Эта статья касается Directory Sync. Если вы используете Google Cloud Directory Sync (GCDS), перейдите в этот раздел. В настоящее время инструментDirectory Sync доступен в общедоступной бета-версии.
Теперь вы можете настроить синхронизацию пользователей. В Directory Sync укажите названия групп из внешнего каталога. С каталогом Google Cloud будут синхронизироваться отдельные пользователи, а не группы.
Подготовка
Обязательно добавьте и проверьте подключение внешнего каталога к каталогу Google Cloud. Подробнее о том, как добавить, изменить и удалить внешний каталог…
Как настроить синхронизацию пользователей
Шаг 1. Выберите пользователей-
Войдите в консоль администратора Google.
Войдите в аккаунт администратора (он не заканчивается на @gmail.com).
-
В консоли администратора нажмите на значок меню
Каталог
Directory Sync.
- Выберите название внешнего каталога.
- Нажмите Настроить синхронизацию пользователей.
- Введите название группы внешнего каталога и нажмите Ввод.
Directory Sync синхронизирует участников группы с каталогом Google Cloud.
- Введите дополнительные названия групп.
- Только для Active Directory. Заполните поле Базовое уникальное имя.
Группы, указанные на шаге 4 и 5, должны находиться непосредственно в каталоге, который задан в поле базового уникального имени.
Пример: ou=Sales, dc=example, dc=com. В этом примере Directory Sync выполняет поиск групп, относящихся к отделу продаж.
- Нажмите кнопку Проверить, чтобы убедиться, что они есть во внешнем каталоге.
- Нажмите Продолжить.
- Если нужно сопоставить пользователей с одним организационным подразделением, выберите подразделение
- Чтобы при перемещении во внешний каталог пользователь остался в организационном подразделении в каталоге Google Cloud, снимите флажок Принудительное сопоставление с организационным подразделением.
- Нажмите Продолжить.
- Выберите один из вариантов ниже.
- Если вы хотите поместить пользователей в одно организационное подразделение, нажмите Выбрать организационное подразделение и выберите организационное подразделение
- Если вы хотите поместить пользователей в организационное подразделение, определенное в атрибуте внешнего каталога, в разделе Добавить пользователей в ОП из атрибута укажите атрибут пользователя из внешнего каталога, содержащий полный путь к организационному подразделению.
Инструкции по созданию пути можно найти в разделе Как добавить организационное подразделение с помощью атрибута во внешнем каталоге.
- Если вы хотите поместить пользователей в одно организационное подразделение, нажмите Выбрать организационное подразделение и выберите организационное подразделение
- Чтобы при перемещении во внешний каталог пользователь остался в организационном подразделении в каталоге Google Cloud, снимите флажок Принудительное сопоставление с организационным подразделением.
- Нажмите Продолжить.
Как добавить организационное подразделение с помощью атрибута во внешнем каталоге
- Настройте структуру организационного подразделения в консоли администратора Google. Подробнее о том, как добавить организационное подразделение…
- Во внешнем каталоге с помощью стандартного или настраиваемого атрибута определите путь к нужному организационному подразделению для каждого пользователя. Используйте указанный ниже формат.
- Не добавляйте организационное подразделение верхнего уровня.
- Разделяйте родительские и дочерние организационные подразделения с помощью косой черты (/).
Пример. Если вы хотите добавить пользователя yuri@example.com в организационное подразделение Продажи, которое входит в состав подразделения Финансы, сделайте следующее:
- Во внешнем каталоге присвойте атрибуту Отдел пользователя yuri@example.com значение Финансы/Продажи.
- Настроив Directory Sync, нажмите Добавить пользователей в ОП из атрибута и добавьте атрибут Отдел.
Как настроить обязательные атрибуты
Подтвердите или введите атрибуты внешнего каталога, которые соответствуют следующим атрибутам пользователей в каталоге Google Cloud:
- имя;
- фамилия;
- основной адрес электронной почты.
Если вы измените атрибуты, можно нажать Установить по умолчаниюПродолжить, чтобы восстановить их значения по умолчанию.
