Concilia cuentas de usuario administradas huérfanas

Last reviewed 2023-02-27 UTC

En este documento, se describe cómo identificar y conciliar cuentas de usuario huérfanas.

Si usas un proveedor de identidad externo (IdP), la fuente autorizada para las identidades es externa a Cloud Identity o Google Workspace. Por lo tanto, cada identidad en Cloud Identity o Google Workspace debe tener una contraparte en la fuente autorizada externa. Es posible que algunas de las identidades de tu cuenta de Cloud Identity o Google Workspace no tengan una contraparte en tu fuente autorizada externa; de ser así, estas cuentas de usuario se consideran huérfanas. Las cuentas huérfanas pueden ocurrir en las siguientes circunstancias:

Un administrador de Cloud Identity o Google Workspace creó de forma manual una cuenta de usuario que tiene una identidad no coincidente.
Migraste una cuenta personal a Cloud Identity o Google Workspace, pero la cuenta usa una identidad que no coincide con ninguna identidad existente en la fuente externa.

Antes de comenzar

Para conciliar cuentas de usuario administradas huérfanas, debes cumplir los siguientes requisitos:

Identificar un plan de integración adecuado y completar todos los requisitos para consolidar tus cuentas de usuario existentes
Creaste una cuenta de Cloud Identity o de Google Workspace.

Procesamiento

Para conciliar cuentas de usuario huérfanas, primero debes identificar qué cuentas de usuario son huérfanas. Luego, debes decidir cuál es la mejor forma de conciliar cada cuenta de usuario.

Identifica cuentas de usuario huérfanas

A fin de encontrar cuentas de usuario huérfanas, debes comparar las identidades de las cuentas de usuario en Cloud Identity o G Suite con las que reconoce tu fuente autorizada.

Para realizar una comparación, puedes usar la función de exportación de Google Workspace o una cuenta de Cloud Identity a fin de obtener una lista de tus cuentas de usuario actuales:

En la Consola del administrador, dirígete a la página Usuarios.
Selecciona Descargar usuarios.
Selecciona Todas las columnas de información de los usuarios y las columnas seleccionadas actualmente.
Haz clic en Descargar.

Después de unos minutos, según la cantidad de cuentas de usuario que tengas, verás una notificación que indica que el archivo CSV de información de los usuarios está listo para descargarse.
Haz clic en Descargar CSV y guarda el archivo en tu disco local.

Nota: La exportación de CSV puede contener información de identificación personal (PII). Asegúrate de seleccionar una ubicación de almacenamiento protegida contra el acceso no autorizado.

Si usas Active Directory o Azure Active Directory (Azure AD) como fuente autorizada, sigue estos pasos para comparar las identidades:

Active Directory

Accede a una estación de trabajo que tenga acceso a Active Directory.
Abre una consola de PowerShell.
Establece una variable en la ubicación del archivo descargado:
```
$GoogleUsersCsv="GOOGLE_PATH"
```
Reemplaza GOOGLE_PATH por la ruta de acceso al archivo CSV que descargaste antes.
Determina la lista de cuentas de usuario que carecen de una contraparte en Active Directory:
```
$GoogleUsers = (Import-Csv -Path $GoogleUsersCsv -Header FirstName,LastName,Email | Select-Object -Skip 1)
$LdapFilter = "(|{0})" -f (($GoogleUsers | Select-Object @{Name="Clause";Expression={"(userPrincipalName=$($_.Email))"}} | Select-Object -ExpandProperty Clause) -join "")

$GoogleUsersWithMatch = Get-ADUser -LdapFilter $LdapFilter `
    | Select-Object -ExpandProperty UserPrincipalName

$GoogleUsers | Where-Object {$_.Email -NotIn $GoogleUsersWithMatch}
```
Con el comando, se compara la dirección de correo electrónico principal de las cuentas de usuario en Cloud Identity o del Google Workspace con el atributo userPrincipalName en Active Directory. Si usas un mapeo diferente entre los usuarios de Active Directory y las cuentas de usuario de Cloud Identity o Google Workspace, es posible que debas ajustar el comando.
Nota: Si el archivo CSV contiene una gran cantidad de usuarios, el comando Get-ADUser puede demorar varios minutos en ejecutarse y esto podría causar una carga significativa en el controlador de dominio asociado.
El resultado es similar al siguiente ejemplo:
```
FirstName LastName     Email
--------- --------     -----
Alice     Admin        admin@example.org
Olly      Orphaned     olly@example.org
Matty     Mismatch     matty@wrongsubdomain.example.org
```
Cada elemento enumerado en el resultado representa una cuenta de usuario en Cloud Identity o Google Workspace que carece de una contraparte en Active Directory.

