Mantenha tudo organizado com as coleções
Salve e categorize o conteúdo com base nas suas preferências.
Visão geral da API Groups
Com a API Cloud Identity Groups, você cria e gerencia diferentes tipos
de grupos, cada um deles compatível com recursos e com associações diferentes.
Tipos de grupo
Um grupo é uma coleção de entidades, em que cada entidade pode ser outro
grupo ou usuário. A API Cloud Identity Groups é compatível com os seguintes tipos de grupo:
Grupos do Google
O Grupos do Google tem um endereço de e-mail e são frequentemente usados
como listas de e-mails. O Grupos do Google também pode ser usado em vários produtos do Google.
Por exemplo: você pode compartilhar um Documento Google com um grupo, convidar um grupo para um evento do Google
Agenda ou usar um grupo para gerenciar o acesso no IAM.
Um grupo do Google é o tipo de grupo padrão.
Grupos dinâmicos
Grupos dinâmicos são Grupos do Google em que as assinaturas são gerenciadas
automaticamente usando uma consulta de assinatura ou uma consulta sobre atributos de funcionários, como cargo ou
local de construção. Por exemplo, uma consulta de assinatura pode ser "todos os usuários com cargo Escritor técnico
na minha organização".
Grupos de segurança
Um grupo de segurança é semelhante a um Grupo do Google, mas é usado especificamente para
controlar o acesso a recursos organizacionais. Para criar um grupo de segurança,
atualize um Grupo do Google.
Grupos restritos
Um grupo bloqueado é um grupo do Google que os administradores bloquearam para evitar que ele perca a sincronização com uma fonte externa, como um provedor de identidade.
Os administradores também podem bloquear um grupo do Google para aumentar a segurança de
grupos sensíveis. Quando você bloqueia um grupo do Google, as edições nos atributos principais e
nas associações são restritas a um subconjunto de administradores.
Embora os proprietários, gerentes e participantes de grupos padrão ainda possam atualizar configurações
como moderação de mensagens ou permissões de postagem, as modificações nos
seguintes atributos são limitadas a administradores autorizados. Administradores autorizados geralmente são aqueles com papéis ou condições específicas, como Groups Admin ou Groups Editor, com uma condição que inclui grupos bloqueados.
Grupos POSIX (descontinuado)
Um grupo POSIX é um Grupo do Google usado para gerenciar
a associação a grupos em ambientes LDAP. Para criar um grupo POSIX,
atualize um grupo do Google com dados POSIX. Os dados do grupo POSIX incluem um nome
e um ID de grupo (GID).
Os grupos POSIX são integrados ao Google Cloud e usados por VMs na sua
organização que têm o login do SO ativado.
Grupos com identidades mapeadas
Um grupo com identidades mapeadas é um grupo que contém usuários e grupos sincronizados
de uma origem de identidade que não é do Google, como o Active Directory. Os grupos com identidades mapeadas
permitem que o Google Cloud Search
(em inglês) reconheça usuários e grupos e as permissões deles para documentos pesquisados,
armazenados em uma origem de identidade externa. Por exemplo, é
possível ter o usuário example_user_org@your_domain.com que tem determinadas
permissões em documentos. Este usuário pode ser sincronizado com example_user@your_domain.com para
que o Google Cloud Search reconheça as mesmas permissões para os mesmos
documentos.
As solicitações de criação de grupos da API Cloud Identity Groups só são permitidas em contas de serviço.
Para sincronizar grupos com identidades mapeadas no Google Cloud Search, é preciso criar um conector de
identidade. Se você estiver usando Java, poderá criar um conector de identidade usando o
SDK do Java do Google Cloud Search. Se você quiser usar uma API REST, use a
API Cloud Identity Groups. Para mais informações sobre conectores de identidade, consulte
Sincronizar diferentes sistemas de identidade
(em inglês) na documentação do Cloud Search.
Propriedades do grupo
Cada grupo, independentemente do tipo, tem as seguintes propriedades:
Rótulo
O rótulo identifica o tipo de grupo:
Grupos do Google:cloudidentity.googleapis.com/groups.discussion_forum
Grupos dinâmicos:cloudidentity.googleapis.com/groups.dynamic
Grupos de segurança:cloudidentity.googleapis.com/groups.security. Esse rótulo é adicionado a cloudidentity.googleapis.com/groups.discussion_forum porque os grupos de segurança são baseados nos Grupos do Google.
