本文說明您需要在 Google（Google Cloud 或 Google Workspace）及 Microsoft Entra ID 中執行的步驟，以設定自動使用者配置。 設定後，Microsoft Entra ID 會自動使用 Microsoft Entra 配置服務，將使用者與群組配置至 Google Workspace 。 如需了解此服務的功能、運作原理和常見問題的重要詳情，請參閱 使用 Microsoft Entra ID 將使用者布建和取消布建至 SaaS 應用程式。
注意
本文描述了一種建立在 Microsoft Entra 用戶配置服務之上，針對 Google G Suite（前身為 Google Workspace 的名稱）打造的連接器。 如需了解此服務的功能、運作原理和常見問題的重要詳情，請參閱 使用 Microsoft Entra ID 將使用者布建和取消布建至 SaaS 應用程式。
支援的功能
- 在 G Suite 中建立使用者
- 移除 G Suite 中的使用者，當他們不再需要存取權限時（注意：移除同步範圍中的使用者不會導致 G Suite 中的物件被刪除）
- 讓 Microsoft Entra ID 與 G Suite 之間的使用者屬性保持同步
- 在 G Suite 中佈建群組和群組成員資格
- 單點登入至 G Suite（建議）
必要條件
本文中所述的案例假設您已經具備下列必要條件：
- G Suite 租戶
- G Suite 上具有管理員權限的使用者帳戶。
步驟 1：規劃佈建部署
- 瞭解 布建服務的運作方式。
- 確定誰在配置範圍內。
- 決定要 對應Microsoft Entra ID 與 G Suite 之間的數據。
步驟 2：設定 G Suite 以支援使用 Microsoft Entra 識別碼進行佈建
用 Microsoft Entra ID 設定 G Suite 以自動佈建使用者之前，必須在 G Suite 上啟用 SCIM 佈建。
使用您的系統管理員帳戶登入 G Suite 管理控制台 ，然後選取 [主] 功能表 ，然後選取 [ 安全性]。 如果沒有看到，可能是隱藏在 [顯示更多] 功能表之下。
瀏覽至 安全性 -> 存取與資料控制 -> API 控制件 。選取 [ 信任內部、網域擁有的應用程式 ] 複選框，然後選取 [ 儲存]
重要
對於您想要提供至 G Suite 的每個使用者，其用戶名稱在 Microsoft Entra ID 必須 繫結至自訂網域。 例如，G Suite 不接受看起來像 bob@contoso.onmicrosoft.com 的用戶名稱。 另一方面，bob@contoso.com 則被接受。 您可以遵循 這裡的指示來變更現有使用者的網域。
使用 Microsoft Entra ID 以新增並驗證所需自訂網域後，必須使用 G Suite 再次驗證。 若要驗證 G Suite 中的網域，請參閱下列步驟：
在 G Suite 管理主控台中，流覽至 [帳戶 -> 網域 -> 管理網域]。
在 [管理網域] 頁面中，選取 [新增網域]。
在 [新增網域] 頁面中，輸入您想要新增的網域名稱。
選取 [新增網域和開始驗證]。 然後依照步驟以驗證您擁有網域名稱。 如需如何使用Google驗證網域的完整指示，請參閱 驗證您的網站擁有權。
對您想要新增至 G Suite 的其他網域，重複上述步驟。
接下來，確定您要使用哪個管理帳戶來管理 G Suite 中的使用者配置。 流覽至 [帳戶管理員>] 角色。
對於該帳戶的 [管理員角色]，編輯該角色的 [權限]。 務必啟用所有 [管理 API 權限]，以便讓此帳戶可以用來佈建。
步驟 3：從 Microsoft Entra 應用程式庫新增 G Suite
從 Microsoft Entra 應用程式庫新增 G Suite，以開始管理對 G Suite 的佈建。 如果您先前已針對 SSO 設定 G Suite，則可使用相同的應用程式。 不過，建議您在一開始測試整合時建立個別的應用程式。 進一步了解如何從 圖庫中新增應用程式。
步驟 4：定義佈建範圍內的人員
Microsoft Entra 布建服務可讓您根據指派給應用程式，或根據使用者或群組的屬性來設定布建的人員範圍。 如果您選擇根據指派來設定布建至應用程式的人員範圍，您可以使用 步驟將使用者和群組指派給應用程式。 如果您選擇只根據使用者或群組的屬性來決定資源配置的對象，您可以使用 範圍篩選。
從小規模開始。 在推出給所有人之前，先使用一小部分的使用者和群組進行測試。 當佈建範圍設為已指派的使用者和群組時，您可將一或兩個使用者或群組指派給應用程式來控制這點。 當範圍設定為所有使用者和群組時，您可以指定 以屬性為基礎的範圍篩選。