Как сопоставить необязательные атрибуты
Вы можете сопоставить стандартные и специальные атрибуты пользователей из внешнего каталога с каталогом Google Cloud. Ознакомиться с часто используемыми сопоставлениями атрибутов можно ниже на этой странице.
- В поле Введите атрибут укажите атрибут пользователя из внешнего каталога.
Если атрибут пользователя во внешнем каталоге является вложенным, разделите родительский и дочерний атрибуты точкой (например, employeeOrgData.division).
- Выберите из списка атрибут пользователя в каталоге Google Cloud.
Вы можете сопоставить один атрибут внешнего каталога с несколькими атрибутами пользователя каталога Google Cloud, но не наоборот.
- Чтобы сопоставить другие атрибуты, повторите шаги.
Часто используемые сопоставления атрибутов пользователя
Ниже приведены часто используемые сопоставления атрибутов. Вам необязательно их придерживаться. Вы можете изменить атрибут во внешнем каталоге и сопоставить его с аналогичным атрибутом в каталоге Google Cloud.
| Атрибут внешнего каталога в Active Directory (AD) или Azure AD | Атрибут пользователя Google |
|---|---|
| givenName (AD и Azure AD) | Имя |
| sn (AD) surname (Azure AD) |
Фамилия |
| mail (AD) userPrincipalName (Azure AD) |
Основной адрес электронной почты |
| company (AD) companyName (Azure AD) |
Название компании |
| assistant (AD) | Адрес электронной почты ассистента |
| department (AD и Azure AD) | Отдел |
| physicalDeliveryOfficeName (AD) officeLocation (Azure AD) |
Местоположение офиса |
| title (AD) jobTitle (Azure AD) |
Должность |
| employeeID (AD) employeeId (Azure AD) |
Идентификационный номер |
| telephoneNumber (AD) | Рабочий номер телефона |
| homePhone (AD) | Домашний номер телефона |
| facsimileTelephoneNumber (AD) faxNumber (Azure AD) |
Номер факса |
| mobile (AD) mobilePhone (Azure AD) |
Номер мобильного телефона |
| pager (AD) | Номер рабочего мобильного телефона |
| telephoneAssistant (AD) | Номер телефона ассистента |
|
streetAddress (AD и Azure AD) |
Адрес |
| postOfficeBox (AD) | Номер абонентского ящика |
| l (строчная буква L в AD) city (Azure AD) |
Город |
| st (AD) state (Azure AD) |
Штат/провинция |
| postalCode (AD и Azure AD) | Почтовый индекс |
| co (AD) country (Azure AD) |
Страна |
| preferredLanguage (Azure AD) | Язык |
| aboutMe (Azure AD) | О пользователе |
| employeeOrgData.costCenter (Azure AD) | Центр затрат |
| uidNumber (AD) | POSIX UID |
|
primaryGroupID (AD) |
POSIX GID |
| sAMAccountName (AD) | Имя пользователя POSIX |
| unixHomeDirectory (AD) | Домашний каталог POSIX |
Статьи по теме
- Выберите один из вариантов ниже.
- Отправить электронное письмо с инструкциями по активации аккаунта — после создания нового аккаунта и настройки пароля пользователь получит электронное письмо с инструкциями по активации.
Если выбран этот параметр, выберите основной или резервный адрес электронной почты. Если вы выберете второй вариант, убедитесь, что добавили сопоставление для резервного адреса, как описано в разделе Шаг 3. Сопоставьте атрибуты пользователей.
Вы можете узнать, что пользователю нужно сделать, получив электронное письмо с инструкциями по активации, ниже.
- Не отправлять электронное письмо с инструкциями по активации — пользователь не получит электронное письмо.
Этот вариант подойдет, если вы планируете непосредственно взаимодействовать с сотрудниками по вопросам нового аккаунта или используете услуги стороннего поставщика идентификационной информации (во втором случае пользователям не нужно задавать пароль Google).
- Отправить электронное письмо с инструкциями по активации аккаунта — после создания нового аккаунта и настройки пароля пользователь получит электронное письмо с инструкциями по активации.
- Нажмите Продолжить.