Un resultado vacío indica que no tienes cuentas de usuario huérfanos en Google Workspace o Cloud Identity.
Borra el archivo CSV de tu disco local.

Azure AD

En el Portal de Azure, dirígete a Azure Active Directory Users.
Haz clic en Descargar usuarios.
Ingresa un nombre de archivo y haz clic en Iniciar.

Espera hasta que aparezca el vínculo Hacer clic aquí para descargar.

Según la cantidad de cuentas de usuario que tengas, es posible que la operación demore unos minutos en completarse.
Haz clic en Hacer clic aquí para descargar y guarda el archivo en tu disco local.

Nota: La exportación de CSV puede contener información de identificación personal (PII). Asegúrate de seleccionar una ubicación de almacenamiento protegida contra el acceso no autorizado.
En una estación de trabajo que tenga instalado PowerShell, abre una consola de PowerShell.
Establece dos variables de entorno:
```
$GoogleUsersCsv="GOOGLE_PATH"
$AzureUsersCsv="AZURE_PATH"
```
Reemplaza GOOGLE_PATH y AZURE_PATH por las rutas de los archivos CSV que descargaste antes.
Determina la lista de cuentas de usuario que carecen de una contraparte en Active Directory:
```
$GoogleUsers = (Import-Csv -Path $GoogleUsersCsv
    -Header FirstName,LastName,Email | Select-Object -Skip 1)

$AzureUsers = (Import-Csv -Path $AzureUsersCsv)

$GoogleUsers | Where-Object {$_.Email -NotIn ($AzureUsers | Select-Object -ExpandProperty userPrincipalName)}
```
Con el comando, se compara la dirección de correo electrónico principal de las cuentas de usuario en Cloud Identity o del Google Workspace con el atributo userPrincipalName en In Azure AD. Si usas una asignación diferente entre los usuarios de Azure AD y las cuentas de usuario de Cloud Identity o Google Workspace, es posible que debas ajustar el comando.

El resultado es similar al siguiente:
```
FirstName  LastName    Email
---------  --------    -----
Alice      Admin       admin@example.org
Olly       Orphaned    olly@example.org
Matty      Mismatch    matty@wrongsubdomain.example.org
```
Cada elemento enumerado en el resultado representa una cuenta de usuario en Cloud Identity o Google Workspace que carece de una contraparte en Active Directory.

Un resultado vacío indica que no tienes cuentas de usuario huérfanas en Google Workspace o Cloud Identity.
Borra ambos archivos CSV de tu disco local.

Concilia cuentas de usuario huérfanas

Para conciliar cuentas de usuario huérfanas, debes analizar cada cuenta de usuario a fin de determinar por qué su identidad carece de una contraparte en tu sistema de fuente autorizada.

Si crees que una cuenta de usuario es obsoleta, verifica si vale la pena conservar algún parámetro de configuración o datos asociados con ella:

Para conservar los datos de Google Drive existentes, transfiere los datos a otro usuario.
Si no quieres conservar ningún parámetro de configuración o datos existentes, borra la cuenta de usuario.
Para conservar de forma temporal la cuenta de usuario, suspende la cuenta de usuario y cambia su dirección de correo electrónico principal por una que tenga pocas probabilidades de provocar una colisión. Por ejemplo, cambia el nombre de olly.obsolete@example.com a obsolete-2019-11-10-olly.obsolete@example.com.

Para cada cuenta de usuario que aún sea válida, intenta corregir la dirección de correo electrónico principal a fin de que coincida con una identidad en tu fuente autorizada. Esto puede requerir las siguientes acciones:

Cambiar el dominio de la dirección de correo electrónico principal
Cambiar la dirección de correo electrónico principal y una dirección de alias
Corregir la ortografía y las mayúsculas o minúsculas en la dirección de correo electrónico principal (por ejemplo, agregar o quitar puntos)

Prácticas recomendadas

Recomendamos las siguientes prácticas cuando concilies cuentas de usuario administradas:

Si migras cuentas personales a Cloud Identity o G Suite, repite el proceso de conciliación al menos una vez por cada lote de cuentas de usuario que migres.