As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

# Auditar e reconciliar recursos provisionados automaticamente
<a name="reconcile-auto-provisioning"></a>

O SCIM permite que você provisione automaticamente usuários, grupos e associações de grupos da fonte de identidade para o IAM Identity Center. Este guia ajuda você a verificar e reconciliar esses recursos para manter uma sincronização precisa.

## Por que auditar os recursos?
<a name="reconcile-auto-provisioning-why-audit"></a>

A auditoria regular ajuda a garantir que os controles de acesso permaneçam precisos e que seu provedor de identidade (IdP) permaneça devidamente sincronizado com o IAM Identity Center. Isso é particularmente importante para a conformidade de segurança e o gerenciamento de acesso.

Recursos que podem ser auditados:
+ Usuários
+ Groups (Grupos)
+ Associações de grupo

 Você pode usar os [comandos do AWS Identity Store [APIs](https://docs.aws.amazon.com/singlesignon/latest/IdentityStoreAPIReference/welcome.html)ou da CLI](https://docs.aws.amazon.com/cli/latest/reference/identitystore/) para conduzir a auditoria e a reconciliação. Os exemplos a seguir usam comandos AWS CLI . Para alternativas de API, consulte as [operações correspondentes](https://docs.aws.amazon.com/singlesignon/latest/IdentityStoreAPIReference/API_Operations.html) na *referência da API do Identity Store*. 

## Como auditar recursos
<a name="how-to-audit-resources"></a>

Aqui estão alguns exemplos de como auditar esses recursos usando AWS CLI comandos.

Antes de começar, verifique se você tem:
+ Acesso de administrador ao IAM Identity Center.
+ AWS CLI instalado e configurado. Para obter informações, consulte o Guia do usuário da interface da linha de comando da [https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-welcome.html](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-welcome.html).
+ Permissões do IAM exigidas para comandos do Identity Store.

### Etapa 1: listar os recursos atuais
<a name="list-current-resources"></a>

Você pode visualizar seus recursos atuais usando AWS CLI o.

**nota**  
 Ao usar o AWS CLI, a paginação é processada automaticamente, a menos que você especifique. `--no-paginate` Se você estiver chamando a API diretamente (por exemplo, com um SDK ou um script personalizado), manipule o `NextToken` na resposta. Isso garante que você recupere todos os resultados em várias páginas. 

**Example para usuários**  

```
aws identitystore list-users \
  --region {{REGION}} \
  --identity-store-id {{IDENTITY_STORE_ID}}
```

**Example para grupos**  

```
aws identitystore list-groups \
  --region {{REGION}} \
  --identity-store-id {{IDENTITY_STORE_ID}}
```

**Example para associações de grupo**  

```
aws identitystore list-group-memberships \
  --region {{REGION}} \
  --identity-store-id {{IDENTITY_STORE_ID}}
  --group-id {{GROUP_ID}}
```

### Etapa 2: comparar a fonte de identidade
<a name="compare-idenity-source"></a>

Compare os recursos listados com a fonte de identidade para identificar quaisquer discrepâncias, como:
+ Recursos ausentes que devem ser provisionados no IAM Identity Center.
+ Recursos extras que devem ser removidos do IAM Identity Center.

**Example para usuários**  

```
# Create missing users
aws identitystore create-user \
  --identity-store-id {{IDENTITY_STORE_ID }}\
  --user-name {{USERNAME}} \
  --display-name {{DISPLAY_NAME}} \
  --name GivenName={{FIRST_NAME}},FamilyName={{LAST_NAME}} \
  --emails Value={{EMAIL}},Primary=true

# Delete extra users
aws identitystore delete-user \
  --identity-store-id {{IDENTITY_STORE_ID}} \
  --user-id {{USER_ID}}
```

**Example para grupos**  

```
# Create missing groups
aws identitystore create-group \
  --identity-store-id {{IDENTITY_STORE_ID}} \
  {{[group attributes]}}
  
# Delete extra groups
aws identitystore delete-group \
  --identity-store-id {{IDENTITY_STORE_ID }}\
  --group-id {{GROUP_ID}}
```

**Example para associações de grupo**  

```
# Add missing members
aws identitystore create-group-membership \
  --identity-store-id {{IDENTITY_STORE_ID}} \
  --group-id {{GROUP_ID}} \
  --member-id '{"UserId": "{{USER_ID}}"}'
  
# Remove extra members
aws identitystore delete-group-membership \
  --identity-store-id {{IDENTITY_STORE_ID}} \
  --membership-id {{MEMBERSHIP_ID}}
```

## Considerações
<a name="audit-resources-consideratons"></a>
+ Os comandos estão sujeitos a [cotas de serviço e controle de utilização de API.](limits.md#ssothrottlelimits)
+ Quando você encontrar muitas diferenças durante a reconciliação, faça pequenas alterações graduais no AWS Identity Store. Isso ajuda a evitar erros que afetam vários usuários.
+ A sincronização do SCIM pode substituir as alterações manuais. Verifique as configurações de IdP para entender esse comportamento.