Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Groups API – Übersicht
Mit der Cloud Identity Groups API können Sie verschiedene Gruppentypen erstellen und verwalten, die jeweils verschiedene Features und deren Mitgliedschaften unterstützen.
Gruppentypen
Eine Gruppe ist eine Sammlung von Entitäten, wobei jede Entität entweder eine weitere Gruppe oder ein Nutzer sein kann. Die Cloud Identity Groups API unterstützt die folgenden Gruppentypen:
Google Groups-Gruppen
Google Groups-Gruppen haben eine E-Mail-Adresse und werden häufig als Mailinglisten verwendet. Google Groups-Gruppen können außerdem in vielen Google-Produkten verwendet werden.
Beispielsweise können Sie ein Google-Dokument für eine Gruppe freigeben, eine Gruppe zu einem Termin in Google Kalender einladen oder eine Gruppe für die Zugriffsverwaltung in IAM verwenden.
Eine Google Groups-Gruppe ist der Standardgruppentyp.
Dynamische Gruppen
Dynamische Gruppen sind Google Groups-Gruppen, deren Mitgliedschaften automatisch über eine Mitgliedschaftsabfrage oder eine Abfrage nach Mitarbeiterattributen wie der Position oder dem Gebäudestandort verwaltet werden. Eine Mitgliedschaftsabfrage kann beispielsweise "alle Nutzer mit der Jobrolle 'Technischer Autor' in meiner Organisation" sein.
Sicherheitsgruppen
Eine Sicherheitsgruppe ähnelt einer Google-Gruppe, wird jedoch nur zur Steuerung des Zugriffs auf Organisationsressourcen verwendet. Eine Sicherheitsgruppe wird durch Aktualisieren einer Google Groups-Gruppe auf eine Sicherheitsgruppe erstellt.
Gesperrte Gruppen
Eine gesperrte Gruppe ist eine Google-Gruppe, die von Administratoren gesperrt wurde, um zu verhindern, dass sie mit einer externen Quelle wie einem Identitätsanbieter nicht mehr synchronisiert wird.
Administratoren können eine Google-Gruppe auch sperren, um die Sicherheit für vertrauliche Gruppen zu erhöhen. Wenn Sie eine Google-Gruppe sperren, können nur bestimmte Administratoren die Kernattribute und Mitgliedschaften bearbeiten.
Standardgruppeninhaber, ‑manager und ‑mitglieder können weiterhin Einstellungen wie die Nachrichtenmoderation oder die Berechtigungen zum Posten aktualisieren. Änderungen an den folgenden Attributen sind jedoch auf autorisierte Administratoren beschränkt. Autorisierte Administratoren sind in der Regel Nutzer mit bestimmten Rollen oder Bedingungen wie Groups Admin oder Groups Editor mit einer Bedingung, die gesperrte Gruppen umfasst.
POSIX-Gruppen (eingestellt)
Eine POSIX-Gruppe ist eine Google-Gruppe, mit der die Gruppenmitgliedschaft in LDAP-Umgebungen verwaltet wird. Eine POSIX-Gruppe wird durch Aktualisieren einer Google-Gruppe mit POSIX-Daten erstellt. Die POSIX-Gruppendaten enthalten einen Gruppennamen und eine Gruppen-ID (GID).
POSIX-Gruppen sind in Google Cloud eingebunden und werden von VMs in Ihrer Organisation verwendet, bei denen OS Login aktiviert ist.
Gruppen mit Identitätszuweisung
Eine Gruppe mit Identitätszuweisung ist eine Gruppe von Nutzern und Gruppen, die aus einer Google-fremden Identitätsquelle wie Active Directory synchronisiert werden. Gruppen mit Identitätszuweisung ermöglichen Google Cloud Search, Nutzer und Gruppen sowie ihre Berechtigungen für die in einer externen Identitätsquelle gespeicherten Dokumente zu erkennen. Sie haben beispielsweise einen Nutzer example_user_org@your_domain.com, der bestimmte Berechtigungen für Dokumente hat. Dieser Nutzer kann mit example_user@your_domain.com synchronisiert werden, sodass Google Cloud Search dieselben Berechtigungen für dieselben Dokumente erkennt.
Anfragen zum Erstellen von Gruppen über die Cloud Identity Groups API sind nur von Dienstkonten zulässig.
Sie müssen einen Identitätsconnector erstellen, um Gruppen mit Identitätszuweisung in Google Cloud Search zu synchronisieren. Wenn Sie Java verwenden, können Sie mit dem Google Cloud Search Java SDK einen Identitätsconnector erstellen. Wenn Sie eine REST API verwenden möchten, können Sie die Cloud Identity Groups API verwenden. Weitere Informationen zu Identitätsconnectors finden Sie in der Cloud Search-Dokumentation unter Verschiedene Identitätssysteme synchronisieren.
