Configuração do SCIM com o Google Workspace Directory Sync

Esta página explica o processo de configuração do provisionamento de usuários com o Google Workspace Directory Sync. Para uma visão geral da funcionalidade SCIM, consulte Gerenciar usuários e equipes com o provisionamento SCIM. Se você estiver usando o Microsoft Entra ou o Okta como IdP, consulte Configuração do SCIM com credenciais do cliente (Microsoft Entra) ou Configuração do SCIM com código de autorização (Okta).

• Como o Google Workspace Directory Sync funciona
• Antes de começar
• Instruções passo a passo
  • Etapa 1: selecionar o Google Workspace Directory Sync no Read AI
  • Etapa 2: criar seu grupo de sincronização no Google Workspace
  • Etapa 3: autorizar o Read AI no Google Admin Console
  • Etapa 4: salvar sua configuração no Read AI
  • Etapa 5: monitorar o provisionamento
• Gerenciar sua configuração
• Observações e solução de problemas

Como o Google Workspace Directory Sync funciona

O Microsoft Entra e o Okta enviam as alterações de usuários ao Read AI a partir de seus próprios mecanismos de provisionamento. O Google Workspace não oferece esse recurso para aplicativos fora do próprio catálogo, então o Google Workspace Directory Sync funciona de outra forma: o Read AI lê seu diretório do Google conforme uma programação e atualiza seu workspace para mantê-lo sincronizado.

As diferenças práticas para você como administrador:

O Read AI sincroniza o nome, o sobrenome e o endereço de e-mail principal de cada usuário a partir do Google Workspace, além de saber se a conta está suspensa. Nenhum outro campo do perfil é lido, e as alterações feitas em outros atributos do Google Workspace não afetarão o Read AI.

O Read AI solicita acesso somente leitura ao seu diretório (admin.directory.user.readonly e admin.directory.group.readonly). Podemos ler perfis de usuários, status de suspensão e associação a grupos. Não podemos criar, modificar ou excluir nada no seu Google Workspace.

Antes de começar

• Você deve ser administrador ou proprietário do workspace no Read AI.
• Seu workspace deve estar no plano Enterprise+.
• Você deve verificar os domínios de todos os usuários que deseja provisionar (a menos que eles já estejam no seu workspace). A conta de administrador do Google indicada abaixo também deve estar em um domínio verificado, portanto, vale a pena concluir a verificação do domínio primeiro.
• Você precisa de acesso de superadministrador à sua conta do Google Workspace para concluir a Etapa 3.

Instruções passo a passo

Siga estas etapas com atenção, pois uma configuração incorreta pode impedir o funcionamento da integração ou resultar em um comportamento de provisionamento inesperado.

Você alternará entre o Read AI e o Google Admin Console. Portanto, é mais fácil abrir ambos em abas separadas do navegador antes de começar.

Etapa 1: selecionar o Google Workspace Directory Sync no Read AI

1. Acesse Configurações do workspace e expanda a seção Avançado.

   

2. Ative Habilitar provisionamento SCIM.

   

3. Em Método de autenticação, selecione Google Workspace Directory Sync.

   

   Um painel de Instruções aparecerá contendo os dois valores necessários na Etapa 3 abaixo: o ID do cliente do Read AI e os Escopos necessários. Cada um tem um botão de cópia.

   

4. Decida se deseja habilitar a cobrança automática de licenças. Se estiver desabilitada, o provisionamento falhará sempre que você ficar sem licenças disponíveis no seu workspace. Você pode configurar um limite para o número máximo de assentos que seu workspace pode atingir por meio da cobrança automática (mais assentos sempre podem ser adquiridos manualmente).

   

Deixe esta aba aberta — você voltará a ela na Etapa 4.

Etapa 2: criar seu grupo de sincronização no Google Workspace

O Read AI provisiona os membros de um Grupo do Google, identificado pelo endereço de e-mail. É assim que você controla quem obtém acesso.

