Okta-SAML für Single Sign-On einrichten

PlaidCloud unterstützt Single Sign-On (SSO) über SAML 2.0. Dieser Leitfaden beschreibt, wie Sie Okta als SAML-Identitätsanbieter konfigurieren, damit sich die Benutzer Ihrer Organisation über Okta bei PlaidCloud authentifizieren können.

Hinweis

Die Konfiguration auf PlaidCloud-Seite übernimmt das PlaidCloud-Team. Sie richten die SAML-Anwendung in Okta ein und übermitteln PlaidCloud Ihre Identity Provider Metadata URL. Den Rest der Konfiguration schließt der PlaidCloud-Support ab.

Voraussetzungen

• Ein Okta-Konto mit der Rolle Administrator (Super Admin oder Org Admin)
• Kontakt zum PlaidCloud-Support, um die Einrichtung abzustimmen und Konfigurationswerte auszutauschen

Überblick

Bei der Einrichtung tauschen zwei Parteien SAML-Metadaten aus:

1. Sie konfigurieren eine SAML-Anwendung in Okta und übermitteln PlaidCloud Ihre Identity Provider Metadata URL.
2. PlaidCloud stellt Ihnen die Service-Provider-Entity-ID (SP) und die Single-Sign-On-URL (ACS-URL) bereit, die Sie zum Abschluss der Konfiguration Ihrer Okta-Anwendung benötigen.

Stimmen Sie sich mit dem PlaidCloud-Support ab, um die SP-Werte zu erhalten, bevor Sie Schritt 3 unten abschließen.

Schritt 1: Neue SAML-Anwendung erstellen

1. Melden Sie sich in der Okta Admin console an.
2. Navigieren Sie in der linken Seitenleiste zu Applications > Applications.
3. Klicken Sie auf Create App Integration.
4. Wählen Sie SAML 2.0 als Anmeldemethode aus.
5. Klicken Sie auf Weiter.
6. Geben Sie einen Namen für die Anwendung ein (z. B. PlaidCloud SSO) und laden Sie optional ein Logo hoch.
7. Klicken Sie auf Weiter.

Schritt 2: SAML-Einstellungen konfigurieren

Hinweis

Sie benötigen die SP Entity ID und die Single Sign-On URL (ACS URL) von PlaidCloud, bevor Sie diesen Schritt abschließen. Wenden Sie sich an den PlaidCloud-Support, um diese Werte zu erhalten.

1. Geben Sie im Feld Single sign-on URL die von PlaidCloud bereitgestellte ACS-URL ein.
2. Geben Sie im Feld Audience URI (SP Entity ID) die von PlaidCloud bereitgestellte SP Entity ID ein.
3. Lassen Sie Default RelayState leer, sofern der PlaidCloud-Support nichts anderes vorgibt.
4. Setzen Sie Name ID format auf EmailAddress.
5. Setzen Sie Application username auf E-Mail.
6. Klicken Sie auf Weiter.

Schritt 3: Attributanweisungen konfigurieren

Fügen Sie auf demselben SAML-Einstellungsbildschirm Attributanweisungen hinzu, damit PlaidCloud die Benutzerdetails in der SAML-Assertion erhält.

Benutzerattribute

Fügen Sie im Abschnitt Attribute Statements Folgendes hinzu:

Name	Namensformat	Wert
email	Unspecified	user.email
firstName	Unspecified	user.firstName
lastName	Unspecified	user.lastName

Gruppenattribute (optional)

Wenn Ihre PlaidCloud-Konfiguration gruppenbasierte Zuweisungen von Sicherheitsrollen verwendet, fügen Sie eine Gruppenattributanweisung hinzu, damit die Gruppenmitgliedschaft in der Assertion übergeben wird.

Fügen Sie im Abschnitt Group Attribute Statements Folgendes hinzu:

Name	Namensformat	Filter
groups	Unspecified	Matches regex – .* (oder ein spezifischeres Muster, um die einbezogenen Gruppen einzuschränken)

Hinweis

Klären Sie mit dem PlaidCloud-Support, welcher Gruppenattributname und welcher Filter erwartet werden, damit gruppenbasierte Zuweisungen von Sicherheitsrollen in PlaidCloud korrekt funktionieren.

Klicken Sie auf Weiter, wählen Sie anschließend I’m an Okta customer adding an internal app aus und klicken Sie auf Finish.

Schritt 4: Identity Provider Metadata URL abrufen und senden

Sobald die Anwendung erstellt ist, suchen Sie die Metadaten-URL und senden Sie sie an PlaidCloud, damit die Integration abgeschlossen werden kann.

1. Wählen Sie auf der Detailseite der Anwendung die Registerkarte Sign On aus.
2. Scrollen Sie zum Abschnitt SAML 2.0 und klicken Sie auf More details.
3. Kopieren Sie die Metadata URL (im Format https://your-org.okta.com/app/your-app-id/sso/saml/metadata).

Senden Sie diese Metadaten-URL an den PlaidCloud-Support. Dies ist die Entity-Descriptor-URL, die PlaidCloud benötigt, um die Vertrauensbeziehung auf Seiten des Identitätsanbieters zu konfigurieren. Sobald PlaidCloud diese URL erhalten hat, schließt das Team die Keycloak-Konfiguration ab und benachrichtigt Sie, wenn SSO zum Testen bereit ist.

Schritt 5: Benutzer und Gruppen der Anwendung zuweisen

Nur Benutzer und Gruppen, die der Anwendung zugewiesen sind, können sich über diese SSO-Konfiguration authentifizieren.

1. Wählen Sie auf der Detailseite der Anwendung die Registerkarte Assignments aus.
2. Klicken Sie auf Zuweisen und wählen Sie entweder Assign to People oder Assign to Groups aus.
3. Wählen Sie die Benutzer oder Gruppen aus, die SSO-Zugriff auf PlaidCloud haben sollen, und klicken Sie auf Zuweisen.
4. Klicken Sie auf Fertig.

Integration testen

Nachdem PlaidCloud bestätigt hat, dass die Konfiguration abgeschlossen ist:

1. Rufen Sie den PlaidCloud-Workspace Ihrer Organisation auf (z. B. https://my-workspace.plaid.cloud).
2. Sie werden zur Okta-Anmeldeseite weitergeleitet.
3. Melden Sie sich mit Ihren Okta-Anmeldedaten an.
4. Nach erfolgreicher Authentifizierung werden Sie zu PlaidCloud zurückgeleitet.

Wenn Fehler auftreten, prüfen Sie Folgendes:

• ACS-URL und SP Entity ID stimmen exakt mit den Werten überein, die PlaidCloud bereitgestellt hat
• Der Benutzer, der sich anmelden möchte, ist in Okta der Anwendung zugewiesen
• Das Name ID format ist auf EmailAddress und der Application username auf E-Mail gesetzt
• Die an PlaidCloud gesendete Metadaten-URL ist erreichbar