Gruppenattribute
Jede Gruppe hat unabhängig vom Typ folgende Attribute:
Label
Das Label gibt den Gruppentyp an.
Google Groups:cloudidentity.googleapis.com/groups.discussion_forum
Sicherheitsgruppen:cloudidentity.googleapis.com/groups.security (Dieses Label ist zusätzlich zu cloudidentity.googleapis.com/groups.discussion_forum vorgesehen, da Sicherheitsgruppen auf Google Groups basieren.)
Gesperrte Gruppen:cloudidentity.googleapis.com/groups.locked (Dieses Label ist zusätzlich zu cloudidentity.googleapis.com/groups.discussion_forum vorgesehen, da gesperrte Gruppen auf Google Groups basieren.)
POSIX-Gruppen:cloudidentity.googleapis.com/groups.posix (Dieses Label ist zusätzlich zu cloudidentity.googleapis.com/groups.discussion_forum vorgesehen, da POSIX-Gruppen auf Google Groups basieren.)
Gruppen mit Identitätszuweisung:system/groups/external
Entitätsschlüssel
Ein Entitätsschlüssel ist eine für Menschen lesbare, eindeutige Kennung für die Gruppe:
Google Groups-Gruppen, dynamische Gruppen und Sicherheitsgruppen: die E-Mail-Adresse der Gruppe
Gruppen mit Identitätszuweisung: Ein String, der mit einem Namespace qualifiziert ist. Der Namespace wird beim Erstellen einer Identitätsquelle in Google Cloud Search festgelegt.
Weitere Informationen zu Identitätsquellen finden Sie in der Cloud Search-Dokumentation unter Verschiedene Identitätssysteme synchronisieren.
Übergeordnetes Element
Ein übergeordnetes Element ist die Ressource, zu der die Gruppe gehört. Bei Google Groups-Gruppen, dynamischen Gruppen und Sicherheitsgruppen ist das übergeordnete Element der Kunde, dem die Domain gehört. Bei einer Gruppe mit Identitätszuweisung ist das übergeordnete Element die Identitätsquelle, von der die Gruppe synchronisiert wird.
Anzeigename
Der angezeigte Name ist der Name der Gruppe, wie er in Google-Produkten zu sehen ist.
Mitgliedschaften und Mitgliedschaftsattribute
Eine Entität, die zu einer Gruppe gehört, wird als Mitglied bezeichnet. Ihre Beziehung zu dieser Gruppe wird Mitgliedschaft genannt. Entitäten können Nutzer, Gruppen oder Dienstkonten sein. Eine Mitgliedschaft hat folgende Attribute:
Bevorzugter Mitgliedsschlüssel
Ein bevorzugter Mitgliedsschlüssel ist eine für Menschen lesbare, eindeutige Kennung für das Mitglied.
Bei einer Google Groups-Gruppe oder einem einzelnen Nutzer ist der bevorzugte Mitgliedsschlüssel die E-Mail-Adresse der Gruppe oder des Nutzers. Bei einer Gruppe mit Identitätszuweisung ist der bevorzugte Mitgliedsschlüssel ein mit einem Namespace angegebener String.
Mitgliedschaftsrollen
Mitgliedschaftsrollen stellen die Berechtigungen dar, die das Mitglied in der Gruppe hat.
Die folgenden Rollen werden unterstützt:
MEMBER ohne spezielle Berechtigungen. Jede Mitgliedschaft muss mindestens die Rolle MEMBER haben.
OWNER mit umfassenden Berechtigungen, beispielsweise das Verwalten anderer OWNER oder das Löschen der Gruppe.
MANAGER mit weniger Berechtigungen als OWNER, aber mehr als MEMBER, beispielsweise das Verwalten anderer MANAGER.
