Configuración de SCIM con Google Workspace Directory Sync

Esta página explica el proceso de configuración del aprovisionamiento de usuarios con Google Workspace Directory Sync. Para obtener una descripción general de la funcionalidad de SCIM, consulta Administrar usuarios con el aprovisionamiento de SCIM y, si usas Microsoft Entra u Okta como IdP, consulta Configuración de SCIM con credenciales de cliente (Microsoft Entra) o Configuración de SCIM con código de autorización (Okta).

• Cómo funciona Google Workspace Directory Sync
• Antes de comenzar
• Instrucciones paso a paso
  • Paso 1: Selecciona Google Workspace Directory Sync en Read AI
  • Paso 2: Crea tu grupo de sincronización en Google Workspace
  • Paso 3: Autoriza Read AI en la consola de administración de Google
  • Paso 4: Guarda tu configuración en Read AI
  • Paso 5: Supervisa el aprovisionamiento
• Administrar tu configuración
• Notas y solución de problemas

Cómo funciona Google Workspace Directory Sync

Microsoft Entra y Okta envían los cambios de usuarios a Read AI desde sus propios motores de aprovisionamiento. Google Workspace no ofrece esa capacidad para aplicaciones que están fuera de su propio catálogo, por lo que Google Workspace Directory Sync funciona al revés: Read AI lee tu directorio de Google según un horario y actualiza tu espacio de trabajo para que coincida.

Las diferencias prácticas para ti como administrador:

Read AI sincroniza el nombre, los apellidos y la dirección de correo electrónico principal de cada usuario desde Google Workspace, además de si su cuenta está suspendida. No se leen otros campos del perfil, y los cambios que hagas en otros atributos de Google Workspace no afectarán a Read AI.

Read AI solicita acceso de solo lectura a tu directorio (admin.directory.user.readonly y admin.directory.group.readonly). Podemos leer perfiles de usuarios, el estado de suspensión y la pertenencia a grupos. No podemos crear, modificar ni eliminar nada en tu Google Workspace.

Antes de comenzar

• Debes ser administrador o propietario del espacio de trabajo en Read AI.
• Tu espacio de trabajo debe tener el plan Enterprise+.
• Debes verificar los dominios de los usuarios que quieras aprovisionar (a menos que ya estén en tu espacio de trabajo). La cuenta de administrador de Google que designes a continuación también debe pertenecer a un dominio verificado, por lo que te recomendamos completar primero la verificación del dominio.
• Necesitas acceso de superadministrador a tu cuenta de Google Workspace para completar el Paso 3.

Instrucciones paso a paso

Asegúrate de seguir estos pasos cuidadosamente, ya que una configuración incorrecta puede impedir que la integración funcione o provocar un comportamiento de aprovisionamiento inesperado.

Deberás alternar entre Read AI y la consola de administración de Google, por lo que es más fácil abrir ambas en pestañas independientes del navegador antes de comenzar.

Paso 1: Selecciona Google Workspace Directory Sync en Read AI

1. Ve a Configuración del espacio de trabajo y expande la sección Avanzado.

   

2. Activa Activar el aprovisionamiento de SCIM.

   

3. En Método de autenticación, selecciona Google Workspace Directory Sync.

   

   Aparecerá un panel de Instrucciones con los dos valores que necesitarás en el Paso 3: el ID de cliente de Read AI y los Alcances necesarios. Cada uno tiene un botón de copia.

   

4. Decide si quieres activar el cobro automático de licencias. Si está desactivado, el aprovisionamiento fallará cuando se agoten las licencias disponibles en tu espacio de trabajo. Puedes configurar un límite para el número máximo de puestos que puede alcanzar tu espacio de trabajo mediante el cobro automático (siempre puedes comprar más manualmente).

   

Deja esta pestaña abierta; volverás a ella en el Paso 4.

Paso 2: Crea tu grupo de sincronización en Google Workspace

Read AI aprovisiona a los miembros de un grupo de Google, que identificas mediante su dirección de correo electrónico. Así es como controlas quién obtiene acceso.

