Arbeitet eine Organisation mit Google Workspace, müssen Sie ihre Mitarbeiter nicht mehr per csv-Datei einlesen. Sie verbinden die Plattform mit der Google-Umgebung dieser Organisation und wählen eine Gruppe, deren Mitglieder teilnehmen. Ab diesem Moment werden neue Mitarbeiter automatisch angelegt, geänderte Daten übernommen und Mitarbeiter, die aus der Gruppe verschwinden, auf inaktiv gesetzt.

Es funktioniert genauso wie die bestehende Verbindung mit Microsoft Entra. Beide finden Sie unter Benutzersynchronisation bei der Organisation.

Was Sie brauchen

Der Kunde muss zwei Dinge in seiner eigenen Google-Umgebung für Sie einrichten. Ohne diese beiden funktioniert die Verbindung nicht, und das merken Sie erst bei der ersten Synchronisation.

1. Ein Dienstkonto mit einer Schlüsseldatei. Das legt der Kunde in Google Cloud an, in dem Projekt, zu dem sein Workspace gehört. Die Schlüsseldatei ist eine Datei im json-Format, die sich nur ein einziges Mal herunterladen lässt.
2. Domainweite Delegierung für dieses Dienstkonto, mit genau diesen zwei Berechtigungen:

   • https://www.googleapis.com/auth/admin.directory.user.readonly
   • https://www.googleapis.com/auth/admin.directory.group.readonly

Beide sind reine Leseberechtigungen. Die Plattform kann in der Google-Umgebung des Kunden also nichts ändern oder löschen, sie liest nur die Gruppe und die Daten der Mitglieder.

Außerdem brauchen Sie die E-Mail-Adresse eines Administrators dieser Google-Domain. Google erlaubt einem Dienstkonto nämlich nicht, auf eigene Faust Daten abzufragen. Es tut das immer im Namen eines bestehenden Benutzers, und dieser Benutzer muss die Rechte haben, die Benutzerliste sehen zu dürfen.

Achtung bei neuen Google-Umgebungen. Google aktiviert inzwischen standardmäßig eine Organisationsrichtlinie, die das Erstellen von Schlüsseln für Dienstkonten verbietet. Stößt der Kunde darauf, muss sein Google-Administrator diese Richtlinie für dieses eine Projekt abschalten. Das ist eine bewusste Entscheidung des Kunden und nichts, was wir von unserer Seite aus tun können.

Schritt 1: die Verbindung anlegen

Gehen Sie bei der Organisation zu Benutzersynchronisation und klicken Sie unter Google Workspace auf Google Workspace-Verbindung hinzufügen. Sie füllen vier Dinge aus:

• Bei Titel tragen Sie einen Namen ein, an dem Sie die Verbindung erkennen, zum Beispiel den Namen des Kunden.
• Bei Administrator tragen Sie die E-Mail-Adresse des Administrators ein, in dessen Namen die Plattform die Daten abruft.
• Bei Domain tragen Sie die Domain des Kunden ein.
• Bei Dienstkontoschlüssel fügen Sie den vollständigen Inhalt der json-Datei ein.

Auf dem Bildschirm stehen die zwei Berechtigungen noch einmal, damit Sie sie in die Google-Admin-Konsole des Kunden übernehmen können.

Der Schlüssel wird verschlüsselt gespeichert und nach dem Speichern nie wieder angezeigt. Wollen Sie ihn später ersetzen, fügen Sie einen neuen in das Feld ein. Lassen Sie das Feld leer, bleibt der vorhandene Schlüssel erhalten. Erkennt die Plattform den eingefügten Text nicht als Google-Schlüssel, bekommen Sie das sofort zu sehen statt erst bei der ersten Synchronisation.

Schritt 2: den Zeitplan einrichten

Gehen Sie zu Synchronisationszeitpläne und legen Sie einen an. Bei Quelle wählen Sie Google Workspace, und der Bildschirm passt sich daran an: Sie wählen die eben angelegte Verbindung und tragen bei Google-Gruppe die E-Mail-Adresse der Gruppe ein, deren Mitglieder teilnehmen, zum Beispiel mitarbeiter@kunde.de.

Der Rest ist wie bei einem Entra-Zeitplan. Sie wählen die Rolle, die neue Benutzer bekommen, wie oft die Synchronisation läuft und ob neue Benutzer eine Willkommens-E-Mail und einen Passwortlink erhalten.

