Configuração do SCIM com o Google Workspace Directory Sync

Esta página explica o processo de configuração do provisionamento de usuários com o Google Workspace Directory Sync. Para obter uma visão geral da funcionalidade SCIM, consulte Gerenciamento de usuários com provisionamento SCIM. Se você estiver usando o Microsoft Entra ou o Okta como IdP, consulte Configuração do SCIM com credenciais do cliente (Microsoft Entra) ou Configuração do SCIM com código de autorização (Okta).

• Como o Google Workspace Directory Sync funciona
• Antes de começar
• Instruções passo a passo
  • Etapa 1: selecionar o Google Workspace Directory Sync no Read AI
  • Etapa 2: criar seu grupo de sincronização no Google Workspace
  • Etapa 3: autorizar o Read AI no Google Admin Console
  • Etapa 4: salvar sua configuração no Read AI
  • Etapa 5: monitorar o provisionamento
• Gerenciamento da sua configuração
• Observações e solução de problemas

Como o Google Workspace Directory Sync funciona

O Microsoft Entra e o Okta enviam as alterações de usuários para o Read AI a partir dos próprios mecanismos de provisionamento. O Google Workspace não oferece esse recurso para aplicativos fora do próprio catálogo. Por isso, o Google Workspace Directory Sync funciona de outra forma: o Read AI lê seu diretório do Google em uma programação definida e atualiza seu workspace para mantê-lo correspondente.

As diferenças práticas para você, como administrador:

O Read AI sincroniza o nome, o sobrenome e o endereço de e-mail principal de cada usuário a partir do Google Workspace, além de saber se a conta está suspensa. Nenhum outro campo de perfil é lido, e as alterações feitas em outros atributos do Google Workspace não afetam o Read AI.

O Read AI solicita acesso somente leitura ao seu diretório (admin.directory.user.readonly e admin.directory.group.readonly). Podemos ler perfis de usuários, o status de suspensão e a participação em grupos. Não podemos criar, modificar nem excluir nada no seu Google Workspace.

Antes de começar

• Você precisa ser um administrador ou proprietário de um workspace no Read AI.
• Seu workspace precisa estar no plano Enterprise+.
• Você precisa verificar o(s) domínio(s) de todos os usuários que deseja provisionar (a menos que eles já estejam no seu workspace). A conta de administrador do Google indicada abaixo também precisa estar em um domínio verificado. Por isso, recomendamos concluir primeiro a verificação do domínio.
• Você precisa de acesso de superadministrador à sua conta do Google Workspace para concluir a Etapa 3.

Instruções passo a passo

Certifique-se de seguir estas etapas cuidadosamente, pois uma configuração incorreta pode impedir o funcionamento da integração ou resultar em um comportamento de provisionamento inesperado.

Você alternará entre o Read AI e o Google Admin Console. Por isso, é mais fácil abrir ambos em abas separadas do navegador antes de começar.

Etapa 1: selecionar o Google Workspace Directory Sync no Read AI

1. Acesse Configurações do workspace e expanda a seção Avançado

   

2. Ative Habilitar provisionamento SCIM.

   

3. Em Método de autenticação, selecione Google Workspace Directory Sync.

   

   Um painel de Instruções aparecerá contendo os dois valores necessários na Etapa 3 abaixo: o ID do cliente e os Escopos do Read AI. Cada um tem um botão de cópia.

   

4. Decida se deseja ativar a cobrança automática de licenças. Se estiver desativada, o provisionamento falhará sempre que não houver licenças disponíveis no seu workspace. Você pode configurar um limite para o número máximo de assentos que seu workspace pode atingir por meio da cobrança automática (mais assentos sempre podem ser adquiridos manualmente).

   

Deixe esta aba aberta — você voltará a ela na Etapa 4.

Etapa 2: criar seu grupo de sincronização no Google Workspace

O Read AI provisiona os membros de um Grupo do Google, identificado pelo endereço de e-mail. É assim que você controla quem obtém acesso.

