Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Last reviewed 2024-07-11 UTC
Wenn Ihre Organisation Cloud Identity oder Google Workspace nicht schon verwendet, verwenden einige Ihrer Mitarbeiter möglicherweise Privatnutzerkonten, um auf Google-Dienste zuzugreifen. Ein Privatnutzerkonto gehört der Person, die das Konto erstellt hat, und wird von ihr verwaltet. Ihre Organisation hat daher keine Kontrolle über die Konfiguration, Sicherheit und den Lebenszyklus dieser Privatnutzerkonten.
In diesem Dokument wird beschrieben, wie Sie vorhandene Privatnutzerkonten konsolidieren, um die folgenden Ergebnisse zu erzielen:
Ihre Organisation hat die volle Kontrolle über die Konfiguration, Sicherheit und den Lebenszyklus von Nutzerkonten.
Wenn Sie einen externen IdP verwenden, haben alle Nutzerkonten eine übereinstimmende Identität bei Ihrem externen Identitätsanbieter und können für die Einmalanmeldung (SSO) verwendet werden.
Hinweise
Bevor Sie Ihre Privatnutzerkonten konsolidieren, sollten Sie einen geeigneten Onboarding-Plan festlegen und die Voraussetzungen für die Konsolidierung Ihrer bestehenden Nutzerkonten erfüllen.
Wenn Sie vorhandene Nutzerkonten konsolidieren, müssen Sie möglicherweise mit mehreren Teams und Beteiligten in Ihrer Organisation zusammenarbeiten. Dazu gehören:
Administratoren Ihres externen IdP, falls Sie einen verwenden.
Administratoren Ihres E-Mail-Systems.
Nutzer, die in Ihrer Organisation verantwortlich sind für die Verwaltung des Zugriffs auf Google-Dienste wie die Google Marketing Platform, Google Ads oder Google Play.
Erstellen Sie für jede Klasse vorhandener Privatnutzerkonten, die Sie konsolidieren müssen, ein Testnutzerkonto mit einer ähnlichen Konfiguration.
Wenn Sie diesen Testnutzerkonten E-Mail-Adressen zuweisen, wählen Sie E-Mail-Adressen aus, die mit einer der Domains Ihres Staging-Kontos übereinstimmen.
Führen Sie den Konsolidierungsprozess mithilfe der Testnutzerkonten und Ihres Staging-Google Workspace oder Cloud Identity-Kontos durch.
Durch den Testlauf können Sie sich mit dem Prozess vertraut machen, bevor Sie ihn in Ihrer Produktionsumgebung anwenden. Außerdem können Sie so potenzielle Probleme erkennen, bevor sich diese auf Tausende von Nutzern auswirken.
Konsolidierungsprozess
Der Konsolidierungsprozess umfasst die folgenden Streams:
Privatnutzerkonten zu Cloud Identity oder Google Workspace migrieren.
Nutzerkonten entfernen, die Sie nicht behalten möchten
Zugriff auf Gmail-Konten identifizieren und entfernen
Gmail-Konten bereinigen, die eine geschäftliche E-Mail-Adresse als alternative Adresse verwenden
In Abhängigkeit von den bestehenden Konten, die Sie identifiziert haben, sind einige dieser Streams möglicherweise nicht für Sie relevant.
Das folgende Flussdiagramm veranschaulicht den Konsolidierungsprozess. Die durch parallele Linien gekennzeichneten Streams sind unabhängig voneinander, sodass Sie sie parallel ausführen können.
Das Diagramm zeigt diesen Ablauf:
Eine Reihe von Privatnutzerkonten identifizieren, die migriert werden sollen. Wenn Sie eine große Anzahl von Privatnutzerkonten haben, sollten Sie die Migration am besten in Batches durchführen. Beginnen Sie mit einem kleinen Batch von etwa zehn Nutzern und erweitern Sie Ihre Batches bei nachfolgenden Migrationen.
Teilen Sie den betroffenen Nutzern mit, dass Sie Privatnutzerkonten migrieren möchten.
Stellen Sie sicher, dass die Nutzer sowohl die Bedeutung als auch die Konsequenzen einer Annahme oder Ablehnung der Übertragungsanfrage verstehen.
Warten Sie, bis die meisten Nutzer (ein Quorum) Übertragungsanfragen annehmen oder ablehnen, und senden Sie die Anfragen bei Bedarf noch einmal. Im Übertragungstool für nicht verwaltete Nutzer sehen Sie, ob ein Nutzer geantwortet hat.
