Configurer SAML Google Workspace pour l'authentification unique

PlaidCloud prend en charge l’authentification unique (SSO) via SAML 2.0. Ce guide explique comment configurer Google Workspace comme fournisseur d’identité SAML afin que les utilisateurs de votre organisation puissent s’authentifier via Google pour accéder à PlaidCloud.

Note

L’équipe PlaidCloud se charge de la configuration côté PlaidCloud. De votre côté, vous configurez l’application SAML personnalisée dans Google Workspace et vous communiquez à PlaidCloud votre IdP Metadata URL. L’assistance PlaidCloud effectue le reste de la configuration.

Prérequis

• Un compte Google Workspace (Business Starter ou supérieur)
• Un compte Google Workspace doté du rôle Super Admin
• Un contact avec l’assistance PlaidCloud pour coordonner la configuration et échanger les valeurs de configuration

Vue d’ensemble

La configuration repose sur un échange de métadonnées SAML entre deux parties :

1. Vous configurez une application SAML personnalisée dans Google Workspace et vous communiquez à PlaidCloud votre IdP Metadata URL.
2. PlaidCloud vous fournit l’Entity ID du fournisseur de services (SP) et l’ACS URL (Assertion Consumer Service URL) nécessaires pour terminer votre configuration Google Workspace.

Coordonnez-vous avec l’assistance PlaidCloud pour obtenir les valeurs du SP avant de terminer l’étape 3 ci-dessous.

Étape 1 : créer une application SAML personnalisée

1. Connectez-vous à la Google Admin console en tant que Super Admin.
2. Accédez à Applications > Web and mobile apps.
3. Cliquez sur Add app > Add custom SAML app.
4. Saisissez un nom pour l’application (par exemple, PlaidCloud SSO) et, si vous le souhaitez, ajoutez une description et une icône.
5. Cliquez sur Continuer.

Étape 2 : récupérer l’IdP Metadata URL

Sur l’écran Google Identity Provider details, Google affiche les informations du fournisseur d’identité dont PlaidCloud a besoin.

1. Copiez l’SSO URL et l’Entity ID, puis téléchargez le Certificate — ou
2. Cliquez sur Copier à côté de l’URL IDP metadata (au format https://accounts.google.com/o/saml2/idp?idpid=XXXXXXXXX).

Envoyez cette IdP Metadata URL à l’assistance PlaidCloud. Il s’agit de l’Entity Descriptor URL dont PlaidCloud a besoin pour configurer la relation de confiance côté fournisseur d’identité. Une fois cette URL reçue, l’équipe termine la configuration de Keycloak et vous prévient lorsque l’authentification unique est prête à être testée.

3. Cliquez sur Continuer pour passer à la configuration du fournisseur de services.

Étape 3 : configurer les détails du fournisseur de services

Note

Vous avez besoin du SP Entity ID et de l’ACS URL fournis par PlaidCloud avant de terminer cette étape. Contactez l’assistance PlaidCloud pour obtenir ces valeurs.

1. Dans le champ ACS URL, saisissez l’ACS URL fournie par PlaidCloud.
2. Dans le champ Entity ID, saisissez le SP Entity ID fourni par PlaidCloud.
3. Laissez Start URL vide, sauf indication contraire de l’assistance PlaidCloud.
4. Définissez Name ID format sur EMAIL.
5. Définissez Name ID sur Informations de base > Primary email.
6. Cliquez sur Continuer.

Étape 4 : configurer le mappage des attributs

Google Workspace transmet les attributs de l’utilisateur à PlaidCloud dans l’assertion SAML. Mappez au minimum l’adresse e-mail de l’utilisateur. Si votre configuration PlaidCloud utilise des affectations de rôles de sécurité basées sur les groupes, mappez également l’appartenance aux groupes.

Mappage d’attributs de base

Ajoutez les mappages d’attributs suivants sur l’écran Attribute mapping :

Attribut Google Directory	Attribut de l’application
Adresse e-mail principale	email
Prénom	firstName
Nom	lastName

Cliquez sur Add mapping pour ajouter chaque ligne.

Appartenance aux groupes (facultatif)

Si vous souhaitez que PlaidCloud affecte automatiquement les utilisateurs à des groupes de sécurité d’après leur appartenance aux groupes Google :

1. Cliquez sur Add mapping.
2. Sous Google Directory attributes, sélectionnez Group membership et choisissez les groupes Google concernés.
3. Définissez le nom de l’App attribute sur groups (confirmez le nom attendu auprès de l’assistance PlaidCloud).

Note

Convenez avec l’assistance PlaidCloud du nom et du format de l’attribut de groupe attendus, afin que les affectations de rôles de sécurité basées sur les groupes fonctionnent correctement dans PlaidCloud.

Cliquez sur Finish.

Étape 5 : activer l’application pour les utilisateurs

Par défaut, une nouvelle application SAML est désactivée pour tous les utilisateurs. Activez-la pour les unités d’organisation ou les groupes appropriés.

1. Sur la page de détail de l’application, cliquez sur User access.
2. Sélectionnez l’unité d’organisation ou les groupes qui doivent disposer de l’accès SSO à PlaidCloud.
3. Définissez l’état du service sur ON.
4. Cliquez sur Enregistrer.

Tester l’intégration

Une fois que PlaidCloud a confirmé que la configuration est terminée :

1. Accédez à l’espace de travail PlaidCloud de votre organisation (par exemple, https://my-workspace.plaid.cloud).
2. Vous êtes redirigé vers la page de connexion Google.
3. Connectez-vous avec vos identifiants Google Workspace.
4. Une fois l’authentification réussie, vous êtes redirigé vers PlaidCloud.

Si vous rencontrez des erreurs, vérifiez les points suivants :

• Le SP Entity ID et l’ACS URL correspondent exactement à ce que PlaidCloud a fourni
• L’utilisateur qui tente de se connecter appartient à une unité d’organisation ou à un groupe pour lequel l’application est activée
• Le Name ID format est défini sur EMAIL et mappé sur Primary email
• L’IdP Metadata URL que vous avez envoyée à PlaidCloud est accessible