Gibt es für diese Organisation noch keine Google-Verbindung, sagt der Bildschirm das und verweist Sie auf die Stelle, an der Sie eine anlegen.

Was bei jedem Durchlauf passiert

Die Plattform ruft die Mitglieder der angegebenen Gruppe ab und geht sie einzeln durch.

• Mitarbeiter, die noch nicht existieren, werden angelegt, mit der Rolle aus dem Zeitplan.
• Bestehende Mitarbeiter werden aktualisiert.
• Ist bei einem Mitarbeiter eine Abteilung hinterlegt, wird diese Abteilung in der Plattform angelegt, falls sie noch nicht existiert, und der Mitarbeiter wird ihr zugeordnet.
• Mitarbeiter, die früher über diese Gruppe hereinkamen, aber jetzt nicht mehr darin sind, werden auf inaktiv gesetzt.
• Steckt eine Gruppe in der Gruppe, werden deren Mitglieder ebenfalls berücksichtigt.

Diese Felder kommen aus Google mit:

Ein gesperrtes Konto in Google kommt also als inaktiv in die Plattform.

Gut zu wissen

Lizenzplätze. Ist die Organisation an ihrem Maximum, stoppt das Anlegen neuer Benutzer. Inaktive Benutzer zählen nicht mit: Sobald jemand auf inaktiv steht, wird sein Platz frei.

Löschen. Die Synchronisation selbst löscht keine Konten. Ein inaktives Konto kann sich nicht mehr anmelden und behält Fortschritt und Zertifikate. Nach der Frist, die die Organisation in ihren Einstellungen wählt (standardmäßig 365 Tage), löscht die Plattform inaktive Konten automatisch; die Kontaktperson erhält jeden Monat eine Übersicht mit dem Schulungsverlauf. Ein Administrator kann sie auch früher selbst löschen.

Vorgesetzter und Profilfoto werden bei Google noch nicht übernommen. Bei Entra schon. Es ist nichts kaputt, wenn der Kunde diese Daten ausgefüllt hat, sie kommen nur nicht mit.

Manuelles Abrufen geht noch nicht. Der Bildschirm Import aus Azure funktioniert nur mit Entra-Zeitplänen. Bei Google warten Sie also auf den nächsten geplanten Durchlauf, oder Sie stellen ihn vorübergehend häufiger ein.

Das Aufräumen kann sich selbst abschalten. Sind sehr viele Gruppen ineinander verschachtelt, ruft die Plattform nur eine begrenzte Anzahl ab und betrachtet die Mitgliederliste als unvollständig. Das Setzen auf inaktiv überspringt sie dann, weil sonst Mitarbeiter abgeschaltet würden, die ganz normal noch beschäftigt sind. Im Protokoll des Zeitplans steht, warum.

Wenn etwas schiefgeht

Bei jedem Durchlauf kommt eine Zeile ins Protokoll des Zeitplans, auch wenn etwas schiefgeht. Darin steht die Meldung von Google selbst. Das sind die häufigsten:

„unauthorized_client“

Die domainweite Delegierung ist nicht eingerichtet, oder die zwei Berechtigungen stehen nicht exakt dabei. Lassen Sie den Google-Administrator des Kunden prüfen, ob das richtige Dienstkonto hinzugefügt wurde und ob beide Adressen buchstabengetreu stimmen.

„Not a valid email or user ID“

Die angegebene Administrator-Adresse existiert nicht in der Google-Domain des Kunden oder ist falsch geschrieben. Prüfen Sie das Feld Administrator bei der Verbindung.

„Google hat keine Mitgliederliste für Gruppe … geliefert“

Die angegebene Gruppenadresse existiert nicht, oder der Administrator, in dessen Namen wir arbeiten, darf diese Gruppe nicht sehen. Prüfen Sie die Adresse im Zeitplan. Gemeint ist die E-Mail-Adresse der Gruppe, nicht ihr Name.

„Für diesen Zeitplan ist keine Google-Gruppe eingestellt“

Das Gruppenfeld ist leer geblieben. Tragen Sie es im Zeitplan nach.

„Dieser Verbindung fehlt ein Schlüssel oder ein Administrator“

Die Verbindung ist unvollständig. Vervollständigen Sie sie, oder legen Sie sie neu an, mit der Schlüsseldatei zur Hand.