如果您需要額外的角色，您可以 更新應用程式指令清單 以新增角色。
步驟 5：設定自動化將使用者配置至 Google Workspace
本節將逐步引導您設定 Microsoft Entra 佈建服務，以根據 Microsoft Entra ID 中的使用者和/或群組指派，在 TestApp 中建立、更新和停用使用者和/或群組。
注意
若要深入瞭解 G Suite 目錄 API 端點，請參閱 目錄 API 參考檔。
若要在 Microsoft Entra ID 為 G Suite 配置自動使用者佈建：
以至少雲端應用程式管理員身分登入 Microsoft Entra 系統管理中心。
流覽至 Entra ID>企業應用程式。
在應用程式清單中，選取 [G Suite]。
選取 [佈建] 標籤。選取 [開始使用]。
![[管理] 選項的螢幕截圖，其中已指出 [佈建] 選項。](common/provisioning.png)
將 [佈建模式] 設定為 [自動]。
![[布建模式] 下拉式清單的螢幕快照，其中 [自動] 選項已被標示。](common/provisioning-automatic.png)
在 [ 系統管理員認證] 區段底下，選取 [ 授權]。 系統會在新瀏覽器視窗中將您重新導向至 Google 授權對話方塊。
確認您想要授予 Microsoft Entra 權限，以變更您的 G Suite 租戶。 選擇 [接受]。
選取 [測試連線]，以確定 Microsoft Entra ID 可以連線至 G Suite。 如果連線失敗，請確定您的 G Suite 帳戶具有管理員權限，然後再試一次。 然後再次嘗試 授權 步驟。
在 [通知電子郵件] 欄位中，輸入應該收到佈建錯誤通知的個人或群組電子郵件地址，然後選取 [發生失敗時傳送電子郵件通知] 核取方塊。
選取 [儲存]。
在 對應 區段中，選取 配置 Microsoft Entra 使用者。
在 [屬性對應] 區段中，檢閱從 Microsoft Entra ID 同步到 G Suite 的使用者屬性。 選取 [儲存] 按鈕以認可所有變更。
注意
G Suite Provisioning 目前只支援使用 primaryEmail 作為配對屬性。
| 屬性 | 類型 |
|---|---|
| 主要電子郵件 | 字串 |
| 關係。[類型 等於 "經理"].值 | 字串 |
| 姓名.姓氏 | 字串 |
| 名稱.名字 | 字串 |
| 暫止 | 字串 |
| externalIds。[type eq “custom”].value | 字串 |
| 外部識別碼.[類型 eq "組織"].值 | 字串 |
| addresses.[type eq "work"].country（地址。[類型等於"工作"].國家） | 字串 |
| addresses.[type eq "工作"].streetAddress | 字串 |
| 地址。[類別 等於 "工作"].地區 | 字串 |
| 位址。[type eq “work”].locality | 字串 |
| 位址。[type eq "work"].郵遞區號 | 字串 |
| 電子郵件。[類型等於“工作”].地址 | 字串 |
| 組織。[type eq 「work」].部門 | 字串 |
| 組織。[type eq “work”].title | 字串 |
| phoneNumbers.[類別 eq "work"].值 | 字串 |
| 電話號碼（phoneNumbers）.［類型（type）等於（eq）「mobile」］.值（value） | 字串 |
| phoneNumbers.[type eq "工作傳真"].value | 字串 |
| 電子郵件。[類型等於“工作”].地址 | 字串 |
| 組織。[type eq 「work」].部門 | 字串 |
| 組織。[type eq “work”].title | 字串 |
| `地址.[類型 eq "home"].國家` | 字串 |
| 地址.[類型 eq "家庭"].格式化 | 字串 |
| 地址.[類型 eq "home"].所在地 | 字串 |
| addresses.[類型等於"home"].郵遞區號 | 字串 |
| 地址.[類型 eq "家庭"].地區 | 字串 |
| 位址。[類型等於“home”].街道地址 | 字串 |
| 地址.[類型等於"其他"].國家 | 字串 |
| 地址。[類型等於「其他」]。格式化 | 字串 |
| 位址。[type eq “other”].locality | 字串 |
| 位址。[type eq 「other」].postalCode | 字串 |
