无需Google Workspace，配置GCP与Azure AD SSO及用户预配

一、解决Cloud Identity Free暂停问题 #

• Cloud Identity Free版自带10GB共享存储配额，触发预警后如果不想用Workspace服务，别升级Google Workspace，直接转用Cloud Identity Premium就行——这个订阅专门给只需要GCP身份管理的组织用，不带Workspace的邮箱、文档这些办公套件，也没有强制存储配额要求。
• 要是暂时不想付费，也可以清理Cloud Identity里的冗余存储（比如旧用户资料、没用的共享文件）来降用量，避免被暂停，但这只是临时办法，长期用还是Premium更靠谱。

二、无需Workspace的Azure AD与GCP集成步骤 #

不用依赖Workspace，靠Cloud Identity（不管Free还是Premium）就能完成SSO和用户预配，核心步骤如下：

1. 配置Azure AD作为GCP身份提供商
   • 在GCP Cloud Identity管理控制台开启SAML单点登录，创建自定义SAML应用，获取GCP的SP元数据（实体ID、ACS URL）。
   • 在Azure AD门户添加企业应用，选择非Gallery应用，导入GCP的SP元数据，配置用户属性映射（比如把Azure AD的user.principalname对应到GCP的email属性）。
   • 完成Azure AD的证书配置，将Azure AD的IDP元数据导入GCP，启用SSO。
2. 配置SCIM用户预配
   • 在GCP Cloud Identity里启用SCIM API，生成SCIM令牌和API端点URL。
   • 在Azure AD的企业应用中开启自动用户预配，填入GCP的SCIM端点和令牌，设置预配规则（比如只同步特定Azure AD组的用户到GCP）。
   • 测试预配流程，确认用户能从Azure AD同步到Cloud Identity，并且自动获得GCP项目权限。

三、订阅选择建议 #

• 首选Cloud Identity Premium：专为企业身份管理打造，支持SAML SSO、SCIM预配、MFA、身份生命周期管理，完全不带Workspace办公套件，适配仅用GCP的场景，价格比Workspace低。
• 短期测试或小团队（10人以内）可以先用Cloud Identity Free，但得留意存储配额，别超量被暂停，长期用建议升级到Premium。

内容的提问来源于stack exchange，提问作者moirK