1. No Google Admin Console, crie um grupo para essa finalidade, caso ainda não tenha um (por exemplo, readai-provisioning@yourcompany.com).
2. Adicione os usuários que devem ter acesso ao Read AI. Você pode adicionar usuários individuais ou incluir outros grupos nele — o Read AI expande automaticamente os grupos aninhados e lê a lista simples resultante de usuários.
3. Anote o endereço de e-mail do grupo.

Recomendamos um grupo dedicado em vez de reutilizar um grupo existente, como “Todos os funcionários”, para que o acesso ao Read AI continue sendo algo concedido deliberadamente.

Por que usar um grupo em vez de todo o diretório? Sincronizar um domínio inteiro inclui caixas de e-mail compartilhadas, contas de serviço e funcionários desligados. Um grupo mantém o escopo explícito e sob seu controle.

Etapa 3: autorizar o Read AI no Google Admin Console

Esta etapa instrui o Google a confiar na conta de serviço do Read AI para obter acesso somente leitura ao seu diretório. O Google chama isso de delegação em todo o domínio (DWD).

Você precisa estar conectado como superadministrador para concluir esta etapa.

1. No Google Admin Console, acesse a página de delegação em todo o domínio (Segurança → Controle de acesso e dados → Controles de API → Delegação em todo o domínio).

2. Selecione Adicionar novo.

   

3. Em ID do cliente, cole o ID do cliente copiado do Read AI na Etapa 1.

4. Em Escopos do OAuth, cole o seguinte, exatamente como escrito, ou copie-o do Read AI na Etapa 1:
   
   https://www.googleapis.com/auth/admin.directory.user.readonly, https://www.googleapis.com/auth/admin.directory.group.readonly

5. Selecione Autorizar. O Read AI deverá aparecer na lista de clientes de API com esses dois escopos somente leitura.

Observação: a autorização pode levar alguns minutos para entrar em vigor nos sistemas do Google. Se a Etapa 4 falhar imediatamente após a autorização, aguarde um momento e tente novamente.

Etapa 4: salvar sua configuração no Read AI

De volta às configurações do seu workspace do Read AI, preencha os dois campos de e-mail abaixo do painel de Instruções.

1. E-mail do administrador do Google — a conta de administrador do Google Workspace que o Read AI usará para se passar por ela e ler seu diretório.
   
   Essa conta precisa estar em um domínio que você já tenha verificado no Read AI. Você encontrará seus domínios verificados na mesma seção Avançado, acima das configurações de provisionamento SCIM. Ela não precisa ser sua conta pessoal de superadministrador. Recomendamos criar uma conta dedicada com uma função de administrador somente leitura, para que o acesso concedido ao Read AI seja o mais restrito possível.
    
2. E-mail do grupo de sincronização — o endereço de e-mail do Grupo do Google criado na Etapa 2 (por exemplo, readai-provisioning@yourcompany.com).

3. Selecione Salvar configuração. O Read AI verifica os dois valores no seu diretório e os salva. Se algum deles falhar, o campo será destacado com uma explicação (consulte Solução de problemas abaixo).

Após uma configuração bem-sucedida, você verá E-mail verificado abaixo do e-mail do administrador e o nome do grupo abaixo do e-mail do grupo. Sua primeira sincronização começará automaticamente.

Etapa 5: monitorar o provisionamento

Depois de salvar, a parte inferior da seção mostrará quando a última sincronização foi concluída e o status atual.

• As sincronizações são executadas automaticamente a cada 30 minutos, criando e desativando usuários no seu workspace do Read AI conforme necessário para mantê-lo sincronizado com seu grupo.
• Selecione Sincronizar agora para executar uma sincronização imediatamente, se necessário (por exemplo, logo após adicionar alguém ao grupo). Há um breve período de espera entre sincronizações manuais; o botão fica desativado até que você possa sincronizar novamente.
• Se a conexão for interrompida, enviaremos um e-mail uma vez aos administradores do seu workspace, e um banner aparecerá em todo o workspace do Read AI até que o problema seja resolvido.
• Também enviaremos notificações por e-mail aos administradores do seu workspace se o provisionamento de usuários falhar por qualquer motivo.

