Konfiguracja SAML w Google Workspace na potrzeby jednokrotnego logowania

PlaidCloud obsługuje jednokrotne logowanie (SSO) przez SAML 2.0. Ten przewodnik opisuje konfigurację Google Workspace jako dostawcy tożsamości SAML, tak aby użytkownicy Twojej organizacji mogli uwierzytelniać się przez Google podczas uzyskiwania dostępu do PlaidCloud.

Notatka

Konfiguracją po stronie PlaidCloud zajmuje się zespół PlaidCloud. Twoim zadaniem jest skonfigurowanie niestandardowej aplikacji SAML w Google Workspace i przekazanie PlaidCloud IdP Metadata URL. Pomoc techniczna PlaidCloud dokończy pozostałą konfigurację.

Wymagania wstępne

• Konto Google Workspace (Business Starter lub wyższy)
• Konto Google Workspace z rolą Super Admin
• Kontakt z pomocą techniczną PlaidCloud w celu skoordynowania konfiguracji i wymiany wartości konfiguracyjnych

Przegląd

Proces konfiguracji polega na wymianie metadanych SAML między dwiema stronami:

1. Ty konfigurujesz niestandardową aplikację SAML w Google Workspace i przekazujesz PlaidCloud swój IdP Metadata URL.
2. PlaidCloud przekazuje Ci identyfikator Service Provider (SP) Entity ID oraz adres ACS URL (Assertion Consumer Service URL), potrzebne do ukończenia konfiguracji Google Workspace.

Skontaktuj się z pomocą techniczną PlaidCloud, aby uzyskać wartości SP przed ukończeniem kroku 3 poniżej.

Krok 1: Utwórz niestandardową aplikację SAML

1. Zaloguj się do konsoli administracyjnej Google jako Super Admin.
2. Przejdź do Aplikacje > Web and mobile apps.
3. Kliknij Add app > Add custom SAML app.
4. Wpisz nazwę aplikacji (np. PlaidCloud SSO) i opcjonalnie dodaj opis oraz ikonę.
5. Kliknij Kontynuuj.

Krok 2: Pobierz IdP Metadata URL

Na ekranie Google Identity Provider details Google wyświetla informacje o dostawcy tożsamości potrzebne PlaidCloud.

1. Skopiuj SSO URL i Entity ID oraz pobierz Certificate — albo
2. Kliknij Kopiuj obok adresu URL IDP metadata (w formacie https://accounts.google.com/o/saml2/idp?idpid=XXXXXXXXX).

Prześlij ten IdP Metadata URL do pomocy technicznej PlaidCloud. To adres URL Entity Descriptor, którego PlaidCloud potrzebuje do skonfigurowania relacji zaufania po stronie dostawcy tożsamości. Gdy PlaidCloud otrzyma ten adres, zespół dokończy konfigurację Keycloak i powiadomi Cię, że SSO jest gotowe do testów.

3. Kliknij Kontynuuj, aby przejść do konfiguracji dostawcy usług.

Krok 3: Skonfiguruj szczegóły dostawcy usług

Notatka

Przed ukończeniem tego kroku potrzebujesz od PlaidCloud wartości SP Entity ID i ACS URL. Skontaktuj się z pomocą techniczną PlaidCloud, aby je uzyskać.

1. W polu ACS URL wpisz adres ACS URL przekazany przez PlaidCloud.
2. W polu Entity ID wpisz SP Entity ID przekazany przez PlaidCloud.
3. Pozostaw pole Start URL puste, chyba że pomoc techniczna PlaidCloud zaleci inaczej.
4. Ustaw Name ID format na EMAIL.
5. Ustaw Name ID na Informacje podstawowe > Primary email.
6. Kliknij Kontynuuj.

Krok 4: Skonfiguruj mapowanie atrybutów

Google Workspace przekazuje atrybuty użytkownika do PlaidCloud w asercji SAML. Zmapuj co najmniej adres e-mail użytkownika. Jeśli Twoja konfiguracja PlaidCloud korzysta z przypisywania ról zabezpieczeń na podstawie grup, zmapuj także członkostwo w grupach.

Podstawowe mapowanie atrybutów

Dodaj następujące mapowania atrybutów na ekranie Attribute mapping:

Atrybut katalogu Google	Atrybut aplikacji
Podstawowy adres e-mail	email
Imię	firstName
Nazwisko	lastName

Kliknij Add mapping, aby dodać każdy wiersz.

Członkostwo w grupach (opcjonalnie)

Jeśli chcesz, aby PlaidCloud automatycznie przypisywał użytkowników do grup zabezpieczeń na podstawie ich członkostwa w grupach Google:

1. Kliknij Add mapping.
2. W polu Google Directory attributes wybierz Group membership i wskaż odpowiednie grupy Google.
3. Ustaw nazwę App attribute na groups (oczekiwaną nazwę potwierdź z pomocą techniczną PlaidCloud).

Notatka

Ustal z pomocą techniczną PlaidCloud, jaka nazwa i format atrybutu grupy są oczekiwane, aby przypisywanie ról zabezpieczeń na podstawie grup działało poprawnie w PlaidCloud.

Kliknij Finish.

Krok 5: Włącz aplikację dla użytkowników

Domyślnie nowa aplikacja SAML jest wyłączona dla wszystkich użytkowników. Włącz ją dla odpowiednich jednostek organizacyjnych lub grup.

1. Na stronie szczegółów aplikacji kliknij User access.
2. Wybierz jednostkę organizacyjną lub grupy, które powinny mieć dostęp SSO do PlaidCloud.
3. Ustaw stan usługi na Włączone.
4. Kliknij Zapisz.

Testowanie integracji

Gdy PlaidCloud potwierdzi, że konfiguracja jest ukończona:

1. Przejdź do obszaru roboczego PlaidCloud Twojej organizacji (np. https://my-workspace.plaid.cloud).
2. Zostaniesz przekierowany na stronę logowania Google.
3. Zaloguj się, używając poświadczeń Google Workspace.
4. Po pomyślnym uwierzytelnieniu zostaniesz przekierowany z powrotem do PlaidCloud.

Jeśli wystąpią błędy, sprawdź, czy:

• SP Entity ID i ACS URL dokładnie odpowiadają wartościom przekazanym przez PlaidCloud
• użytkownik próbujący się zalogować należy do jednostki organizacyjnej lub grupy, dla której aplikacja jest włączona
• Name ID format jest ustawiony na EMAIL i zmapowany na Primary email
• IdP Metadata URL przesłany do PlaidCloud jest dostępny