Arbeitet eine Organisation mit Google Workspace, musst du ihre Mitarbeiter nicht mehr per csv-Datei einlesen. Du verbindest die Plattform mit der Google-Umgebung dieser Organisation und wählst eine Gruppe, deren Mitglieder teilnehmen. Ab diesem Moment werden neue Mitarbeiter automatisch angelegt, geänderte Daten übernommen und Mitarbeiter, die aus der Gruppe verschwinden, auf inaktiv gesetzt.

Es funktioniert genauso wie die bestehende Verbindung mit Microsoft Entra. Beide findest du unter Benutzersynchronisation bei der Organisation.

Was du brauchst

Der Kunde muss zwei Dinge in seiner eigenen Google-Umgebung für dich einrichten. Ohne diese beiden funktioniert die Verbindung nicht, und das merkst du erst bei der ersten Synchronisation.

1. Ein Dienstkonto mit einer Schlüsseldatei. Das legt der Kunde in Google Cloud an, in dem Projekt, zu dem sein Workspace gehört. Die Schlüsseldatei ist eine Datei im json-Format, die sich nur ein einziges Mal herunterladen lässt.
2. Domainweite Delegierung für dieses Dienstkonto, mit genau diesen zwei Berechtigungen:

   • https://www.googleapis.com/auth/admin.directory.user.readonly
   • https://www.googleapis.com/auth/admin.directory.group.readonly

Beide sind reine Leseberechtigungen. Die Plattform kann in der Google-Umgebung des Kunden also nichts ändern oder löschen, sie liest nur die Gruppe und die Daten der Mitglieder.

Außerdem brauchst du die E-Mail-Adresse eines Administrators dieser Google-Domain. Google erlaubt einem Dienstkonto nämlich nicht, auf eigene Faust Daten abzufragen. Es tut das immer im Namen eines bestehenden Benutzers, und dieser Benutzer muss die Rechte haben, die Benutzerliste sehen zu dürfen.

Achtung bei neuen Google-Umgebungen. Google aktiviert inzwischen standardmäßig eine Organisationsrichtlinie, die das Erstellen von Schlüsseln für Dienstkonten verbietet. Stößt der Kunde darauf, muss sein Google-Administrator diese Richtlinie für dieses eine Projekt abschalten. Das ist eine bewusste Entscheidung des Kunden und nichts, was wir von unserer Seite aus tun können.

Schritt 1: die Verbindung anlegen

Geh bei der Organisation zu Benutzersynchronisation und klicke unter Google Workspace auf Google Workspace-Verbindung hinzufügen. Du füllst vier Dinge aus:

• Bei Titel trägst du einen Namen ein, an dem du die Verbindung erkennst, zum Beispiel den Namen des Kunden.
• Bei Administrator trägst du die E-Mail-Adresse des Administrators ein, in dessen Namen die Plattform die Daten abruft.
• Bei Domain trägst du die Domain des Kunden ein.
• Bei Dienstkontoschlüssel fügst du den vollständigen Inhalt der json-Datei ein.

Auf dem Bildschirm stehen die zwei Berechtigungen noch einmal, damit du sie in die Google-Admin-Konsole des Kunden übernehmen kannst.

Der Schlüssel wird verschlüsselt gespeichert und nach dem Speichern nie wieder angezeigt. Willst du ihn später ersetzen, fügst du einen neuen in das Feld ein. Lässt du das Feld leer, bleibt der vorhandene Schlüssel erhalten. Erkennt die Plattform den eingefügten Text nicht als Google-Schlüssel, bekommst du das sofort zu sehen statt erst bei der ersten Synchronisation.

Schritt 2: den Zeitplan einrichten

Geh zu Synchronisationszeitpläne und leg einen an. Bei Quelle wählst du Google Workspace, und der Bildschirm passt sich daran an: Du wählst die eben angelegte Verbindung und trägst bei Google-Gruppe die E-Mail-Adresse der Gruppe ein, deren Mitglieder teilnehmen, zum Beispiel mitarbeiter@kunde.de.