| 位址。[type eq “other”].region | 字串 |
| 地址。[類型 eq "其他"].街道地址 | 字串 |
| addresses.[type eq "工作"].formatted | 字串 |
| 下次登入時更改密碼 | 字串 |
| 電子郵件.[類型等於 "家庭"].地址 | 字串 |
| 電子郵件.[類型等於 "其他"].地址 | 字串 |
| No immediate improvements necessary if "externalIds.[type eq "account"].value" is intended as a technical code snippet with no direct translation requirement. | 字串 |
| externalIds.[類型 eq "自訂"].customType | 字串 |
| externalIds。[type eq “customer”].value | 字串 |
| externalIds。[type eq “login_id”].value | 字串 |
| externalIds.[type eq "網絡"].value | 字串 |
| 性別類型 | 字串 |
| 自動生成的不可變識別碼 | 字串 |
| 識別碼 | 字串 |
| ims.[type eq “home”].protocol | 字串 |
| ims.[type eq "other"].協議 | 字串 |
| ims.[type eq “work”].protocol | 字串 |
| 包含在全域通訊錄中 | 字串 |
| IP白名單化 | 字串 |
| 組織。[type eq “school”].costCenter | 字串 |
| 組織。[類型 等於 "學校"].部門 | 字串 |
| 組織。[類型 eq “school”].領域 | 字串 |
| organizations.[類型 等於 "school"].全職等效 | 字串 |
| 組織.[類型等於 "學校"].位置 | 字串 |
| organizations.[type eq "學校"].name | 字串 |
| 組織。[type eq “school”].symbol | 字串 |
| 組織。[type eq “school”].title | 字串 |
| 組織。[type eq “work”].costCenter | 字串 |
| 組織。[type eq “work”].domain | 字串 |
| organizations.[type eq "work"].全職等價 | 字串 |
| 組織.[類型 等於 "工作"].地點 (organizations.[type eq "work"].location) | 字串 |
| 組織。[type eq “work”].name | 字串 |
| 組織。[type eq "work"].symbol | 字串 |
| 組織單位路徑 (OrgUnitPath) | 字串 |
| 電話號碼.[類型 eq "家庭"].值 | 字串 |
| phoneNumbers.[類型 eq "其他"].值 | 字串 |
| 網站。[type eq “home”].value | 字串 |
| 網站.[type eq "other"].value | 字串 |
| websites.[type eq "work"].value (此為一段篩選職場網站的條件代碼) | 字串 |
在 對映 區段底下，選取 佈建 Microsoft Entra 群組。
在 [屬性對應] 區段中，檢閱從 Microsoft Entra ID 同步至 G Suite 的群組屬性。 選取為 [比對 ] 屬性的屬性可用來比對 G Suite 中的群組以進行更新作業。 選取 [儲存] 按鈕以認可所有變更。
屬性 類型 電子郵件 字串 成員 字串 名稱 字串 描述 字串 若要設定範圍篩選，請參閱 範圍篩選一文中提供的下列指示。
若要啟用 G Suite 的 Microsoft Entra 佈建服務，請將 [設定] 區段中的 [佈建狀態] 變更為 [開啟]。
透過在 [設定] 區段的 [範圍] 中選擇需要的值，可定義要佈建到 G Suite 的使用者和/或群組。
當您準備好布建時，請選取 [ 儲存]。
此作業會對在 [設定] 區段的 [範圍] 中所定義所有使用者和群組啟動首次同步處理週期。 初始週期會比後續週期花費更多時間執行，只要 Microsoft Entra 佈建服務正在執行，這大約每 40 分鐘便會發生一次。
注意
如果使用者已經有使用Microsoft Entra用戶電子郵件地址的個人/消費者帳號，可能會造成問題，這可以透過在目錄同步前使用Google Transfer Tool來解決。