1. En la consola de administración de Google, crea un grupo para este fin si todavía no tienes uno (por ejemplo, readai-provisioning@yourcompany.com).
2. Añade los usuarios que deban tener acceso a Read AI. Puedes añadir usuarios individuales o anidar otros grupos dentro de él; Read AI expande automáticamente los grupos anidados y lee la lista plana resultante de usuarios.
3. Anota la dirección de correo electrónico del grupo.

Recomendamos usar un grupo dedicado en lugar de reutilizar uno existente, como «Todos los empleados», para que el acceso a Read AI se conceda de forma deliberada.

¿Por qué un grupo en lugar de todo el directorio? Sincronizar un dominio completo incorpora buzones compartidos, cuentas de servicio y empleados que ya no trabajan en la empresa. Un grupo mantiene el alcance explícito y bajo tu control.

Paso 3: Autoriza Read AI en la consola de administración de Google

Este paso indica a Google que confíe en la cuenta de servicio de Read AI con acceso de solo lectura a tu directorio. Google denomina a esto delegación en todo el dominio (DWD).

Debes haber iniciado sesión como superadministrador para completar este paso.

1. En la consola de administración de Google, ve a la página de delegación en todo el dominio (Seguridad → Control de acceso y datos → Controles de API → Delegación en todo el dominio).

2. Selecciona Añadir nuevo.

   

3. En ID de cliente, pega el ID de cliente que copiaste de Read AI en el Paso 1.

4. En Alcances de OAuth, pega lo siguiente exactamente como aparece o cópialo de Read AI en el Paso 1:
   
   https://www.googleapis.com/auth/admin.directory.user.readonly, https://www.googleapis.com/auth/admin.directory.group.readonly

5. Selecciona Autorizar. Read AI debería aparecer ahora en tu lista de clientes de API con esos dos alcances de solo lectura.

Nota: La autorización puede tardar unos minutos en aplicarse en todos los sistemas de Google. Si el Paso 4 falla inmediatamente después de autorizar, espera un momento e inténtalo de nuevo.

Paso 4: Guarda tu configuración en Read AI

Vuelve a la configuración de tu espacio de trabajo de Read AI y completa los dos campos de correo electrónico que aparecen debajo del panel de Instrucciones.

1. Correo electrónico del administrador de Google: la cuenta de administrador de Google Workspace que Read AI suplantará para leer tu directorio.
   
   Esta cuenta debe pertenecer a un dominio que ya hayas verificado en Read AI; encontrarás tus dominios verificados en la misma sección Avanzado, encima de la configuración del aprovisionamiento de SCIM. No es necesario que sea tu cuenta personal de superadministrador. Recomendamos crear una cuenta dedicada con un rol de administrador de solo lectura para que el acceso concedido a Read AI sea lo más limitado posible.
    
2. Correo electrónico del grupo de sincronización: la dirección de correo electrónico del grupo de Google que creaste en el Paso 2 (por ejemplo, readai-provisioning@yourcompany.com).

3. Selecciona Guardar configuración. Read AI verifica ambos valores con tu directorio y los guarda. Si alguno falla, el campo se resalta con una explicación (consulta la sección Solución de problemas más abajo).

Si todo funciona correctamente, verás Correo electrónico verificado debajo del correo electrónico del administrador y el nombre del grupo debajo del correo electrónico del grupo; la primera sincronización comenzará automáticamente.

Paso 5: Supervisa el aprovisionamiento

Una vez guardada la configuración, en la parte inferior de la sección se muestra cuándo se completó la última sincronización y el estado actual.

• Las sincronizaciones se ejecutan automáticamente cada 30 minutos, creando y desactivando usuarios en tu espacio de trabajo de Read AI según sea necesario para mantenerlo sincronizado con tu grupo.
• Selecciona Sincronizar ahora para ejecutar una sincronización inmediatamente si es necesario (por ejemplo, justo después de añadir a alguien al grupo). Hay un breve periodo de espera entre sincronizaciones manuales; el botón permanece desactivado hasta que puedas volver a sincronizar.
• Si se interrumpe la conexión, enviamos un correo electrónico una vez a los administradores de tu espacio de trabajo y aparece un banner en todo tu espacio de trabajo de Read AI hasta que se resuelva.
• También enviaremos notificaciones por correo electrónico a los administradores de tu espacio de trabajo si no se aprovisiona a algún usuario por cualquier motivo.

