AzureAD Google Cloud 连接器用户配置失败答案

【问题标题】：AzureAD Google Cloud Connector user provisioning failureAzureAD Google Cloud 连接器用户配置失败
【发布时间】：2020-08-11 19:36:41
【问题描述】：

在使用 AzureAD Google Cloud EA 测试自动用户/组配置时，我在用户配置过程的范围界定阶段看到了许多 HTTP 403 错误，如下所示：

说明：无法评估源条目用户“user@foobar.com”的范围

错误代码：GoogleAppsCannotAccessResourceOrApi

错误消息：当我们的配置服务尝试评估源条目的范围时发生错误。

{
  "error": {
    "code": 403,
    "message": "Not Authorized to access this resource/api",
    "errors": [
      {
        "message": "Not Authorized to access this resource/api",
        "domain": "global",
        "reason": "forbidden"
      }
    ]
  }
}

注意：此问题会影响许多用户，但不会影响所有用户。还有更多已成功配置。

另外，请注意：没有适当的范围筛选器（源范围是“所有记录”）。

这看起来与azure ad user provisioning with g suite 相似，但该问题尚未得到解答，我尝试从属性映射中删除用户的经理（如上次回复中所暗示的那样），但没有成功。

【问题讨论】：

您的帐户是否具有执行该方法的正确权限？我建议您在此处尝试他们的控制台：developers.google.com/apis-explorer/#p/admin/directory_v1/... - 这样，您可以看到详细且易于理解的解释，说明您为什么会收到 403 .
AAD EA 被授予对 G Suite 帐户具有超级用户权限的用户的凭据（这是用于验证此过程的测试/评估帐户）正如我所说，一些用户（和大多数组）创建没有问题。此外，错误不是在配置阶段引发的，而是在作用域阶段引发的。不幸的是，上述内容并未表明 403 是来自内部 Azure API 还是 G Suite API。

标签： google-cloud-platform azure-active-directory google-workspace

【解决方案1】：

所以我发现了这个问题。首先，事实证明问题与范围无关，无论配置日志说什么。

我的问题是我对用户 UPN 执行了custom attribute re-mapping，因为 G Suite 是为另一个域配置的，并且我忘记了我们用户的 UPN 中有大写和小写域名的混杂。

我的expression 在执行区分大小写的旧域替换为新域之前，未能将 UPN 规范化为小写。一旦我添加了一个 ToLower 表达式，范围错误就消失了。

【讨论】：