предоставления.
2. Определите, кто находится в области предоставления.
3. Определите, какие данные необходимо сопоставить между идентификатором Microsoft Entra и G Suite.

Шаг 2. Настройте G Suite для поддержки подготовки с помощью Microsoft Entra ID

Перед настройкой G Suite для автоматического управления пользователями с использованием Microsoft Entra ID, необходимо включить управление SCIM в G Suite.

1. Войдите в консоль администрирования G Suite с учетной записью администратора, а затем выберите главное меню и выберите "Безопасность". Если это меню не отображается, возможно, оно скрыто в меню Показать больше.

   

   

2. Перейдите к системе безопасности —> управление доступом и данными —> элементы управления API . Установите флажок "Доверять внутренним", доменным приложениям и нажмите кнопку SAVE

   

   Внимание

   Для каждого пользователя, которого вы хотите провизировать в G Suite, имя пользователя в учетной записи Microsoft Entra должно быть привязано к пользовательскому домену. Например, имена пользователей, которые выглядят как bob@contoso.onmicrosoft.com не принимаются G Suite. С другой стороны, bob@contoso.com принимается. Чтобы изменить домен для существующего пользователя, воспользуйтесь этой инструкцией.

3. После добавления и проверки нужных пользовательских доменов с помощью идентификатора Microsoft Entra необходимо снова проверить их с помощью G Suite. Чтобы проверить домены в G Suite, выполните следующие действия:

   1. В консоли администрирования G Suite последовательно выберите Учетная запись -> Домены -> Управление доменами.

      

   2. На странице "Управление доменом" выберите "Добавить домен".

      

   3. На странице "Добавление домена" введите имя домена, который нужно добавить.

      

   4. Выберите ДОБАВИТЬ ДОМЕН И НАЧАТЬ ПРОВЕРКУ. Затем выполните действия, подтверждающие, что вы владеете доменным именем. Подробные инструкции по проверке домена в Google см. на странице Как подтвердить право собственности на сайт.

   5. Повторите описанные выше действия для всех доменов, которые вы планируете добавить в G Suite.

4. Затем определите, какую учетную запись администратора вы хотите использовать для управления подготовкой пользователей в G Suite. Перейдите в Учетная запись -> Роли администратора.

   

5. Для роли администратора этой учетной записи измените свойство Privileges (Привилегии). Убедитесь, что для учетной записи выбраны все параметры в разделе Admin API Privileges (Административные права доступа к API). Это позволит использовать ее для подготовки.

   

Шаг 3. Добавление G Suite из коллекции приложений Microsoft Entra

Добавьте G Suite из коллекции приложений Microsoft Entra, чтобы начать управление подготовкой в G Suite. Если вы ранее настроили G Suite для единого входа, можно использовать то же приложение. Однако рекомендуется создать отдельное приложение при первоначальном тестировании интеграции. Дополнительные сведения о добавлении приложения из коллекции см. здесь.

Шаг 4: Определите, кто входит в область предоставления ресурсов

Служба подготовки Microsoft Entra позволяет определить, кто подготовлен на основе назначения приложению или на основе атрибутов пользователя или группы. Если вы решите предоставлять доступ к вашему приложению на основе назначения, вы можете использовать шаги для назначения пользователей и групп приложению. Если вы выбираете, кто будет включен в диапазон на основе только атрибутов пользователя или группы, можно использовать фильтр области.

• Начните с малого. Протестируйте небольшой набор пользователей и групп, прежде чем выполнять развертывание для всех. Когда в границы назначения включены назначенные пользователи и группы, вы можете управлять этим, назначив приложению одного или двух пользователей или одну или две группы. Если в область включены все пользователи и группы, можно указать фильтр области на основе атрибутов.

• Если вам нужны дополнительные роли, можно обновить манифест приложения, добавить новые роли.

Шаг 5. Настройка автоматической подготовки пользователей в G Suite

В этом разделе описаны инструкции по настройке службы подготовки Microsoft Entra для создания, обновления и отключения пользователей и групп в TestApp на основе назначений пользователей и (или) групп в идентификаторе Microsoft Entra.

Чтобы настроить автоматическое предоставление пользователей для G Suite в Microsoft Entra ID, выполните следующие действия.

1. Войдите в Центр администрирования Microsoft Entra как минимум в качестве Администратора облачных приложений.

2. Перейдите к Entra ID>приложениям для предприятий.

   

   

3. В списке приложений выберите G Suite.

   

4. Выберите вкладку Подготовка. Выберите Начать.

   

5. Задать + Новая конфигурация.

   

6. В разделе учетные данные администратора выберите Авторизовать. Вы перенаправляетесь в диалоговое окно авторизации Google в новом окне браузера.

   

7. Убедитесь, что вы хотите предоставить Microsoft Entra разрешения на внесение изменений в тенант G Suite. Выберите Принять.

   

8. Выберите "Проверить подключение", чтобы убедиться, что идентификатор Microsoft Entra может подключаться к G Suite. Если установить подключение не удалось, убедитесь, что у учетной записи G Suite есть разрешения администратора, и повторите попытку. Затем повторите шаг авторизации.

9. Нажмите кнопку "Создать", чтобы создать конфигурацию.

10. Выберите "Свойства " на странице обзора .

11. Выберите карандаш, чтобы изменить свойства. Включите уведомления и предоставьте сообщение электронной почты для получения сообщений карантина. Включение предотвращения случайных удалений. Выберите Применить, чтобы сохранить изменения.

    

12. Выберите сопоставление атрибутов на левой панели и выберите пользователей.

13. Просмотрите атрибуты пользователя, которые синхронизируются из Microsoft Entra ID в G Suite, в разделе "Сопоставление атрибутов". Нажмите кнопку Сохранить, чтобы зафиксировать все изменения.