步驟 6：監視您的部署
設定佈建後，請使用下列資源來監視部署：
- 使用 布建記錄 來判斷哪些使用者已成功或未成功布建
- 檢查 進度列 以查看配置過程的狀態，以及接近完成的程度
- 如果佈建設定似乎處於狀況不良的狀態，則應用程式將會進入隔離狀態。 深入瞭解 應用程式布建隔離狀態 一文中的隔離狀態。
疑難排解秘訣
- 從同步範圍移除使用者會停用 G Suite 中的使用者，但不會導致在 G Suite 中的使用者遭到刪除
使用 PIM 進行群組的即時 (JIT) 應用程式存取
透過群組的 PIM，您可以提供 Google Cloud/Google Workspace 群組的即時存取權，並減少 Google Cloud/Google Workspace 中永久存取具特權群組的使用者人數。
設定企業應用程式以進行 SSO 和配置
- 將 Google Cloud / Google Workspace 新增至您的租戶，依照本文所述進行設定以進行佈建，然後開始佈建。
- 設定Google Cloud /Google Workspace 的單一登錄 。
- 建立 群組 ，以提供所有使用者對應用程式的存取權。
- 將群組指派給 Google Cloud/Google Workspace 應用程式。
- 將測試使用者指派為前一步建立群組的直接成員，或透過存取套件提供群組存取權。 此群組可用於 Google Cloud/Google Workspace 中的持續性非管理員存取權。
為群組啟用 PIM
- 在 Microsoft Entra ID 中，建立第二個群組。 此群組提供 Google Cloud/Google Workspace 中管理員權限的存取權。
- 讓群組 在 Microsoft Entra PIM 中受到管理。
- 將測試使用者指派為 符合 PIM 中群組的資格 ，並將角色設定為成員。
- 將第二群組指派給 Google Cloud/Google Workspace 應用程式。
- 使用隨選佈建，在 Google Cloud/Google Workspace 中建立群組。
- 登入 Google Cloud/Google Workspace，並將執行管理員工作所需的權限指派給第二個群組。
現在，任何符合 PIM 群組資格的使用者，都可以 藉由啟用其群組成員資格，在 Google Cloud / Google Workspace 中取得群組的 JIT 存取權。 當指派到期時，使用者就會從 Google Cloud / Google Workspace 中的群組中移除。 在下一個累加循環期間，佈建服務會嘗試再次從群組中移除使用者。 這可能會導致布建記錄檔發生錯誤。 此為預期錯誤，由於群組成員資格已經被移除。 可以忽略錯誤訊息。
- 將使用者佈建至應用程式需要多久時間？
- 若使用者在未使用 Microsoft Entra ID Privileged Identity Management (PIM) 啟用群組成員資格的情況下，被新增至 Microsoft Entra ID 的群組：
- 下一個同步週期內，應用程式會配置群組會員資格。 同步處理週期每 40 分鐘執行一次。
- 使用者在 Microsoft Entra ID PIM 中啟用其群組成員資格時：
- 群組成員資格會在 2 到 10 分鐘內配置完成。 當請求量很高時，請求會以每 10 秒 5 個請求的速度進行限制。
- 在 10 秒內啟用特定應用程式群組成員資格的前五名使用者，他們的群組成員資格會在 2-10 分鐘內被佈建到應用程式中。
- 在第六位使用者及之後的10秒內啟用特定應用程式的群組成員資格，群組成員資格會在下一個同步處理週期中布建至應用程式。 同步處理週期每 40 分鐘執行一次。 節流限制是針對每個企業應用程式設定的。
- 若使用者在未使用 Microsoft Entra ID Privileged Identity Management (PIM) 啟用群組成員資格的情況下，被新增至 Microsoft Entra ID 的群組：
- 如果使用者無法存取 Google Cloud/Google Workspace 中的必要群組，請檢閱 PIM 記錄並佈建記錄，以確保成功更新群組成員資格。 根據目標應用程式的架構方式，群組成員資格可能需要更多時間才會在應用程式中生效。
- 您可以使用 Azure 監視器建立失敗的警示。
變更記錄
- 2020/10/17 - 已新增對更多 G Suite 使用者和群組屬性的支援。
- 2020 年 10 月 17 日 - 已更新 G Suite 目標屬性名稱，以符合 這裡定義的名稱。
- 2020/10/17 - 已更新預設屬性對應。