Configurer SAML Okta pour l'authentification unique

PlaidCloud prend en charge l’authentification unique (SSO) via SAML 2.0. Ce guide explique comment configurer Okta comme fournisseur d’identité SAML afin que les utilisateurs de votre organisation puissent s’authentifier via Okta pour accéder à PlaidCloud.

Note

L’équipe PlaidCloud se charge de la configuration côté PlaidCloud. De votre côté, vous configurez l’application SAML dans Okta et vous communiquez à PlaidCloud votre Identity Provider Metadata URL. L’assistance PlaidCloud effectue le reste de la configuration.

Prérequis

• Un compte Okta doté du rôle Administrator (Super Admin ou Org Admin)
• Un contact avec l’assistance PlaidCloud pour coordonner la configuration et échanger les valeurs de configuration

Vue d’ensemble

La configuration repose sur un échange de métadonnées SAML entre deux parties :

1. Vous configurez une application SAML dans Okta et vous communiquez à PlaidCloud votre Identity Provider Metadata URL.
2. PlaidCloud vous fournit l’Entity ID du fournisseur de services (SP) et la Single Sign-On URL (ACS URL) nécessaires pour terminer la configuration de votre application Okta.

Coordonnez-vous avec l’assistance PlaidCloud pour obtenir les valeurs du SP avant de terminer l’étape 3 ci-dessous.

Étape 1 : créer une application SAML

1. Connectez-vous à l’Okta Admin console.
2. Dans la barre latérale gauche, accédez à Applications > Applications.
3. Cliquez sur Create App Integration.
4. Sélectionnez SAML 2.0 comme méthode de connexion.
5. Cliquez sur Suivant.
6. Saisissez un nom pour l’application (par exemple, PlaidCloud SSO) et, si vous le souhaitez, importez un logo.
7. Cliquez sur Suivant.

Étape 2 : configurer les paramètres SAML

Note

Vous avez besoin du SP Entity ID et de la Single Sign-On URL (ACS URL) fournis par PlaidCloud avant de terminer cette étape. Contactez l’assistance PlaidCloud pour obtenir ces valeurs.

1. Dans le champ Single sign-on URL, saisissez l’ACS URL fournie par PlaidCloud.
2. Dans le champ Audience URI (SP Entity ID), saisissez le SP Entity ID fourni par PlaidCloud.
3. Laissez Default RelayState vide, sauf indication contraire de l’assistance PlaidCloud.
4. Définissez Name ID format sur EmailAddress.
5. Définissez Application username sur E-mail.
6. Cliquez sur Suivant.

Étape 3 : configurer les déclarations d’attributs

Sur ce même écran de paramètres SAML, ajoutez des déclarations d’attributs afin que PlaidCloud reçoive les informations de l’utilisateur dans l’assertion SAML.

Attributs utilisateur

Dans la section Attribute Statements, ajoutez les éléments suivants :

Nom	Format du nom	Valeur
email	Unspecified	user.email
firstName	Unspecified	user.firstName
lastName	Unspecified	user.lastName

Attributs de groupe (facultatif)

Si votre configuration PlaidCloud utilise des affectations de rôles de sécurité basées sur les groupes, ajoutez une déclaration d’attribut de groupe afin que l’appartenance aux groupes soit transmise dans l’assertion.

Dans la section Group Attribute Statements, ajoutez les éléments suivants :

Nom	Format du nom	Filtre
groups	Unspecified	Matches regex — .* (ou un motif plus précis pour limiter les groupes inclus)

Note

Convenez avec l’assistance PlaidCloud du nom de l’attribut de groupe et du filtre attendus, afin que les affectations de rôles de sécurité basées sur les groupes fonctionnent correctement dans PlaidCloud.

Cliquez sur Suivant, sélectionnez I’m an Okta customer adding an internal app, puis cliquez sur Finish.

Étape 4 : récupérer et envoyer l’Identity Provider Metadata URL

Une fois l’application créée, repérez l’URL des métadonnées et envoyez-la à PlaidCloud afin de finaliser l’intégration.

1. Sur la page de détail de l’application, sélectionnez l’onglet Sign On.
2. Faites défiler jusqu’à la section SAML 2.0 et cliquez sur More details.
3. Copiez la Metadata URL (au format https://your-org.okta.com/app/your-app-id/sso/saml/metadata).

Envoyez cette Metadata URL à l’assistance PlaidCloud. Il s’agit de l’Entity Descriptor URL dont PlaidCloud a besoin pour configurer la relation de confiance côté fournisseur d’identité. Une fois cette URL reçue, l’équipe termine la configuration de Keycloak et vous prévient lorsque l’authentification unique est prête à être testée.

Étape 5 : affecter des utilisateurs et des groupes à l’application

Seuls les utilisateurs et les groupes affectés à l’application peuvent s’authentifier avec cette configuration d’authentification unique.

1. Sur la page de détail de l’application, sélectionnez l’onglet Assignments.
2. Cliquez sur Affecter et choisissez Assign to People ou Assign to Groups.
3. Sélectionnez les utilisateurs ou les groupes qui doivent disposer de l’accès SSO à PlaidCloud, puis cliquez sur Affecter.
4. Cliquez sur Terminé.

Tester l’intégration

Une fois que PlaidCloud a confirmé que la configuration est terminée :

1. Accédez à l’espace de travail PlaidCloud de votre organisation (par exemple, https://my-workspace.plaid.cloud).
2. Vous êtes redirigé vers la page de connexion Okta.
3. Connectez-vous avec vos identifiants Okta.
4. Une fois l’authentification réussie, vous êtes redirigé vers PlaidCloud.

Si vous rencontrez des erreurs, vérifiez les points suivants :

• L’ACS URL et le SP Entity ID correspondent exactement à ce que PlaidCloud a fourni
• L’utilisateur qui tente de se connecter est affecté à l’application dans Okta
• Le Name ID format est défini sur EmailAddress et l’Application username sur E-mail
• La Metadata URL que vous avez envoyée à PlaidCloud est accessible