Grupos bloqueados:cloudidentity.googleapis.com/groups.locked
(esse rótulo é adicionado a
cloudidentity.googleapis.com/groups.discussion_forum, porque os grupos
bloqueados são baseados nos Grupos do Google)
Grupos POSIX:cloudidentity.googleapis.com/groups.posix (esse rótulo
é adicionado a
cloudidentity.googleapis.com/groups.discussion_forum, porque os grupos
POSIX são baseados nos Grupos do Google)
Grupos com identidades mapeadas:system/groups/external
Chave de entidade
Uma chave de entidade é um identificador exclusivo legível para o
grupo:
Grupos do Google, grupos dinâmicos e grupos de segurança: o endereço de e-mail do grupo
Grupos com identidades mapeadas: uma string qualificada com um namespace. O namespace
é estabelecido quando você cria uma origem de identidade no Google Cloud Search.
Para mais informações sobre origens de identidade, consulte
Sincronizar diferentes sistemas de identidade
(em inglês) na documentação do Cloud Search.
Pai
Um pai é o recurso a que o grupo pertence. Para Grupos do
Google, grupos dinâmicos e grupos de segurança, o pai é o cliente do
domínio. Para um grupo com identidades
mapeadas, o pai é a origem da identidade da qual o grupo é sincronizado.
Nome de exibição
O nome de exibição é o nome do grupo como aparece nos
produtos do Google.
Assinaturas e propriedades de assinatura
Uma entidade que pertence a um grupo é chamada de membro e a
relação dela com esse grupo é chamada de assinatura. As entidades podem ser
usuários, grupos ou contas de serviço. Uma assinatura
tem as seguintes propriedades:
Chave de membro preferencial
Uma chave de membro preferencial é um identificador exclusivo legível para o membro.
Para um grupo do Google ou um usuário individual, a chave de membro preferencial é o endereço de
e-mail do grupo ou do usuário. Para um grupo com identidades mapeadas, a chave de membro preferencial é
uma string qualificada com um namespace.
Papéis da assinatura
As funções de assinatura representam as permissões do membro no grupo.
Os papéis compatíveis são os seguintes:
MEMBER, que não tem permissões especiais. Cada assinatura precisa ter
pelo menos o papel de assinatura MEMBER.
OWNER, que tem permissões amplas, como gerenciar outros OWNERs ou
excluir o grupo.
MANAGER, que tem menos permissões do que um OWNER, mas
mais que um MEMBER, como gerenciar outros MANAGERs.
É possível importar usuários e grupos que ainda não estão no Cloud Identity
como sendo uma origem de identidade externa. Primeiro, crie uma
origem de identidade
para a organização e, em seguida, importe as informações do usuário e do grupo para o
Cloud Identity.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-18 UTC."],[[["\u003cp\u003eThe Cloud Identity Groups API enables the creation and management of various group types, including Google Groups, dynamic groups, security groups, locked groups, POSIX groups (deprecated), and identity-mapped groups, each with distinct functionalities.\u003c/p\u003e\n"],["\u003cp\u003eDynamic groups automatically manage memberships based on queries or employee attributes, and are available to certain Google Workspace accounts with a limit of 500 per customer.\u003c/p\u003e\n"],["\u003cp\u003eSecurity groups are specialized Google Groups used to control access to organizational resources and, once updated to a security group, cannot be reverted back to a standard Google Group.\u003c/p\u003e\n"],["\u003cp\u003eLocked groups are Google Groups that administrators restrict to prevent synchronization issues or to enhance security, limiting modifications to core attributes and memberships to authorized administrators only.\u003c/p\u003e\n"],["\u003cp\u003eIdentity-mapped groups sync users and groups from external identity sources to allow services like Google Cloud Search to recognize permissions, and can only be managed through the Groups API, not the Google Admin console.\u003c/p\u003e\n"]]],[],null,["# Groups API overview\n===================\n\nThe Cloud Identity Groups API allows you to create and manage different types\nof groups, each of which supports different features, as well as their\nmemberships.\n| **Note:** The Cloud Identity Groups API only works with [Google Groups for Business](https://support.google.com/a/answer/33329). If you want to create and manage non-business Google Groups, you can use the [Google Groups web interface](https://groups.google.com).