Der Rest ist wie bei einem Entra-Zeitplan. Du wählst die Rolle, die neue Benutzer bekommen, wie oft die Synchronisation läuft und ob neue Benutzer eine Willkommens-E-Mail und einen Passwortlink erhalten.

Gibt es für diese Organisation noch keine Google-Verbindung, sagt der Bildschirm das und verweist dich auf die Stelle, an der du eine anlegst.

Was bei jedem Durchlauf passiert

Die Plattform ruft die Mitglieder der angegebenen Gruppe ab und geht sie einzeln durch.

• Mitarbeiter, die noch nicht existieren, werden angelegt, mit der Rolle aus dem Zeitplan.
• Bestehende Mitarbeiter werden aktualisiert.
• Ist bei einem Mitarbeiter eine Abteilung hinterlegt, wird diese Abteilung in der Plattform angelegt, falls sie noch nicht existiert, und der Mitarbeiter wird ihr zugeordnet.
• Mitarbeiter, die früher über diese Gruppe hereinkamen, aber jetzt nicht mehr darin sind, werden auf inaktiv gesetzt.
• Steckt eine Gruppe in der Gruppe, werden deren Mitglieder ebenfalls berücksichtigt.

Diese Felder kommen aus Google mit:

Ein gesperrtes Konto in Google kommt also als inaktiv in die Plattform.

Gut zu wissen

Lizenzplätze. Ist die Organisation an ihrem Maximum, stoppt das Anlegen neuer Benutzer. Jemanden auf inaktiv zu setzen gibt keinen Platz frei, denn inaktive Benutzer zählen mit. Willst du Platz freimachen, muss ein Benutzer von der Organisation getrennt werden.

Vorgesetzter und Profilfoto werden bei Google noch nicht übernommen. Bei Entra schon. Es ist nichts kaputt, wenn der Kunde diese Daten ausgefüllt hat, sie kommen nur nicht mit.

Manuelles Abrufen geht noch nicht. Der Bildschirm Import aus Azure funktioniert nur mit Entra-Zeitplänen. Bei Google wartest du also auf den nächsten geplanten Durchlauf, oder du stellst ihn vorübergehend häufiger ein.

Das Aufräumen kann sich selbst abschalten. Sind sehr viele Gruppen ineinander verschachtelt, ruft die Plattform nur eine begrenzte Anzahl ab und betrachtet die Mitgliederliste als unvollständig. Das Setzen auf inaktiv überspringt sie dann, weil sonst Mitarbeiter abgeschaltet würden, die ganz normal noch beschäftigt sind. Im Protokoll des Zeitplans steht, warum.

Wenn etwas schiefgeht

Bei jedem Durchlauf kommt eine Zeile ins Protokoll des Zeitplans, auch wenn etwas schiefgeht. Darin steht die Meldung von Google selbst. Das sind die häufigsten:

„unauthorized_client“

Die domainweite Delegierung ist nicht eingerichtet, oder die zwei Berechtigungen stehen nicht exakt dabei. Lass den Google-Administrator des Kunden prüfen, ob das richtige Dienstkonto hinzugefügt wurde und ob beide Adressen buchstabengetreu stimmen.

„Not a valid email or user ID“

Die angegebene Administrator-Adresse existiert nicht in der Google-Domain des Kunden oder ist falsch geschrieben. Prüfe das Feld Administrator bei der Verbindung.

„Google hat keine Mitgliederliste für Gruppe … geliefert“

Die angegebene Gruppenadresse existiert nicht, oder der Administrator, in dessen Namen wir arbeiten, darf diese Gruppe nicht sehen. Prüfe die Adresse im Zeitplan. Gemeint ist die E-Mail-Adresse der Gruppe, nicht ihr Name.

„Für diesen Zeitplan ist keine Google-Gruppe eingestellt“

Das Gruppenfeld ist leer geblieben. Trag es im Zeitplan nach.

„Dieser Verbindung fehlt ein Schlüssel oder ein Administrator“

Die Verbindung ist unvollständig. Vervollständige sie, oder leg sie neu an, mit der Schlüsseldatei zur Hand.