Wenn Sie einen externen IdP verwenden, kann es vorkommen, dass einige der migrierten Nutzerkonten keine übereinstimmende Identität beim externen IdP haben.
Gleichen Sie diese verwaisten verwalteten Nutzerkonten ab, um sicherzustellen, dass alle verwalteten Nutzerkonten beim externen IdP über eine übereinstimmende Identität verfügen.
Suchen Sie in Ihren IAM-Richtlinien (Cloud Identity and Access Management) nach Gmail-Konten (suchen Sie nach *@gmail.com-Einträgen). Widerrufen Sie den Zugriff auf diese Konten und stellen Sie den betroffenen Nutzern verwaltete Nutzerkonten als Ersatz zur Verfügung. Stellen Sie sicher, dass diese verwalteten Nutzerkonten denselben oder einen ähnlichen Zugriff auf Ressourcen wie frühere Gmail-Konten haben, um die Auswirkungen für die Nutzer zu minimieren.
Wir empfehlen die folgenden Best Practices bei der Konsolidierung vorhandener Nutzerkonten:
Wenn Sie von einem externen E-Mail-System zu Google Workspace migrieren, müssen Sie beachten, dass für Privatnutzerkonten möglicherweise eine E-Mail-Adresse verwendet wird, die ebenfalls migriert muss. Um sicherzustellen, dass die Inhaber dieser Privatnutzerkonten weiterhin E-Mails erhalten, ändern Sie die DNS-MX-Einträge erst, nachdem Sie alle betroffenen Privatnutzerkonten migriert haben.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2024-07-11 (UTC)."],[[["\u003cp\u003eThis document outlines how to consolidate existing consumer accounts into managed user accounts within Cloud Identity or Google Workspace, providing your organization with full control over account configuration, security, and lifecycle.\u003c/p\u003e\n"],["\u003cp\u003eThe consolidation process involves migrating, evicting, or sanitizing consumer accounts, potentially handling Gmail accounts, and ensuring all managed accounts align with any existing external Identity Provider (IdP).\u003c/p\u003e\n"],["\u003cp\u003eA recommended practice is to first perform a test run of the consolidation process using a staging environment and test user accounts, before applying the process to a production environment with real users.\u003c/p\u003e\n"],["\u003cp\u003eThe consolidation process is structured into independent streams, allowing for parallel actions, such as migrating, evicting, and addressing Gmail accounts.\u003c/p\u003e\n"],["\u003cp\u003eIt's critical to communicate with users about the transfer of consumer accounts, including the implications of accepting or declining the transfer, and to reconcile any orphaned accounts post-migration.\u003c/p\u003e\n"]]],[],null,["# Overview of consolidating accounts\n\nIf your organization isn't already using\n[Cloud Identity](/identity)\nor\n[Google Workspace](https://gsuite.google.com/),\nsome of your employees might be using\n[consumer accounts](/architecture/identity/overview-google-authentication#consumer_account)\nto access Google services. A consumer account is owned and managed by the\nindividual who created the account. Your organization therefore\n[has no control](/architecture/identity/assessing-existing-user-accounts#consumer_accounts)\nover the configuration, security, and lifecycle of these consumer accounts.\n\nThis document describes how to consolidate existing consumer accounts so that\nyou achieve the following results:\n\n- Only [managed user accounts](/architecture/identity/overview-google-authentication#managed_user_account) are used to access Google services.\n- Your organization has full control over the configuration, security, and lifecycle of user accounts.\n- If you [use an external IdP](/architecture/identity/reference-architectures#using_an_external_idp), all user accounts have a matching identity in your external identity provider (IdP) and can be used for single sign-on.\n\nBefore you begin\n----------------\n\nBefore you consolidate your consumer accounts, make sure that you\n[identify a suitable onboarding plan](/architecture/identity/assessing-onboarding-plans)\nand complete the prerequisites for consolidating your existing user\naccounts.\n\nWhen you consolidate existing user accounts, you might need to collaborate\nbetween multiple teams and stakeholders in your organization, including the\nfollowing:\n\n- Administrators of your external IdP, if you use one.\n- Administrators of your email system.\n- Users responsible for managing access to Google services used in your organization, such as Google Marketing Platform, Google Ads, or Google Play.\n\nIf you use\n[separate Cloud Identity or Google Workspace organizations for staging and production](/architecture/identity/best-practices-for-planning#use_a_separate_staging_organization),\nwe recommend that you perform a test run of the consolidation process first:\n\n- For each class of existing consumer accounts that you need to consolidate, create a test user account that uses a similar configuration. When you assign email addresses to these test user accounts, choose email addresses that match one of the domains of your staging account.