\n\nGroup types\n-----------\n\nA *group* is a collection of *entities*, where each entity can be either another\ngroup or a user. The Cloud Identity Groups API supports the following group types:\n\n*Google Groups*\n: Google Groups have an email address and are frequently used\n as mailing lists. Google Groups can also be used across many Google products.\n For example. you can share a Google Doc with a group, invite a group to a Google\n Calendar event, or use a group for access management in IAM.\n A Google Group is the default group type.\n\n*Dynamic groups*\n\n: Dynamic groups are Google Groups whose memberships are automatically managed\n using a membership query or a query on employee attributes, such as job role or\n building location. For example, a membership query might be \"all users whose job\n role is Technical Writer in my organization.\"\n\n:\n | **Note:** Dynamic groups are only available to Google Workspace Enterprise Standard, Enterprise Plus, Enterprise for Education, and Cloud Identity premium accounts. You can create up to 500 dynamic groups per customer. This limit can be increased on a case-by-case basis---contact [Google Workspace Support](https://support.google.com/a/answer/1047213) with your specific use case to request an increase.\n\n*Security groups*\n\n: A security group is similar to a Google Group, but is used specifically for\n controlling access to organizational resources. A security group is created by\n updating a Google Group to a security group.\n\n | **Warning:** A security group cannot be changed back to a Google Group.\n\n*Locked groups*\n\n: A [locked](https://support.google.com/a?p=locked-groups) group is a Google\n Group that administrators have locked to prevent it from getting out of\n synchronization with an external source, such as an identity provider.\n Administrators can also lock a Google Group to increase security for\n sensitive groups. When you lock a Google Group, edits to core attributes and\n memberships are restricted to a subset of administrators.\n\n While standard group owners, managers, and members can still update settings\n like message moderation or posting permissions, modifications to the\n following attributes are limited to authorized administrators. Authorized\n administrators are typically those with specific roles or conditions like\n `Groups Admin` or `Groups Editor` with a condition that includes locked\n groups.\n\n*POSIX groups* (Deprecated)\n:\n | **Caution:** POSIX groups are [deprecated](/identity/docs/deprecations). As of September 26, 2024, you can no longer create new POSIX groups. For more information, see [POSIX groups deprecation](/identity/docs/deprecations/posix-groups).\n\n: A POSIX group is a Google Group that is used to manage\n group membership in LDAP environments. A POSIX group is created by\n updating a Google Group with POSIX data. The POSIX group data includes a group\n name and group ID (GID).\n\n POSIX groups are integrated with Google Cloud and are used by VMs in your\n organization that have OS Login enabled.\n:\n | **Note:** You must use the beta version of the Cloud Identity Groups API to create and manage POSIX groups.\n\n*Identity-mapped groups*\n\n: An identity-mapped group is a group containing users and groups synced\n from a non-Google identity source, such as Active Directory. Identity-mapped\n groups allow [Google Cloud Search](https://developers.google.com/cloud-search)\n to recognize users and groups, and their permissions to searched documents,\n stored in an external identity source. For example, you\n might have a user `example_user_org@your_domain.com` who has certain\n permissions to documents. This user can be synced to `example_user@your_domain.com` so\n that Google Cloud Search recognizes their same permissions to the same\n documents.\n\nCloud Identity Groups API group creation requests are permitted only from service accounts.\n\n: To sync identity-mapped groups in Google Cloud Search, you must create an identity\n connector. If you are using Java, you can create an identity connector using the\n Google Cloud Search Java SDK. If you want to use a REST API, you can use the\n Cloud Identity Groups API. For further information on identity connectors, refer to\n [Sync different identity systems](https://developers.google.com/cloud-search/docs/guides/identity-mapping)\n in the Cloud Search documentation.\n\n| **Note:** Identity-mapped groups can only be created and accessed through the Groups API. For example, you cannot view identity groups in the Google Admin console.