Sie können Nutzer und Gruppen, die sich noch nicht in Cloud Identity befinden, als externe Identitätsquelle importieren. Sie müssen zuerst eine Identitätsquelle für Ihre Organisation erstellen und dann Nutzer- und Gruppeninformationen in Cloud Identity importieren.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-08-18 (UTC)."],[[["\u003cp\u003eThe Cloud Identity Groups API enables the creation and management of various group types, including Google Groups, dynamic groups, security groups, locked groups, POSIX groups (deprecated), and identity-mapped groups, each with distinct functionalities.\u003c/p\u003e\n"],["\u003cp\u003eDynamic groups automatically manage memberships based on queries or employee attributes, and are available to certain Google Workspace accounts with a limit of 500 per customer.\u003c/p\u003e\n"],["\u003cp\u003eSecurity groups are specialized Google Groups used to control access to organizational resources and, once updated to a security group, cannot be reverted back to a standard Google Group.\u003c/p\u003e\n"],["\u003cp\u003eLocked groups are Google Groups that administrators restrict to prevent synchronization issues or to enhance security, limiting modifications to core attributes and memberships to authorized administrators only.\u003c/p\u003e\n"],["\u003cp\u003eIdentity-mapped groups sync users and groups from external identity sources to allow services like Google Cloud Search to recognize permissions, and can only be managed through the Groups API, not the Google Admin console.\u003c/p\u003e\n"]]],[],null,["# Groups API overview\n===================\n\nThe Cloud Identity Groups API allows you to create and manage different types\nof groups, each of which supports different features, as well as their\nmemberships.\n| **Note:** The Cloud Identity Groups API only works with [Google Groups for Business](https://support.google.com/a/answer/33329). If you want to create and manage non-business Google Groups, you can use the [Google Groups web interface](https://groups.google.com).\n\nGroup types\n-----------\n\nA *group* is a collection of *entities*, where each entity can be either another\ngroup or a user. The Cloud Identity Groups API supports the following group types:\n\n*Google Groups*\n: Google Groups have an email address and are frequently used\n as mailing lists. Google Groups can also be used across many Google products.\n For example. you can share a Google Doc with a group, invite a group to a Google\n Calendar event, or use a group for access management in IAM.\n A Google Group is the default group type.\n\n*Dynamic groups*\n\n: Dynamic groups are Google Groups whose memberships are automatically managed\n using a membership query or a query on employee attributes, such as job role or\n building location. For example, a membership query might be \"all users whose job\n role is Technical Writer in my organization.\"\n\n:\n | **Note:** Dynamic groups are only available to Google Workspace Enterprise Standard, Enterprise Plus, Enterprise for Education, and Cloud Identity premium accounts. You can create up to 500 dynamic groups per customer. This limit can be increased on a case-by-case basis---contact [Google Workspace Support](https://support.google.com/a/answer/1047213) with your specific use case to request an increase.\n\n*Security groups*\n\n: A security group is similar to a Google Group, but is used specifically for\n controlling access to organizational resources. A security group is created by\n updating a Google Group to a security group.\n\n | **Warning:** A security group cannot be changed back to a Google Group.\n\n*Locked groups*\n\n: A [locked](https://support.google.com/a?p=locked-groups) group is a Google\n Group that administrators have locked to prevent it from getting out of\n synchronization with an external source, such as an identity provider.\n Administrators can also lock a Google Group to increase security for\n sensitive groups. When you lock a Google Group, edits to core attributes and\n memberships are restricted to a subset of administrators.\n\n While standard group owners, managers, and members can still update settings\n like message moderation or posting permissions, modifications to the\n following attributes are limited to authorized administrators. Authorized\n administrators are typically those with specific roles or conditions like\n `Groups Admin` or `Groups Editor` with a condition that includes locked\n groups.\n\n*POSIX groups* (Deprecated)\n:\n | **Caution:** POSIX groups are [deprecated](/identity/docs/deprecations). As of September 26, 2024, you can no longer create new POSIX groups. For more information, see [POSIX groups deprecation](/identity/docs/deprecations/posix-groups).\n\n: A POSIX group is a Google Group that is used to manage\n group membership in LDAP environments. A POSIX group is created by\n updating a Google Group with POSIX data. The POSIX group data includes a group\n name and group ID (GID).\n\n POSIX groups are integrated with Google Cloud and are used by VMs in your\n organization that have OS Login enabled.\n:\n | **Note:** You must use the beta version of the Cloud Identity Groups API to create and manage POSIX groups.\n\n*Identity-mapped groups*\n\n: An identity-mapped group is a group containing users and groups synced\n from a non-Google identity source, such as Active Directory. Identity-mapped\n groups allow [Google Cloud Search](https://developers.google.com/cloud-search)\n to recognize users and groups, and their permissions to searched documents,\n stored in an external identity source. For example, you\n might have a user `example_user_org@your_domain.com` who has certain\n permissions to documents. This user can be synced to `example_user@your_domain.com` so\n that Google Cloud Search recognizes their same permissions to the same\n documents.