Gerenciamento da sua configuração

Alterar o e-mail do administrador ou o grupo de sincronização

Selecione Editar configuração, faça as alterações e salve. O Read AI verificará novamente os dois valores, exatamente como fez durante a configuração. A opção Sincronizar agora fica indisponível enquanto houver alterações não salvas.

⚠️ Alterar o grupo de sincronização desativa os usuários que não estiverem no novo grupo. Qualquer pessoa provisionada a partir do grupo antigo que não seja membro do novo grupo perderá o acesso na próxima sincronização. O Read AI solicitará sua confirmação antes de aplicar essa alteração.

Mudar para um IdP diferente

Se você mudar do Google Workspace Directory Sync para o Entra ou Okta (ou vice-versa), os usuários gerenciados pela configuração antiga permanecerão no seu workspace, mas não serão mais gerenciados pelo IdP, a menos que também apareçam na nova configuração. Você precisará concluir a configuração do novo método antes que o provisionamento seja retomado.

Desativar o provisionamento

Desative Habilitar provisionamento SCIM. Os usuários provisionados anteriormente permanecerão no seu workspace e deverão ser gerenciados manualmente a partir de então. Você também pode revogar o acesso do Read AI a qualquer momento no Google Admin Console, removendo a entrada de delegação em todo o domínio. Isso interrompe imediatamente nossa capacidade de ler seu diretório.

Observações e solução de problemas

Leia as observações aqui para entender completamente como funciona o provisionamento SCIM. Se tiver problemas, consulte as dicas de solução de problemas.

Quais usuários são provisionados

• Somente membros ativos do seu grupo de sincronização são provisionados. Usuários com um convite pendente do Google Workspace são ignorados até aceitarem o convite.
• Se um usuário estiver suspenso no Google Workspace, o Read AI o desativará e liberará seu assento, mesmo que ele ainda esteja listado no grupo. Suspender ou excluir uma conta no Google Workspace é a maneira confiável de remover o acesso de alguém ao Read AI.
• Remover um usuário do grupo de sincronização também cancela seu provisionamento na próxima sincronização.
• Os grupos aninhados são expandidos automaticamente. Portanto, um usuário só precisa estar indiretamente no grupo de sincronização para ser provisionado.

Erros durante a configuração

Se o provisionamento parar de funcionar

Quando o Read AI perde o acesso ao seu diretório, o status muda para Desconectado, a sincronização é pausada e um banner aparece em todo o workspace com a mensagem “Provisionamento de usuários pausado — ação necessária.” Também enviaremos um e-mail uma vez aos administradores do seu workspace. Nenhum usuário será adicionado ou desativado enquanto o provisionamento estiver pausado.

A própria seção explica qual dos dois problemas ocorreu:

“Seu e-mail de administrador do Google não tem mais permissão.” A autorização de delegação em todo o domínio não é mais válida ou a conta de administrador foi alterada. Verifique se a entrada do ID do cliente do Read AI ainda existe no Google Admin Console com ambos os escopos e se a conta de administrador ainda existe, não está suspensa e ainda pode ler seu diretório.

“Seu e-mail do grupo de sincronização não está mais acessível.” O grupo foi excluído, seu endereço foi alterado ou ele não está mais visível para a conta de administrador. Confirme se o grupo ainda existe nesse endereço ou selecione Editar configuração para indicar outro grupo.

Depois que o problema subjacente for corrigido, selecione Tentar sincronizar novamente. A sincronização será reiniciada automaticamente; não é necessário reconfigurar nada.

Um usuário do grupo não foi provisionado

Consulte a seção de solução de problemas do artigo de visão geral. As causas comuns (licenças insuficientes, o usuário pertence a outro workspace ou o endereço de e-mail não foi verificado) aplicam-se ao Google Workspace Directory Sync da mesma forma que ao Entra e ao Okta.

Ocasionalmente, um usuário individual pode ser ignorado em uma sincronização devido a um erro temporário ao ler seu perfil do Google. Esses erros são resolvidos por conta própria — selecione Sincronizar agora ou aguarde a próxima sincronização programada antes de investigar mais.