\n\nGroup properties\n----------------\n\nEach group, regardless of type, has the following properties:\n\n*Label*\n: The label identifies the type of group:\n\n - **Google Groups:** `cloudidentity.googleapis.com/groups.discussion_forum`\n - **Dynamic groups:** `cloudidentity.googleapis.com/groups.dynamic`\n - **Security groups:** `cloudidentity.googleapis.com/groups.security` (this label is in addition to `cloudidentity.googleapis.com/groups.discussion_forum`, because security groups are based on Google Groups)\n - **Locked groups:** `cloudidentity.googleapis.com/groups.locked` (this label is in addition to `cloudidentity.googleapis.com/groups.discussion_forum`, because locked groups are based on Google Groups)\n - **POSIX groups:** `cloudidentity.googleapis.com/groups.posix` (this label is in addition to `cloudidentity.googleapis.com/groups.discussion_forum`, because POSIX groups are based on Google Groups)\n - **Identity-mapped groups:** `system/groups/external`\n\n*Entity key*\n\n: An entity key is a human-readable unique identifier for the\n group:\n\n - **Google Groups, dynamic groups, and security groups:** the email address of the group\n - **Identity-mapped groups:** a string qualified with a namespace. The namespace is established when you create an identity source in Google Cloud Search. For further information on identity sources, refer to [Sync different identity systems](https://developers.google.com/cloud-search/docs/guides/identity-mapping) in the Cloud Search documentation.\n\n*Parent*\n\n: A parent is the resource to which the group belongs. For Google\n Groups, dynamic groups, and security groups, the parent is the customer who\n owns the domain. For an identity-mapped group, the parent is the identity\n source from which the group is synced.\n\n*Display name*\n\n: The display name is the name of the group as it appears in\n Google products.\n\nMemberships and membership properties\n-------------------------------------\n\nAn entity that belongs to a group is referred to as a *member* and its\nrelationship with that group is referred to as a *membership*. Entities can be\nusers, groups, or service accounts. A membership\nhas the following properties:\n\n*Preferred member key*\n: A preferred member key is a human-readable unique identifier for the member.\n For a Google Group or an individual user, the preferred member key is the email\n address of the group or user. For an identity-mapped group, the preferred member\n key is a string qualified with a namespace.\n\n*Membership roles*\n\n: Membership roles represent the permissions that the member has in the group.\n The supported roles are as follows:\n\n - `MEMBER`, which has no special permissions. Every membership must have\n at least the `MEMBER` membership role.\n\n - `OWNER`, which has broad permissions, such as managing other `OWNER`s or\n deleting the group.\n\n - `MANAGER`, which has fewer permissions than an `OWNER`, but\n more than a `MEMBER`, such as managing other `MANAGER`s.\n\nThe permissions that a specific membership role has in a group can be\ncustomized in the [Google Groups web interface](https://groups.google.com)\nor in the [Google Admin console](https://admin.google.com). For more\ninformation, see\n[Set who can view, post \\& moderate](https://support.google.com/groups/answer/2464975).\n\nYou can import users and groups that aren't already in Cloud Identity\nas an external identity source. You must first create an\n[identity source](/identity/docs/overview)\nfor your organization, then import user and group information into\nCloud Identity.\n| **Note:** The Google Groups web interface supports other membership roles such as `BANNED`. These memberships will not appear and cannot be managed in Cloud Identity Groups API.\n\nNext steps\n----------\n\nHere are a few next steps you might take:\n\n- To set up the API, refer to [Setting up the Groups API](/identity/docs/how-to/setup).\n\n- To create and manage Google Groups, see the\n [Creating and searching for Google Groups](/identity/docs/how-to/create-google-groups).\n\n- To learn more about dynamic groups, see the\n [Dynamic groups overview](/identity/docs/concepts/overview-dynamic-groups).\n\n- To update a Google Group to a security group, see\n [Update a Google Group to a security group](/identity/docs/how-to/update-group-to-security-group).\n\n- To create and manage identity-mapped groups, see\n [Creating and searching for identity-mapped groups](/identity/docs/how-to/create-identity-groups)."]]
