Configuración de SAML con Microsoft Entra ID para el inicio de sesión único

PlaidCloud admite el inicio de sesión único (SSO) mediante SAML 2.0. Esta guía explica cómo configurar Microsoft Entra ID (anteriormente Azure Active Directory) como proveedor de identidad SAML para que los usuarios de su organización puedan autenticarse a través de Entra al acceder a PlaidCloud.

Nota

El equipo de PlaidCloud se encarga de la configuración del lado de PlaidCloud. Usted es responsable de configurar la Enterprise Application en Entra y de proporcionar a PlaidCloud su App Federation Metadata URL. El soporte de PlaidCloud completará el resto de la configuración.

Requisitos previos

• Un inquilino activo de Microsoft Entra ID (Azure AD)
• Una cuenta con uno de los siguientes roles de Entra: Global Administrator, Cloud Application Administrator o Application Administrator
• Contacto con el soporte de PlaidCloud para coordinar la configuración e intercambiar los valores de configuración

Descripción general

El proceso de configuración implica que dos partes intercambien metadatos SAML:

1. Usted configura una Enterprise Application en Entra ID y proporciona a PlaidCloud su App Federation Metadata URL.
2. PlaidCloud le proporciona el Entity ID del proveedor de servicios (SP) y la Reply URL (Assertion Consumer Service URL) necesarios para completar su configuración de Entra.

Coordine con el soporte de PlaidCloud para obtener los valores del SP antes de completar el paso 3 que se describe a continuación.

Paso 1: Crear una Enterprise Application

1. Inicie sesión en el Azure portal y vaya a Microsoft Entra ID.
2. En la barra lateral izquierda, seleccione Enterprise Applications.
3. Haga clic en + New application.
4. Haga clic en + Create your own application.
5. Escriba un nombre para la aplicación (por ejemplo, PlaidCloud SSO).
6. Seleccione Integrate any other application you don’t find in the gallery (Non-gallery).
7. Haga clic en Crear.

Paso 2: Habilitar el inicio de sesión único basado en SAML

1. Una vez creada la aplicación, seleccione Single sign-on en la barra lateral izquierda, en Administrar.
2. En la pantalla “Select a single sign-on method”, haga clic en SAML.

Paso 3: Configurar los ajustes básicos de SAML

Nota

Necesitará el SP Entity ID y la Reply URL (ACS URL) de PlaidCloud antes de completar este paso. Póngase en contacto con el soporte de PlaidCloud para obtener estos valores.

1. En la sección Basic SAML Configuration, haga clic en Editar.
2. En el campo Identifier (Entity ID), escriba el SP Entity ID proporcionado por PlaidCloud.
3. En el campo Reply URL (Assertion Consumer Service URL), escriba la ACS URL proporcionada por PlaidCloud.
4. Haga clic en Guardar.

Paso 4: Configurar atributos y notificaciones

De forma predeterminada, Entra pasa la dirección de correo electrónico y el nombre del usuario en la aserción SAML. Si su configuración de PlaidCloud usa asignaciones de grupos de seguridad desde el SSO, también debe incluir las notificaciones de grupo.

Agregar notificaciones de grupo

1. En la sección Attributes & Claims, haga clic en Editar.
2. Haga clic en + Add a group claim.
3. Elija Groups assigned to the application (recomendado para limitar el tamaño del token).
4. En Source attribute, seleccione un valor adecuado:
   • ID del grupo: pasa el Object ID de Azure (UUID) del grupo
   • Cloud-only group display names: pasa el nombre del grupo legible (para grupos solo en la nube)
   • sAMAccountName: pasa el nombre del grupo local (para entornos híbridos o sincronizados)
5. Haga clic en Guardar.

Nota

Hable con el soporte de PlaidCloud para saber qué formato de atributo de grupo se espera, de modo que las asignaciones de roles de seguridad basadas en grupos funcionen correctamente en PlaidCloud.

Paso 5: Asignar usuarios y grupos a la aplicación

Solo los usuarios y grupos asignados a la Enterprise Application podrán autenticarse mediante esta configuración de SSO.

1. En la barra lateral izquierda, seleccione Users and groups en Administrar.
2. Haga clic en + Add user/group.
3. Seleccione los usuarios o grupos que deben tener acceso SSO a PlaidCloud.
4. Haga clic en Asignar.

Paso 6: Obtener y enviar la App Federation Metadata URL

Una vez configurada la aplicación, localice la Federation Metadata URL y envíela a PlaidCloud para que se pueda completar la integración.

1. Vaya a la página Single sign-on de su Enterprise Application.
2. Desplácese hasta la sección SAML Certificates.
3. Copie la App Federation Metadata URL.

Envíe esta URL al soporte de PlaidCloud. Es la URL del Entity Descriptor que PlaidCloud necesita para configurar la relación de confianza en el lado del proveedor de identidad. Cuando PlaidCloud reciba esta URL, el equipo completará la configuración de Keycloak y le avisará cuando el SSO esté listo para probarse.

Prueba de la integración

Después de que PlaidCloud confirme que la configuración está completa:

1. Vaya al espacio de trabajo de PlaidCloud de su organización (por ejemplo, https://my-workspace.plaid.cloud).
2. Se le redirigirá a la página de inicio de sesión de Microsoft.
3. Inicie sesión con sus credenciales de Entra ID.
4. Tras una autenticación correcta, se le redirigirá de nuevo a PlaidCloud.

Si se producen errores, compruebe que:

• El SP Entity ID y la Reply URL coinciden exactamente con lo proporcionado por PlaidCloud
• El usuario que intenta iniciar sesión está asignado a la Enterprise Application
• La App Federation Metadata URL que envió a PlaidCloud es accesible (no está bloqueada por un firewall ni por una directiva de acceso condicional)