\n- Perform the consolidation process by using the test user accounts and your staging Google Workspace or Cloud Identity account.\n\nPerforming a test run lets you familiarize yourself with the process before\nyou apply it in your production environment. It also helps you identify\npotential issues before you apply them to thousands of users.\n\nConsolidation process\n---------------------\n\nThe consolidation process consists of the following streams:\n\n- Migrating consumer accounts to Cloud Identity or Google Workspace.\n- Evicting consumer accounts that you don't want to keep.\n- Identifying and removing access for Gmail accounts.\n- Sanitizing Gmail accounts that use a corporate email address as an alternate address.\n\nDepending on the sets of existing accounts that\n[you have identified](/architecture/identity/assessing-existing-user-accounts),\nsome of these streams might not apply to you.\n\nThe following flow chart illustrates the consolidation process. The streams,\nindicated by parallel lines, are independent of one another so you can do them\nin parallel.\n\nThe diagram shows this flow:\n\n1. Identify a set of consumer accounts to migrate. If you have a large number of consumer accounts, it's best to do the migration in batches. Start with a small batch of approximately 10 users, and then make your batches larger in subsequent migrations.\n2. Announce to affected users your intent to transfer consumer accounts.\n Make sure that users understand both the importance and consequences of\n accepting or declining a transfer request.\n\n For an example of what an announcement email message might look like, see\n [Advance communication for user account migration](/architecture/identity/example-announcement).\n3. Migrate the selected consumer accounts by using the\n [transfer tool for unmanaged users](https://admin.google.com/ac/unmanaged).\n This process is described in more detail in\n [Migrating consumer accounts](/architecture/identity/migrating-consumer-accounts).\n\n4. Wait for most of the users (a *quorum* ) to accept or decline transfer\n requests, and resend transfer requests if necessary. You can see a user has\n responded by looking at the\n [transfer tool for unmanaged users](https://admin.google.com/ac/unmanaged).\n\n5. If you're using an external IdP, some of the migrated user accounts\n might end up without a matching identity in the external IdP.\n [Reconcile these orphaned managed user accounts](/architecture/identity/reconciling-orphaned-managed-user-accounts)\n to ensure that all managed user accounts have a matching identity in the\n external IdP.\n\n6. [Evict all consumer accounts](/architecture/identity/evicting-consumer-accounts)\n that you don't want to migrate.\n\n7. Search your\n [Identity and Access Management (IAM) policies](/iam/docs/overview#cloud-iam-policy)\n for Gmail accounts (search for `*@gmail.com` entries). Revoke\n access to these accounts and provide affected users with managed user\n accounts as replacements. In order to minimize impact on users, make sure\n that these managed user accounts have the same or similar access to\n resources as previous Gmail accounts.\n\n8. If there are Gmail accounts that use a corporate email address as\n their alternate email address,\n [sanitize these Gmail accounts](/architecture/identity/sanitizing-gmail-accounts).\n\nBest practices\n--------------\n\nWe recommend the following best practices when you are consolidating existing\nuser accounts:\n\n- If you are migrating from an external email system to Google Workspace, remember that consumer accounts might use an email address that is also subject to migration. To ensure that the owners of these consumer accounts continue to receive email, don't change [DNS MX records](https://support.google.com/a/answer/174125) until after you migrate all affected consumer accounts.\n- After you complete the consolidation, consider [provisioning all users and limiting authentication by single sign-on](/architecture/identity/best-practices-for-federating) to block new consumer account sign-ups.\n\nWhat's next\n-----------\n\n- Find out how to [migrate consumer accounts](/architecture/identity/migrating-consumer-accounts) and how to [evict unwanted consumer accounts](/architecture/identity/evicting-consumer-accounts).\n- Learn how you can [sanitize Gmail accounts](/architecture/identity/sanitizing-gmail-accounts).\n- See how to [reconcile orphaned managed user accounts](/architecture/identity/reconciling-orphaned-managed-user-accounts)."]]