1. No Google Admin Console, crie um grupo para essa finalidade, caso ainda não tenha um (por exemplo, readai-provisioning@yourcompany.com).
2. Adicione os usuários que devem ter acesso ao Read AI. Você pode adicionar usuários individuais ou incluir outros grupos nele — o Read AI expande os grupos aninhados automaticamente e lê a lista final de usuários.
3. Anote o endereço de e-mail do grupo.

Recomendamos um grupo dedicado em vez de reutilizar um grupo existente, como "Todos os funcionários", para que o acesso ao Read AI continue sendo algo concedido deliberadamente.

Por que usar um grupo em vez de todo o diretório? Sincronizar um domínio inteiro inclui caixas de e-mail compartilhadas, contas de serviço e funcionários desligados. Um grupo mantém o escopo explícito e sob seu controle.

Etapa 3: autorizar o Read AI no Google Admin Console

Esta etapa informa ao Google que ele deve confiar na conta de serviço do Read AI com acesso somente leitura ao seu diretório. O Google chama isso de delegação em todo o domínio (DWD).

Você deve estar conectado como superadministrador para concluir esta etapa.

1. No Google Admin Console, acesse a página de delegação em todo o domínio (Segurança → Controle de acesso e dados → Controles de API → Delegação em todo o domínio).

2. Selecione Adicionar novo.

   

3. Em ID do cliente, cole o ID do cliente copiado do Read AI na Etapa 1.

4. Em Escopos OAuth, cole o texto a seguir, exatamente como está escrito, ou copie-o do Read AI na Etapa 1:
   
   https://www.googleapis.com/auth/admin.directory.user.readonly, https://www.googleapis.com/auth/admin.directory.group.readonly

5. Selecione Autorizar. O Read AI deverá aparecer agora na sua lista de clientes de API com esses dois escopos somente leitura.

Observação: a autorização pode levar alguns minutos para entrar em vigor em todos os sistemas do Google. Se a Etapa 4 falhar imediatamente após a autorização, aguarde um pouco e tente novamente.

Etapa 4: salvar sua configuração no Read AI

De volta às configurações do seu workspace do Read AI, preencha os dois campos de e-mail abaixo do painel de Instruções.

1. E-mail do administrador do Google — a conta de administrador do Google Workspace que o Read AI representará para ler seu diretório.
   
   Essa conta deve estar em um domínio que você já verificou no Read AI; seus domínios verificados estão na mesma seção Avançado, acima das configurações de provisionamento SCIM. Ela não precisa ser sua conta pessoal de superadministrador. Recomendamos criar uma conta dedicada com uma função de administrador somente leitura, para que o acesso concedido ao Read AI seja o mais restrito possível.
    
2. E-mail do grupo de sincronização — o endereço de e-mail do Grupo do Google criado na Etapa 2 (por exemplo, readai-provisioning@yourcompany.com).

3. Selecione Salvar configuração. O Read AI verifica os dois valores no seu diretório e os salva. Se algum deles falhar, o campo será destacado com uma explicação (consulte Solução de problemas abaixo).

Após a conclusão bem-sucedida, você verá E-mail verificado abaixo do e-mail do administrador e o nome do grupo abaixo do e-mail do grupo, e sua primeira sincronização começará automaticamente.

Etapa 5: monitorar o provisionamento

Depois de salvar, a parte inferior da seção mostrará quando a última sincronização foi concluída e o status atual.

• As sincronizações são executadas automaticamente a cada 30 minutos, criando e desativando usuários no seu workspace do Read AI conforme necessário para mantê-lo sincronizado com seu grupo.
• Selecione Sincronizar agora para executar uma sincronização imediatamente, se necessário (por exemplo, logo após adicionar alguém ao grupo). Há um breve intervalo entre sincronizações manuais; o botão fica desabilitado até que você possa sincronizar novamente.
• Se a conexão for interrompida, enviaremos um e-mail uma vez aos administradores do seu workspace, e um banner aparecerá em todo o seu workspace do Read AI até que o problema seja resolvido.
• Também enviaremos notificações por e-mail aos administradores do seu workspace se o provisionamento de usuários falhar por qualquer motivo.

