Microsoft-Entra-ID-SAML für Single Sign-On einrichten

PlaidCloud unterstützt Single Sign-On (SSO) über SAML 2.0. Dieser Leitfaden beschreibt, wie Sie Microsoft Entra ID (früher Azure Active Directory) als SAML-Identitätsanbieter konfigurieren, damit sich die Benutzer Ihrer Organisation über Entra bei PlaidCloud authentifizieren können.

Hinweis

Die Konfiguration auf PlaidCloud-Seite übernimmt das PlaidCloud-Team. Sie richten die Enterprise-Anwendung in Entra ein und übermitteln PlaidCloud Ihre App Federation Metadata URL. Den Rest der Konfiguration schließt der PlaidCloud-Support ab.

Voraussetzungen

• Ein aktiver Microsoft-Entra-ID-Tenant (Azure AD)
• Ein Konto mit einer der folgenden Entra-Rollen: Global Administrator, Cloud Application Administrator oder Application Administrator
• Kontakt zum PlaidCloud-Support, um die Einrichtung abzustimmen und Konfigurationswerte auszutauschen

Überblick

Bei der Einrichtung tauschen zwei Parteien SAML-Metadaten aus:

1. Sie konfigurieren eine Enterprise-Anwendung in Entra ID und übermitteln PlaidCloud Ihre App Federation Metadata URL.
2. PlaidCloud stellt Ihnen die Service-Provider-Entity-ID (SP) und die Reply-URL (Assertion Consumer Service URL) bereit, die Sie zum Abschluss Ihrer Entra-Konfiguration benötigen.

Stimmen Sie sich mit dem PlaidCloud-Support ab, um die SP-Werte zu erhalten, bevor Sie Schritt 3 unten abschließen.

Schritt 1: Enterprise-Anwendung erstellen

1. Melden Sie sich beim Azure-Portal an und navigieren Sie zu Microsoft Entra ID.
2. Wählen Sie in der linken Seitenleiste Enterprise Applications aus.
3. Klicken Sie auf + New application.
4. Klicken Sie auf + Create your own application.
5. Geben Sie einen Namen für die Anwendung ein (z. B. PlaidCloud SSO).
6. Wählen Sie Integrate any other application you don’t find in the gallery (Non-gallery) aus.
7. Klicken Sie auf Erstellen.

Schritt 2: SAML-basiertes Single Sign-on aktivieren

1. Wählen Sie nach dem Erstellen der Anwendung in der linken Seitenleiste unter Verwalten den Eintrag Single sign-on aus.
2. Klicken Sie auf dem Bildschirm „Select a single sign-on method“ auf SAML.

Schritt 3: Grundlegende SAML-Einstellungen konfigurieren

Hinweis

Sie benötigen die SP Entity ID und die Reply URL (ACS URL) von PlaidCloud, bevor Sie diesen Schritt abschließen. Wenden Sie sich an den PlaidCloud-Support, um diese Werte zu erhalten.

1. Klicken Sie im Abschnitt Basic SAML Configuration auf Bearbeiten.
2. Geben Sie im Feld Identifier (Entity ID) die von PlaidCloud bereitgestellte SP Entity ID ein.
3. Geben Sie im Feld Reply URL (Assertion Consumer Service URL) die von PlaidCloud bereitgestellte ACS-URL ein.
4. Klicken Sie auf Speichern.

Schritt 4: Attribute und Claims konfigurieren

Standardmäßig übergibt Entra die E-Mail-Adresse und den Namen des Benutzers in der SAML-Assertion. Wenn Ihre PlaidCloud-Konfiguration Zuweisungen von Sicherheitsgruppen aus SSO verwendet, sollten Sie zusätzlich Gruppen-Claims aufnehmen.

Gruppen-Claims hinzufügen

1. Klicken Sie im Abschnitt Attributes & Claims auf Bearbeiten.
2. Klicken Sie auf + Add a group claim.
3. Wählen Sie Groups assigned to the application aus (empfohlen, um die Token-Größe zu begrenzen).
4. Wählen Sie unter Source attribute einen passenden Wert aus:
   • Gruppen-ID – übergibt die Azure-Objekt-ID (UUID) der Gruppe
   • Cloud-only group display names – übergibt den lesbaren Gruppennamen (für reine Cloud-Gruppen)
   • sAMAccountName – übergibt den lokalen Gruppennamen (für hybride/synchronisierte Umgebungen)
5. Klicken Sie auf Speichern.

Hinweis

Klären Sie mit dem PlaidCloud-Support, welches Format des Gruppenattributs erwartet wird, damit gruppenbasierte Zuweisungen von Sicherheitsrollen in PlaidCloud korrekt funktionieren.

Schritt 5: Benutzer und Gruppen der Anwendung zuweisen

Nur Benutzer und Gruppen, die der Enterprise-Anwendung zugewiesen sind, können sich über diese SSO-Konfiguration authentifizieren.

1. Wählen Sie in der linken Seitenleiste unter Verwalten den Eintrag Users and groups aus.
2. Klicken Sie auf + Add user/group.
3. Wählen Sie die Benutzer oder Gruppen aus, die SSO-Zugriff auf PlaidCloud haben sollen.
4. Klicken Sie auf Zuweisen.

Schritt 6: App Federation Metadata URL abrufen und senden

Sobald die Anwendung konfiguriert ist, suchen Sie die Federation-Metadata-URL und senden Sie sie an PlaidCloud, damit die Integration abgeschlossen werden kann.

1. Navigieren Sie zur Seite Single sign-on Ihrer Enterprise-Anwendung.
2. Scrollen Sie zum Abschnitt SAML Certificates.
3. Kopieren Sie die App Federation Metadata URL.

Senden Sie diese URL an den PlaidCloud-Support. Dies ist die Entity-Descriptor-URL, die PlaidCloud benötigt, um die Vertrauensbeziehung auf Seiten des Identitätsanbieters zu konfigurieren. Sobald PlaidCloud diese URL erhalten hat, schließt das Team die Keycloak-Konfiguration ab und benachrichtigt Sie, wenn SSO zum Testen bereit ist.

Integration testen

Nachdem PlaidCloud bestätigt hat, dass die Konfiguration abgeschlossen ist:

1. Rufen Sie den PlaidCloud-Workspace Ihrer Organisation auf (z. B. https://my-workspace.plaid.cloud).
2. Sie werden zur Microsoft-Anmeldeseite weitergeleitet.
3. Melden Sie sich mit Ihren Entra-ID-Anmeldedaten an.
4. Nach erfolgreicher Authentifizierung werden Sie zu PlaidCloud zurückgeleitet.

Wenn Fehler auftreten, prüfen Sie Folgendes:

• SP Entity ID und Reply URL stimmen exakt mit den Werten überein, die PlaidCloud bereitgestellt hat
• Der Benutzer, der sich anmelden möchte, ist der Enterprise-Anwendung zugewiesen
• Die an PlaidCloud gesendete App Federation Metadata URL ist erreichbar (nicht durch eine Firewall oder eine Richtlinie für bedingten Zugriff blockiert)