シングルサインオン用のGoogle Workspace SAMLの設定

PlaidCloudは、SAML 2.0によるシングルサインオン（SSO）をサポートしています。このガイドでは、組織のユーザーがPlaidCloudにアクセスする際にGoogleで認証できるよう、Google WorkspaceをSAML IDプロバイダーとして構成する手順を説明します。

ノート

PlaidCloud側の構成はPlaidCloudチームが行います。お客様の作業は、Google Workspaceでカスタム SAMLアプリを設定し、IdP Metadata URLをPlaidCloudに提供することです。残りの構成はPlaidCloudサポートが完了します。

前提条件

• Google Workspaceアカウント（Business Starter以上）
• Super Adminロールを持つGoogle Workspaceアカウント
• 設定の調整と構成値の交換のために、PlaidCloudサポートと連絡が取れること

概要

セットアップでは、2者がSAMLメタデータを交換します。

1. お客様側の作業： Google Workspaceでカスタム SAMLアプリを構成し、IdP Metadata URLをPlaidCloudに提供します。
2. PlaidCloud側の作業： Google Workspaceの構成を完了するために必要なサービスプロバイダー（SP）のエンティティIDとACS URL（Assertion Consumer Service URL）を提供します。

以下のステップ3を完了する前に、PlaidCloudサポートと調整してSPの値を入手してください。

ステップ1：カスタム SAMLアプリの作成

1. Super AdminとしてGoogle Admin consoleにサインインします。
2. アプリ > Web and mobile appsに移動します。
3. Add app > Add custom SAML appをクリックします。
4. アプリの名前を入力します（例：PlaidCloud SSO）。必要に応じて、説明とアイコンも追加します。
5. 続行をクリックします。

ステップ2：IdP Metadata URLの取得

Google Identity Provider details画面に、PlaidCloudが必要とするIDプロバイダー情報が表示されます。

1. SSO URLとEntity IDをコピーし、Certificateをダウンロードします。または、
2. IDP metadataのURLの横にあるコピーをクリックします（形式：https://accounts.google.com/o/saml2/idp?idpid=XXXXXXXXX）。

このIdP Metadata URLをPlaidCloudサポートに送信してください。 これは、PlaidCloudがIDプロバイダー側の信頼関係を構成するために必要なEntity Descriptor URLです。PlaidCloudがこのURLを受け取ると、チームがKeycloakの構成を完了し、SSOをテストできる状態になったらお知らせします。

3. 続行をクリックして、サービスプロバイダーの構成に進みます。

ステップ3：サービスプロバイダーの詳細の構成

ノート

この手順を完了するには、PlaidCloudが提供するSPエンティティIDとACS URLが必要です。これらの値はPlaidCloudサポートにお問い合わせのうえ入手してください。

1. ACS URLフィールドに、PlaidCloudから提供されたACS URLを入力します。
2. Entity IDフィールドに、PlaidCloudから提供されたSPエンティティIDを入力します。
3. PlaidCloudサポートから別途指示がない限り、Start URLは空白のままにします。
4. Name ID formatをEMAILに設定します。
5. Name IDを基本情報 > Primary emailに設定します。
6. 続行をクリックします。

ステップ4：属性マッピングの構成

Google Workspaceは、SAMLアサーションでユーザー属性をPlaidCloudに渡します。少なくとも、ユーザーのメールアドレスをマッピングします。PlaidCloudの構成でグループベースのセキュリティロール割り当てを使用する場合は、グループメンバーシップもマッピングします。

基本的な属性マッピング

Attribute mapping画面で、次の属性マッピングを追加します。

Googleディレクトリの属性	アプリの属性
Primary email	email
First name	firstName
Last name	lastName

Add mappingをクリックして、各行を追加します。

グループメンバーシップ（任意）

Googleのグループメンバーシップに基づいて、PlaidCloudでユーザーをセキュリティグループに自動的に割り当てる場合は、次の手順を行います。

1. Add mappingをクリックします。
2. Google Directory attributesでGroup membershipを選択し、該当するGoogleグループを選びます。
3. App attributeの名前をgroupsに設定します（想定される名前はPlaidCloudサポートに確認してください）。

ノート

PlaidCloudでグループベースのセキュリティロール割り当てが正しく機能するよう、想定されるグループ属性の名前と形式についてPlaidCloudサポートと相談してください。

Finishをクリックします。

ステップ5：ユーザー向けのアプリの有効化

デフォルトでは、新しいSAMLアプリはすべてのユーザーに対して無効になっています。適切な組織部門またはグループに対して有効にします。

1. アプリの詳細ページで、User accessをクリックします。
2. PlaidCloudへのSSOアクセスを許可する組織部門またはグループを選択します。
3. サービスのステータスを有効に設定します。
4. 保存をクリックします。

連携のテスト

PlaidCloudが構成の完了を確認したら、次の手順を行います。

1. 組織のPlaidCloudワークスペース（例：https://my-workspace.plaid.cloud）に移動します。
2. Googleのサインインページにリダイレクトされます。
3. Google Workspaceの認証情報でサインインします。
4. 認証に成功すると、PlaidCloudにリダイレクトされます。

エラーが発生した場合は、次の点を確認してください。

• SPエンティティIDとACS URLが、PlaidCloudから提供された値と完全に一致している
• ログインしようとしているユーザーが、アプリが有効になっている組織部門またはグループに属している
• Name ID formatがEMAILに設定され、Primary emailにマッピングされている
• PlaidCloudに送信したIdP Metadata URLにアクセスできる