Gerenciar sua configuração

Alterar o e-mail do administrador ou o grupo de sincronização

Selecione Editar configuração, faça as alterações e salve. O Read AI verifica novamente os dois valores, exatamente como fez durante a configuração. A opção Sincronizar agora fica indisponível enquanto houver alterações não salvas.

⚠️ Alterar o grupo de sincronização desativa os usuários que não estão no novo grupo. Qualquer pessoa provisionada a partir do grupo antigo que não seja membro do novo grupo perderá o acesso na próxima sincronização. O Read AI solicitará sua confirmação antes de aplicar essa alteração.

Mudar para um IdP diferente

Se você mudar do Google Workspace Directory Sync para o Entra ou o Okta (ou vice-versa), os usuários gerenciados pela configuração antiga permanecerão no seu workspace, mas não serão mais gerenciados pelo IdP, a menos que também apareçam na nova configuração. Você precisará concluir a configuração do novo método antes que o provisionamento seja retomado.

Desativar o provisionamento

Desative Habilitar provisionamento SCIM. Os usuários provisionados anteriormente permanecerão no seu workspace e deverão ser gerenciados manualmente a partir de então. Você também pode revogar o acesso do Read AI a qualquer momento no Google Admin Console removendo a entrada de delegação em todo o domínio, o que interromperá imediatamente nossa capacidade de ler seu diretório.

Observações e solução de problemas

Leia as observações aqui para entender completamente como funciona o provisionamento SCIM e, se tiver algum problema, consulte as dicas de solução de problemas.

Quais usuários são provisionados

• Somente membros ativos do seu grupo de sincronização são provisionados. Usuários com um convite pendente do Google Workspace são ignorados até aceitarem o convite.
• Se um usuário estiver suspenso no Google Workspace, o Read AI o desativará e liberará sua licença, mesmo que ele ainda esteja listado no grupo. Suspender ou excluir uma conta no Google Workspace é a maneira confiável de remover o acesso de alguém ao Read AI.
• Remover um usuário do grupo de sincronização também cancela o provisionamento na próxima sincronização.
• Os grupos aninhados são expandidos automaticamente, portanto, um usuário só precisa estar indiretamente no grupo de sincronização para ser provisionado.

Erros durante a configuração

Se o provisionamento parar de funcionar

Quando o Read AI perde o acesso ao seu diretório, o status muda para Desconectado, a sincronização é pausada e um banner aparece em todo o seu workspace com a mensagem "Provisionamento de usuários pausado — ação necessária." Também enviaremos um e-mail uma vez aos administradores do seu workspace. Nenhum usuário será adicionado ou desativado enquanto o provisionamento estiver pausado.

A própria seção explica qual dos dois problemas ocorreu:

"Seu e-mail de administrador do Google não tem mais permissão." A autorização de delegação em todo o domínio não é mais válida ou a conta de administrador foi alterada. Verifique se a entrada do ID do cliente do Read AI ainda existe no Google Admin Console com os dois escopos e se a conta de administrador ainda existe, não está suspensa e ainda consegue ler seu diretório.

"Seu e-mail do grupo de sincronização não está mais acessível." O grupo foi excluído, seu endereço foi alterado ou ele não está mais visível para a conta de administrador. Confirme se o grupo ainda existe nesse endereço ou selecione Editar configuração para indicar outro grupo.

Depois que o problema subjacente for corrigido, selecione Tentar sincronizar novamente. A sincronização será reiniciada automaticamente; não é necessário configurar nada novamente.

Um usuário do grupo não foi provisionado

Verifique a seção de solução de problemas do artigo de visão geral. As causas comuns (licenças insuficientes, o usuário pertence a outro workspace ou um endereço de e-mail não verificado) aplicam-se ao Google Workspace Directory Sync da mesma forma que ao Entra e ao Okta.

Ocasionalmente, um usuário individual pode ser ignorado em uma sincronização devido a um erro temporário ao ler o perfil do Google. Esses erros são resolvidos por conta própria — selecione Sincronizar agora ou aguarde a próxima sincronização programada antes de investigar mais.