Konfiguracja SAML w Microsoft Entra ID na potrzeby jednokrotnego logowania

PlaidCloud obsługuje jednokrotne logowanie (SSO) przez SAML 2.0. Ten przewodnik opisuje konfigurację Microsoft Entra ID (dawniej Azure Active Directory) jako dostawcy tożsamości SAML, tak aby użytkownicy Twojej organizacji mogli uwierzytelniać się przez Entra podczas uzyskiwania dostępu do PlaidCloud.

Notatka

Konfiguracją po stronie PlaidCloud zajmuje się zespół PlaidCloud. Twoim zadaniem jest skonfigurowanie aplikacji Enterprise Application w Entra i przekazanie PlaidCloud App Federation Metadata URL. Pomoc techniczna PlaidCloud dokończy pozostałą konfigurację.

Wymagania wstępne

• Aktywna dzierżawa Microsoft Entra ID (Azure AD)
• Konto z jedną z następujących ról Entra: Global Administrator, Cloud Application Administrator lub Application Administrator
• Kontakt z pomocą techniczną PlaidCloud w celu skoordynowania konfiguracji i wymiany wartości konfiguracyjnych

Przegląd

Proces konfiguracji polega na wymianie metadanych SAML między dwiema stronami:

1. Ty konfigurujesz aplikację Enterprise Application w Entra ID i przekazujesz PlaidCloud swój App Federation Metadata URL.
2. PlaidCloud przekazuje Ci identyfikator Service Provider (SP) Entity ID oraz Reply URL (Assertion Consumer Service URL), potrzebne do ukończenia konfiguracji Entra.

Skontaktuj się z pomocą techniczną PlaidCloud, aby uzyskać wartości SP przed ukończeniem kroku 3 poniżej.

Krok 1: Utwórz aplikację Enterprise Application

1. Zaloguj się do portalu Azure i przejdź do Microsoft Entra ID.
2. W lewym panelu bocznym wybierz Enterprise Applications.
3. Kliknij + New application.
4. Kliknij + Create your own application.
5. Wpisz nazwę aplikacji (np. PlaidCloud SSO).
6. Wybierz Integrate any other application you don’t find in the gallery (Non-gallery).
7. Kliknij Utwórz.

Krok 2: Włącz jednokrotne logowanie oparte na SAML

1. Po utworzeniu aplikacji wybierz Single sign-on w lewym panelu bocznym w sekcji Manage.
2. Na ekranie „Select a single sign-on method” kliknij SAML.

Krok 3: Skonfiguruj podstawowe ustawienia SAML

Notatka

Przed ukończeniem tego kroku potrzebujesz od PlaidCloud wartości SP Entity ID i Reply URL (ACS URL). Skontaktuj się z pomocą techniczną PlaidCloud, aby je uzyskać.

1. W sekcji Basic SAML Configuration kliknij Edytuj.
2. W polu Identifier (Entity ID) wpisz SP Entity ID przekazany przez PlaidCloud.
3. W polu Reply URL (Assertion Consumer Service URL) wpisz adres ACS URL przekazany przez PlaidCloud.
4. Kliknij Zapisz.

Krok 4: Skonfiguruj atrybuty i oświadczenia

Domyślnie Entra przekazuje w asercji SAML adres e-mail i nazwę użytkownika. Jeśli Twoja konfiguracja PlaidCloud korzysta z przypisań do grup zabezpieczeń z SSO, uwzględnij także oświadczenia grup.

Dodaj oświadczenia grup

1. W sekcji Attributes & Claims kliknij Edytuj.
2. Kliknij + Add a group claim.
3. Wybierz Groups assigned to the application (zalecane, aby ograniczyć rozmiar tokenu).
4. W polu Source attribute wybierz odpowiednią wartość:
   • ID grupy — przekazuje identyfikator obiektu Azure (UUID) grupy
   • Cloud-only group display names — przekazuje czytelną nazwę grupy (dla grup tylko w chmurze)
   • sAMAccountName — przekazuje nazwę grupy lokalnej (dla środowisk hybrydowych/synchronizowanych)
5. Kliknij Zapisz.

Notatka

Ustal z pomocą techniczną PlaidCloud, jaki format atrybutu grupy jest oczekiwany, aby przypisywanie ról zabezpieczeń na podstawie grup działało poprawnie w PlaidCloud.

Krok 5: Przypisz użytkowników i grupy do aplikacji

Uwierzytelniać się w ramach tej konfiguracji SSO będą mogli tylko użytkownicy i grupy przypisani do aplikacji Enterprise Application.

1. W lewym panelu bocznym wybierz Users and groups w sekcji Manage.
2. Kliknij + Add user/group.
3. Wybierz użytkowników lub grupy, które powinny mieć dostęp SSO do PlaidCloud.
4. Kliknij Przypisz.

Krok 6: Pobierz i prześlij App Federation Metadata URL

Po skonfigurowaniu aplikacji znajdź Federation Metadata URL i prześlij go do PlaidCloud, aby dokończyć integrację.

1. Przejdź do strony Single sign-on swojej aplikacji Enterprise Application.
2. Przewiń do sekcji SAML Certificates.
3. Skopiuj App Federation Metadata URL.

Prześlij ten adres URL do pomocy technicznej PlaidCloud. To adres URL Entity Descriptor, którego PlaidCloud potrzebuje do skonfigurowania relacji zaufania po stronie dostawcy tożsamości. Gdy PlaidCloud otrzyma ten adres, zespół dokończy konfigurację Keycloak i powiadomi Cię, że SSO jest gotowe do testów.

Testowanie integracji

Gdy PlaidCloud potwierdzi, że konfiguracja jest ukończona:

1. Przejdź do obszaru roboczego PlaidCloud Twojej organizacji (np. https://my-workspace.plaid.cloud).
2. Zostaniesz przekierowany na stronę logowania Microsoft.
3. Zaloguj się, używając poświadczeń Entra ID.
4. Po pomyślnym uwierzytelnieniu zostaniesz przekierowany z powrotem do PlaidCloud.

Jeśli wystąpią błędy, sprawdź, czy:

• SP Entity ID i Reply URL dokładnie odpowiadają wartościom przekazanym przez PlaidCloud
• użytkownik próbujący się zalogować jest przypisany do aplikacji Enterprise Application
• App Federation Metadata URL przesłany do PlaidCloud jest dostępny (nie jest blokowany przez zaporę sieciową ani politykę dostępu warunkowego)