Configuración de SAML con Google Workspace para el inicio de sesión único

PlaidCloud admite el inicio de sesión único (SSO) mediante SAML 2.0. Esta guía explica cómo configurar Google Workspace como proveedor de identidad SAML para que los usuarios de su organización puedan autenticarse a través de Google al acceder a PlaidCloud.

Nota

El equipo de PlaidCloud se encarga de la configuración del lado de PlaidCloud. Usted es responsable de configurar la aplicación SAML personalizada en Google Workspace y de proporcionar a PlaidCloud su IdP Metadata URL. El soporte de PlaidCloud completará el resto de la configuración.

Requisitos previos

• Una cuenta de Google Workspace (Business Starter o superior)
• Una cuenta de Google Workspace con el rol Super Admin
• Contacto con el soporte de PlaidCloud para coordinar la configuración e intercambiar los valores de configuración

Descripción general

El proceso de configuración implica que dos partes intercambien metadatos SAML:

1. Usted configura una aplicación SAML personalizada en Google Workspace y proporciona a PlaidCloud su IdP Metadata URL.
2. PlaidCloud le proporciona el Entity ID del proveedor de servicios (SP) y la ACS URL (Assertion Consumer Service URL) necesarios para completar su configuración de Google Workspace.

Coordine con el soporte de PlaidCloud para obtener los valores del SP antes de completar el paso 3 que se describe a continuación.

Paso 1: Crear una aplicación SAML personalizada

1. Inicie sesión en la Google Admin console como Super Admin.
2. Vaya a Aplicaciones > Web and mobile apps.
3. Haga clic en Add app > Add custom SAML app.
4. Escriba un nombre para la aplicación (por ejemplo, PlaidCloud SSO) y, opcionalmente, agregue una descripción y un icono.
5. Haga clic en Continuar.

Paso 2: Obtener la IdP Metadata URL

En la pantalla Google Identity Provider details, Google muestra la información del proveedor de identidad que necesita PlaidCloud.

1. Copie la SSO URL y el Entity ID, y descargue el Certificate; o bien
2. Haga clic en Copiar junto a la URL de IDP metadata (con el formato https://accounts.google.com/o/saml2/idp?idpid=XXXXXXXXX).

Envíe esta IdP Metadata URL al soporte de PlaidCloud. Es la URL del Entity Descriptor que PlaidCloud necesita para configurar la relación de confianza en el lado del proveedor de identidad. Cuando PlaidCloud reciba esta URL, el equipo completará la configuración de Keycloak y le avisará cuando el SSO esté listo para probarse.

3. Haga clic en Continuar para pasar a la configuración del proveedor de servicios.

Paso 3: Configurar los detalles del proveedor de servicios

Nota

Necesitará el SP Entity ID y la ACS URL de PlaidCloud antes de completar este paso. Póngase en contacto con el soporte de PlaidCloud para obtener estos valores.

1. En el campo ACS URL, escriba la ACS URL proporcionada por PlaidCloud.
2. En el campo Entity ID, escriba el SP Entity ID proporcionado por PlaidCloud.
3. Deje Start URL en blanco, a menos que el soporte de PlaidCloud le indique lo contrario.
4. Establezca Name ID format en EMAIL.
5. Establezca Name ID en Información básica > Primary email.
6. Haga clic en Continuar.

Paso 4: Configurar la asignación de atributos

Google Workspace pasa los atributos de usuario a PlaidCloud en la aserción SAML. Como mínimo, asigne la dirección de correo electrónico del usuario. Si su configuración de PlaidCloud usa asignaciones de roles de seguridad basadas en grupos, asigne también la pertenencia a grupos.

Asignación básica de atributos

Agregue las siguientes asignaciones de atributos en la pantalla Attribute mapping:

Atributo del directorio de Google	Atributo de la aplicación
Primary email	email
First name	firstName
Last name	lastName

Haga clic en Add mapping para agregar cada fila.

Pertenencia a grupos (opcional)

Si desea que PlaidCloud asigne automáticamente a los usuarios a grupos de seguridad según su pertenencia a grupos de Google:

1. Haga clic en Add mapping.
2. En Google Directory attributes, seleccione Group membership y elija los grupos de Google pertinentes.
3. Establezca el nombre del App attribute en groups (confirme el nombre esperado con el soporte de PlaidCloud).

Nota

Hable con el soporte de PlaidCloud para saber qué nombre y formato de atributo de grupo se esperan, de modo que las asignaciones de roles de seguridad basadas en grupos funcionen correctamente en PlaidCloud.

Haga clic en Finish.

Paso 5: Habilitar la aplicación para los usuarios

De forma predeterminada, una aplicación SAML nueva está deshabilitada para todos los usuarios. Habilítela para las unidades organizativas o grupos que corresponda.

1. En la página de detalles de la aplicación, haga clic en User access.
2. Seleccione la unidad organizativa o los grupos que deben tener acceso SSO a PlaidCloud.
3. Establezca el estado del servicio en En.
4. Haga clic en Guardar.

Prueba de la integración

Después de que PlaidCloud confirme que la configuración está completa:

1. Vaya al espacio de trabajo de PlaidCloud de su organización (por ejemplo, https://my-workspace.plaid.cloud).
2. Se le redirigirá a la página de inicio de sesión de Google.
3. Inicie sesión con sus credenciales de Google Workspace.
4. Tras una autenticación correcta, se le redirigirá de nuevo a PlaidCloud.

Si se producen errores, compruebe que:

• El SP Entity ID y la ACS URL coinciden exactamente con lo proporcionado por PlaidCloud
• El usuario que intenta iniciar sesión pertenece a una unidad organizativa o grupo con la aplicación habilitada
• El Name ID format está establecido en EMAIL y asignado a Primary email
• La IdP Metadata URL que envió a PlaidCloud es accesible