1. Выберите Группы.

2. Просмотрите атрибуты группы, синхронизированные из Microsoft Entra ID в G Suite, в разделе "Сопоставление атрибутов". Атрибуты, выбранные как свойства с меткой Сопоставление, используются для сопоставления групп в G Suite при операциях обновления. Нажмите кнопку Сохранить, чтобы зафиксировать все изменения.

   Атрибут	Тип
   эл. почта	Строка
   Участники	Строка
   имя	Строка
   описание	Строка

3. Чтобы настроить фильтры области, ознакомьтесь со следующими инструкциями, приведенными в статье о фильтрации области.

4. Используйте динамическое предоставление ресурсов для проверки синхронизации с несколькими пользователями, прежде чем внедрить это более широко в вашей организации.

5. Когда вы будете готовы к подготовке, выберите "Начать подготовку " на странице обзора .

Шаг 6. Мониторинг развертывания

После настройки подготовки используйте следующие ресурсы для мониторинга развертывания:

1. Используйте журналы подготовки для определения успешной или неудачной подготовки пользователей.
2. Используйте индикатор выполнения, чтобы узнать состояние цикла подготовки и приблизительное время до его завершения
3. Если конфигурация предоставления находится в неисправном состоянии, приложение переходит в режим карантина. Узнайте больше о состоянии карантина из статьи о состоянии карантина подготовки приложений .

Советы по устранению неполадок

• Удаление пользователя из области синхронизации отключает их в GSuite, но не приведет к удалению пользователя в G Suite

JIT-доступ к приложению с помощью PIM для групп

С помощью PIM для групп вы можете предоставить JIT-доступ к группам в Google Cloud или Google Workspace и уменьшить количество пользователей, имеющих постоянный доступ к привилегированным группам в Google Cloud или Google Workspace.

Настройте корпоративное приложение для единого входа (SSO) и обеспечения

1. Добавьте Google Cloud или Google Workspace в клиент, настройте его для подготовки, как описано в этой статье, и начните подготовку.
2. Настройка единого входа для Google Cloud или Google Workspace.
3. Создайте группу, которая предоставляет всем пользователям доступ к приложению.
4. Назначьте группу приложению Google Cloud или Google Workspace.
5. Назначьте тестового пользователя в качестве прямого члена группы, созданной на предыдущем шаге, или предоставьте им доступ к группе через пакет доступа. Эту группу можно использовать для постоянного, неадминиграционного доступа в Google Cloud или Google Workspace.

Включение PIM для групп

1. Создайте вторую группу в идентификаторе Microsoft Entra. Эта группа предоставляет доступ к разрешениям администратора в Google Cloud или Google Workspace.
2. Включите группу под управление в Microsoft Entra PIM.
3. Назначьте тестового пользователя соответствующим для группы в PIM в роли участника.
4. Назначьте вторую группу приложению Google Cloud или Google Workspace.
5. Используйте подготовку по запросу для создания группы в Google Cloud или Google Workspace.
6. Войдите в Google Cloud или Google Workspace и назначьте вторую группу необходимых разрешений для выполнения задач администратора.

Теперь любой конечный пользователь, который получил право на участие в группе через PIM, может получить JIT-доступ к этой группе в Google Cloud / Google Workspace, активировав членство в группе. По истечении срока действия назначения пользователь удаляется из группы в Google Cloud или Google Workspace. Во время следующего итерационного цикла служба предоставления пытается ещё раз удалить пользователя из группы. Это может привести к ошибке в журналах развертывания. Эта ошибка ожидается, так как членство в группе уже удалено. Сообщение об ошибке можно игнорировать.

• Сколько времени требуется для подготовки пользователя к приложению?
  • Когда пользователь добавляется в группу в Microsoft Entra ID без активации членства в группе с использованием Microsoft Entra ID Privileged Identity Management (PIM):
    • Членство в группе предоставляется в приложении во время следующего цикла синхронизации. Цикл синхронизации выполняется каждые 40 минут.
  • Когда пользователь активирует членство в группе в PIM идентификатора Microsoft Entra ID:
    • Членство в группе подготавливается в течение 2–10 минут. При одновременном поступлении большого числа запросов их количество ограничивается до пяти запросов каждые 10 секунд.
    • Для первых пяти пользователей в течение 10-секундного периода активации членства в группе для определенного приложения членство в группах подготавливается в приложении в течение 2–10 минут.
    • Для шестого пользователя и за пределами 10-секундного периода активации членства в группе для конкретного приложения членство в группах подготавливается к приложению в следующем цикле синхронизации. Цикл синхронизации выполняется каждые 40 минут. Ограничения регулирования относятся к корпоративному приложению.
• Если пользователь не может получить доступ к необходимой группе в Google Cloud или Google Workspace, просмотрите журналы PIM и журналы подготовки, чтобы убедиться, что членство в группе было успешно обновлено. В зависимости от того, как проектируется целевое приложение, может потребоваться больше времени для вступления в силу членства в группе в приложении.
• Вы можете создавать оповещения о сбоях с помощью Azure Monitor.

Журнал изменений

• 10.17.2020 — добавлена поддержка дополнительных атрибутов пользователя и группы G Suite.
• 17.10.2020: обновлены целевые имена атрибутов G Suite для соответствия приведенному здесь определению.
• 17.10.2020: обновлены стандартные сопоставления атрибутов.

Дополнительные ресурсы

• Управление подготовкой учетных записей пользователей для корпоративных приложений
• Что такое доступ к приложению и единый вход с помощью идентификатора Microsoft Entra?

Связанный контент

• Узнайте, как просматривать журналы и получать отчеты о действиях по предоставлению услуг