Что пользователю нужно сделать, получив электронное письмо с инструкциями по активации?
После синхронизации ваши пользователи получат электронное письмо с подробной информацией об активации нового управляемого аккаунта Google. Когда пользователь будет готов впервые войти в новый аккаунт, ему необходимо будет выполнить следующие шаги:
- В исходном аккаунте электронной почты открыть письмо и нажать Войти
- Нажать Отправить, чтобы получить код подтверждения.
- В исходном аккаунте открыть письмо с кодом подтверждения и скопировать код.
- В новом аккаунте Google ввести код подтверждения и нажать Далее.
- Принять Условия использования.
- Создать надежный пароль и нажать Изменить пароль.
Если пользователь заблокирован или отсутствует во внешнем каталоге (например, его группа была удалена во внешнем каталоге), вы можете заблокировать его в каталоге Google Cloud.
Чтобы заблокировать пользователя, которого нет во внешнем каталоге, выполните следующие действия:
- Установите флажок Заблокировать аккаунт пользователя в Google.
Если блокировка не требуется, снимите флажок.
- Нажмите Продолжить.
Важно! Directory Sync синхронизирует статус пользователя. Если заблокировать аккаунт пользователя без внесения изменений во внешний каталог, после синхронизации аккаунт будет восстановлен.
Задайте условия, при которых синхронизация будет автоматически отменена. Если пороговые значения будут превышены, синхронизация будет автоматически отменена без блокировки пользователей. После этого она не будет выполняться, пока вы не включите ее вручную. Дополнительные сведения приведены ниже в разделе Как работает защита.
Чтобы настроить параметры защиты, выполните следующие действия:
- В разделе Защита выберите Укажите процент пользователей или Укажите общее количество пользователей и введите нужное значение.
- Нажмите Тестовая синхронизация.
- При срабатывании защиты из Центра оповещений придет уведомление с подробными сведениями о сбое. Дополнительную информацию можно будет найти в журнале аудита.
Подробнее об использовании Центра оповещений и о том, как посмотреть события журнала Directory Sync…
Как работает защита
Directory Sync определяет количество пользователей во внешнем каталоге и сопоставляет их с числом аккаунтов, которые могут быть заблокированы при синхронизации. Если полученное число больше указанного процента или количества пользователей, синхронизация будет автоматически отменена.
Примеры
Предположим, у вас 100 пользователей во внешнем каталоге. При синхронизации Directory Sync предлагает заблокировать 12 аккаунтов и добавить 3 новых.
Пример 1. В параметрах защиты указано число 14. Поскольку число заблокированных аккаунтов (12) меньше указанного параметра защиты (14), Directory Sync перейдет к запланированным изменениям.
Пример 2. Параметр защиты указан в виде процента — 10 %. Directory Sync сопоставляет число кандидатов на блокировку (12) с указанным ограничением. Поскольку процент кандидатов на блокировку (12 %) превышает ограничение (10 %), Directory Sync остановит синхронизацию без внесения изменений.
Что произойдет дальше
Directory Sync выполнит тестовую синхронизацию. В зависимости от объема данных на это может уйти около часа.
Как посмотреть статус тестовой синхронизации
Вы можете вернуться на страницу сведений о каталоге и посмотреть статус тестовой синхронизации. Кроме того, вы можете узнать о завершении тестовой синхронизации в событиях журнала Directory Sync.
- Перейдите к данным о событиях Directory Sync.
- Нажмите Добавить фильтр
- Выберите Синхронизация завершена и нажмите Применить.
Если в столбце Моделирование указано Да, значит процесс завершен. При необходимости добавьте столбец Моделирование для просмотра результатов.
Как проверить результат тестовой синхронизации
После завершения моделирования на странице сведений о каталоге выберите Посмотреть журнал тестовой синхронизации.
Статьи по теме
Как заменять доменное имя для синхронизированных пользователей
Следующий шаг
Как настроить синхронизацию групп
Google, Google Workspace, а также другие связанные знаки и логотипы являются товарными знаками компании Google LLC. Все другие названия компаний и продуктов являются товарными знаками соответствующих компаний.