Administrar tu configuración

Cambiar el correo electrónico del administrador o el grupo de sincronización

Selecciona Editar configuración, realiza los cambios y guarda. Read AI vuelve a verificar ambos valores exactamente como lo hizo durante la configuración. Sincronizar ahora no está disponible mientras tengas cambios sin guardar.

⚠️ Cambiar el grupo de sincronización desactiva a los usuarios que no estén en el nuevo grupo. Cualquier persona aprovisionada desde tu grupo anterior que no sea miembro del nuevo perderá el acceso en la siguiente sincronización. Read AI te pedirá que confirmes antes de aplicar este cambio.

Cambiar a otro IdP

Si cambias de Google Workspace Directory Sync a Entra u Okta (o viceversa), los usuarios administrados por tu configuración anterior permanecerán en tu espacio de trabajo, pero dejarán de estar administrados por el IdP, a menos que también aparezcan en la nueva configuración. Deberás completar la configuración del nuevo método para que se reanude el aprovisionamiento.

Desactivar el aprovisionamiento

Desactiva Activar el aprovisionamiento de SCIM. Los usuarios aprovisionados anteriormente permanecerán en tu espacio de trabajo y, a partir de ese momento, deberán administrarse manualmente. También puedes revocar el acceso de Read AI en cualquier momento desde la consola de administración de Google eliminando la entrada de delegación en todo el dominio, lo que interrumpe inmediatamente nuestra capacidad para leer tu directorio.

Notas y solución de problemas

Asegúrate de revisar las notas aquí para comprender completamente cómo funciona el aprovisionamiento de SCIM y, si tienes algún problema, consulta los consejos para solucionar problemas.

Qué usuarios se aprovisionan

• Solo se aprovisionan los miembros activos de tu grupo de sincronización. Los usuarios con una invitación de Google Workspace pendiente se omiten hasta que la acepten.
• Si un usuario está suspendido en Google Workspace, Read AI lo desactiva y libera su puesto, aunque todavía aparezca en el grupo. Suspender o eliminar una cuenta en Google Workspace es la forma fiable de quitar el acceso de esa persona a Read AI.
• Al eliminar a un usuario del grupo de sincronización también se elimina su aprovisionamiento en la siguiente sincronización.
• Los grupos anidados se expanden automáticamente, por lo que un usuario solo necesita estar incluido indirectamente en el grupo de sincronización para ser aprovisionado.

Errores durante la configuración

Si el aprovisionamiento deja de funcionar

Cuando Read AI pierde el acceso a tu directorio, el estado cambia a Desconectado, la sincronización se pausa y aparece un banner en todo tu espacio de trabajo con el mensaje «Aprovisionamiento de usuarios en pausa: se requiere acción». También enviamos un correo electrónico una vez a los administradores de tu espacio de trabajo. No se añade ni desactiva ningún usuario mientras el aprovisionamiento está en pausa.

La propia sección explica cuál de los dos problemas se produjo:

«Tu correo electrónico de administrador de Google ya no tiene permiso». La autorización de delegación en todo el dominio ya no es válida o la cuenta de administrador ha cambiado. Comprueba que la entrada del ID de cliente de Read AI siga existiendo en la consola de administración de Google con ambos alcances y que la cuenta de administrador siga existiendo, no esté suspendida y todavía pueda leer tu directorio.

«Ya no se puede acceder al correo electrónico de tu grupo de sincronización». El grupo se eliminó, su dirección cambió o ya no es visible para la cuenta de administrador. Confirma que el grupo siga existiendo en esa dirección o selecciona Editar configuración para indicar otro.

Una vez solucionado el problema subyacente, selecciona Reintentar sincronización. La sincronización se reiniciará automáticamente; no necesitas volver a configurar nada.

Un usuario del grupo no se aprovisionó

Consulta la sección de solución de problemas del artículo general. Las causas habituales (licencias insuficientes, que el usuario pertenezca a otro espacio de trabajo o una dirección de correo electrónico no verificada) se aplican a Google Workspace Directory Sync del mismo modo que a Entra y Okta.

En ocasiones, un usuario individual puede omitirse en una sincronización debido a un error temporal al leer su perfil de Google. Estos errores se resuelven por sí solos: selecciona Sincronizar ahora o espera a la siguiente sincronización programada antes de investigar más.