\n\nCloud Identity Groups API group creation requests are permitted only from service accounts.\n\n: To sync identity-mapped groups in Google Cloud Search, you must create an identity\n connector. If you are using Java, you can create an identity connector using the\n Google Cloud Search Java SDK. If you want to use a REST API, you can use the\n Cloud Identity Groups API. For further information on identity connectors, refer to\n [Sync different identity systems](https://developers.google.com/cloud-search/docs/guides/identity-mapping)\n in the Cloud Search documentation.\n\n| **Note:** Identity-mapped groups can only be created and accessed through the Groups API. For example, you cannot view identity groups in the Google Admin console.\n\nGroup properties\n----------------\n\nEach group, regardless of type, has the following properties:\n\n*Label*\n: The label identifies the type of group:\n\n - **Google Groups:** `cloudidentity.googleapis.com/groups.discussion_forum`\n - **Dynamic groups:** `cloudidentity.googleapis.com/groups.dynamic`\n - **Security groups:** `cloudidentity.googleapis.com/groups.security` (this label is in addition to `cloudidentity.googleapis.com/groups.discussion_forum`, because security groups are based on Google Groups)\n - **Locked groups:** `cloudidentity.googleapis.com/groups.locked` (this label is in addition to `cloudidentity.googleapis.com/groups.discussion_forum`, because locked groups are based on Google Groups)\n - **POSIX groups:** `cloudidentity.googleapis.com/groups.posix` (this label is in addition to `cloudidentity.googleapis.com/groups.discussion_forum`, because POSIX groups are based on Google Groups)\n - **Identity-mapped groups:** `system/groups/external`\n\n*Entity key*\n\n: An entity key is a human-readable unique identifier for the\n group:\n\n - **Google Groups, dynamic groups, and security groups:** the email address of the group\n - **Identity-mapped groups:** a string qualified with a namespace. The namespace is established when you create an identity source in Google Cloud Search. For further information on identity sources, refer to [Sync different identity systems](https://developers.google.com/cloud-search/docs/guides/identity-mapping) in the Cloud Search documentation.\n\n*Parent*\n\n: A parent is the resource to which the group belongs. For Google\n Groups, dynamic groups, and security groups, the parent is the customer who\n owns the domain. For an identity-mapped group, the parent is the identity\n source from which the group is synced.\n\n*Display name*\n\n: The display name is the name of the group as it appears in\n Google products.\n\nMemberships and membership properties\n-------------------------------------\n\nAn entity that belongs to a group is referred to as a *member* and its\nrelationship with that group is referred to as a *membership*. Entities can be\nusers, groups, or service accounts. A membership\nhas the following properties:\n\n*Preferred member key*\n: A preferred member key is a human-readable unique identifier for the member.\n For a Google Group or an individual user, the preferred member key is the email\n address of the group or user. For an identity-mapped group, the preferred member\n key is a string qualified with a namespace.\n\n*Membership roles*\n\n: Membership roles represent the permissions that the member has in the group.\n The supported roles are as follows:\n\n - `MEMBER`, which has no special permissions. Every membership must have\n at least the `MEMBER` membership role.\n\n - `OWNER`, which has broad permissions, such as managing other `OWNER`s or\n deleting the group.\n\n - `MANAGER`, which has fewer permissions than an `OWNER`, but\n more than a `MEMBER`, such as managing other `MANAGER`s.\n\nThe permissions that a specific membership role has in a group can be\ncustomized in the [Google Groups web interface](https://groups.google.com)\nor in the [Google Admin console](https://admin.google.com). For more\ninformation, see\n[Set who can view, post \\& moderate](https://support.google.com/groups/answer/2464975).\n\nYou can import users and groups that aren't already in Cloud Identity\nas an external identity source. You must first create an\n[identity source](/identity/docs/overview)\nfor your organization, then import user and group information into\nCloud Identity.\n| **Note:** The Google Groups web interface supports other membership roles such as `BANNED`. These memberships will not appear and cannot be managed in Cloud Identity Groups API.\n\nNext steps\n----------\n\nHere are a few next steps you might take:\n\n- To set up the API, refer to [Setting up the Groups API](/identity/docs/how-to/setup).\n\n- To create and manage Google Groups, see the\n [Creating and searching for Google Groups](/identity/docs/how-to/create-google-groups).\n\n- To learn more about dynamic groups, see the\n [Dynamic groups overview](/identity/docs/concepts/overview-dynamic-groups).\n\n- To update a Google Group to a security group, see\n [Update a Google Group to a security group](/identity/docs/how-to/update-group-to-security-group).\n\n- To create and manage identity-mapped groups, see\n [Creating and searching for identity-mapped groups](/identity/docs/how-to/create-identity-groups)."]]
