Google-Workspace-SAML für Single Sign-On einrichten

PlaidCloud unterstützt Single Sign-On (SSO) über SAML 2.0. Dieser Leitfaden beschreibt, wie Sie Google Workspace als SAML-Identitätsanbieter konfigurieren, damit sich die Benutzer Ihrer Organisation über Google bei PlaidCloud authentifizieren können.

Hinweis

Die Konfiguration auf PlaidCloud-Seite übernimmt das PlaidCloud-Team. Sie richten die benutzerdefinierte SAML-App in Google Workspace ein und übermitteln PlaidCloud Ihre IdP Metadata URL. Den Rest der Konfiguration schließt der PlaidCloud-Support ab.

Voraussetzungen

• Ein Google-Workspace-Konto (Business Starter oder höher)
• Ein Google-Workspace-Konto mit der Rolle Super Admin
• Kontakt zum PlaidCloud-Support, um die Einrichtung abzustimmen und Konfigurationswerte auszutauschen

Überblick

Bei der Einrichtung tauschen zwei Parteien SAML-Metadaten aus:

1. Sie konfigurieren eine benutzerdefinierte SAML-App in Google Workspace und übermitteln PlaidCloud Ihre IdP Metadata URL.
2. PlaidCloud stellt Ihnen die Service-Provider-Entity-ID (SP) und die ACS-URL (Assertion Consumer Service URL) bereit, die Sie zum Abschluss Ihrer Google-Workspace-Konfiguration benötigen.

Stimmen Sie sich mit dem PlaidCloud-Support ab, um die SP-Werte zu erhalten, bevor Sie Schritt 3 unten abschließen.

Schritt 1: Benutzerdefinierte SAML-App erstellen

1. Melden Sie sich als Super Admin in der Google Admin console an.
2. Navigieren Sie zu Apps > Web and mobile apps.
3. Klicken Sie auf Add app > Add custom SAML app.
4. Geben Sie einen Namen für die App ein (z. B. PlaidCloud SSO) und fügen Sie optional eine Beschreibung und ein Symbol hinzu.
5. Klicken Sie auf Fortfahren.

Schritt 2: IdP Metadata URL abrufen

Auf dem Bildschirm Google Identity Provider details zeigt Google die Informationen zum Identitätsanbieter an, die PlaidCloud benötigt.

1. Kopieren Sie die SSO URL und die Entity ID und laden Sie das Certificate herunter – oder
2. Klicken Sie neben der URL IDP metadata auf Kopieren (im Format https://accounts.google.com/o/saml2/idp?idpid=XXXXXXXXX).

Senden Sie diese IdP Metadata URL an den PlaidCloud-Support. Dies ist die Entity-Descriptor-URL, die PlaidCloud benötigt, um die Vertrauensbeziehung auf Seiten des Identitätsanbieters zu konfigurieren. Sobald PlaidCloud diese URL erhalten hat, schließt das Team die Keycloak-Konfiguration ab und benachrichtigt Sie, wenn SSO zum Testen bereit ist.

3. Klicken Sie auf Fortfahren, um mit der Service-Provider-Konfiguration fortzufahren.

Schritt 3: Service-Provider-Details konfigurieren

Hinweis

Sie benötigen die SP Entity ID und die ACS URL von PlaidCloud, bevor Sie diesen Schritt abschließen. Wenden Sie sich an den PlaidCloud-Support, um diese Werte zu erhalten.

1. Geben Sie im Feld ACS URL die von PlaidCloud bereitgestellte ACS-URL ein.
2. Geben Sie im Feld Entity ID die von PlaidCloud bereitgestellte SP Entity ID ein.
3. Lassen Sie Start URL leer, sofern der PlaidCloud-Support nichts anderes vorgibt.
4. Setzen Sie Name ID format auf EMAIL.
5. Setzen Sie Name ID auf Grundinformationen > Primary email.
6. Klicken Sie auf Fortfahren.

Schritt 4: Attributzuordnung konfigurieren

Google Workspace übergibt Benutzerattribute in der SAML-Assertion an PlaidCloud. Ordnen Sie mindestens die E-Mail-Adresse des Benutzers zu. Wenn Ihre PlaidCloud-Konfiguration gruppenbasierte Zuweisungen von Sicherheitsrollen verwendet, ordnen Sie zusätzlich die Gruppenmitgliedschaft zu.

Grundlegende Attributzuordnung

Fügen Sie auf dem Bildschirm Attribute mapping die folgenden Attributzuordnungen hinzu:

Google-Verzeichnisattribut	App-Attribut
Primary email	email
First name	firstName
Last name	lastName

Klicken Sie auf Add mapping, um jede Zeile hinzuzufügen.

Gruppenmitgliedschaft (optional)

Wenn PlaidCloud Benutzer anhand ihrer Google-Gruppenmitgliedschaft automatisch Sicherheitsgruppen zuweisen soll:

1. Klicken Sie auf Add mapping.
2. Wählen Sie unter Google Directory attributes die Option Group membership aus und wählen Sie die relevanten Google-Gruppen.
3. Legen Sie den Namen des App attribute auf groups fest (bestätigen Sie den erwarteten Namen beim PlaidCloud-Support).

Hinweis

Klären Sie mit dem PlaidCloud-Support, welcher Gruppenattributname und welches Format erwartet werden, damit gruppenbasierte Zuweisungen von Sicherheitsrollen in PlaidCloud korrekt funktionieren.

Klicken Sie auf Finish.

Schritt 5: App für Benutzer aktivieren

Standardmäßig ist eine neue SAML-App für alle Benutzer deaktiviert. Aktivieren Sie sie für die passenden Organisationseinheiten oder Gruppen.

1. Klicken Sie auf der Detailseite der App auf User access.
2. Wählen Sie die Organisationseinheit oder die Gruppen aus, die SSO-Zugriff auf PlaidCloud haben sollen.
3. Setzen Sie den Dienststatus auf ON.
4. Klicken Sie auf Speichern.

Integration testen

Nachdem PlaidCloud bestätigt hat, dass die Konfiguration abgeschlossen ist:

1. Rufen Sie den PlaidCloud-Workspace Ihrer Organisation auf (z. B. https://my-workspace.plaid.cloud).
2. Sie werden zur Google-Anmeldeseite weitergeleitet.
3. Melden Sie sich mit Ihren Google-Workspace-Anmeldedaten an.
4. Nach erfolgreicher Authentifizierung werden Sie zu PlaidCloud zurückgeleitet.

Wenn Fehler auftreten, prüfen Sie Folgendes:

• SP Entity ID und ACS-URL stimmen exakt mit den Werten überein, die PlaidCloud bereitgestellt hat
• Der Benutzer, der sich anmelden möchte, gehört zu einer Organisationseinheit oder Gruppe, für die die App aktiviert ist
• Das Name ID format ist auf EMAIL gesetzt und Primary email zugeordnet
• Die an PlaidCloud gesendete IdP Metadata URL ist erreichbar