Configurar o SAML do Microsoft Entra ID para logon único

O PlaidCloud oferece suporte ao logon único (SSO) via SAML 2.0. Este guia mostra como configurar o Microsoft Entra ID (antigo Azure Active Directory) como provedor de identidade SAML para que os usuários da sua organização se autentiquem pelo Entra ao acessar o PlaidCloud.

Nota

A configuração do lado do PlaidCloud é feita pela equipe do PlaidCloud. Sua responsabilidade é configurar o Enterprise Application no Entra e fornecer ao PlaidCloud a App Federation Metadata URL. O suporte do PlaidCloud concluirá a configuração restante.

Pré-requisitos

• Um tenant ativo do Microsoft Entra ID (Azure AD)
• Uma conta com uma das seguintes funções do Entra: Global Administrator, Cloud Application Administrator ou Application Administrator
• Contato com o suporte do PlaidCloud para coordenar a configuração e trocar os valores de configuração

Visão geral

O processo de configuração envolve duas partes que trocam metadados SAML:

1. Você configura um Enterprise Application no Entra ID e fornece ao PlaidCloud a App Federation Metadata URL.
2. O PlaidCloud fornece o Entity ID do provedor de serviço (SP) e a Reply URL (Assertion Consumer Service URL) necessários para concluir a configuração no Entra.

Coordene com o suporte do PlaidCloud para obter os valores do SP antes de concluir a Etapa 3 abaixo.

Etapa 1: criar um Enterprise Application

1. Entre no portal do Azure e acesse o Microsoft Entra ID.
2. Na barra lateral esquerda, selecione Enterprise Applications.
3. Clique em + New application.
4. Clique em + Create your own application.
5. Insira um nome para o aplicativo (por exemplo, PlaidCloud SSO).
6. Selecione Integrate any other application you don’t find in the gallery (Non-gallery).
7. Clique em Criar.

Etapa 2: habilitar o logon único baseado em SAML

1. Depois que o aplicativo for criado, selecione Single sign-on na barra lateral esquerda, em Gerenciar.
2. Na tela “Select a single sign-on method”, clique em SAML.

Etapa 3: configurar as definições básicas do SAML

Nota

Você precisará do SP Entity ID e da Reply URL (ACS URL) do PlaidCloud antes de concluir esta etapa. Entre em contato com o suporte do PlaidCloud para obter esses valores.

1. Na seção Basic SAML Configuration, clique em Editar.
2. No campo Identifier (Entity ID), insira o SP Entity ID fornecido pelo PlaidCloud.
3. No campo Reply URL (Assertion Consumer Service URL), insira a ACS URL fornecida pelo PlaidCloud.
4. Clique em Salvar.

Etapa 4: configurar atributos e declarações

Por padrão, o Entra passa o endereço de e-mail e o nome do usuário na asserção SAML. Se a sua configuração do PlaidCloud usa atribuições de grupos de segurança a partir do SSO, inclua também as declarações de grupo.

Adicionar declarações de grupo

1. Na seção Attributes & Claims, clique em Editar.
2. Clique em + Add a group claim.
3. Escolha Groups assigned to the application (recomendado para limitar o tamanho do token).
4. Em Source attribute, selecione um valor apropriado:
   • ID do grupo: passa o Object ID do Azure (UUID) do grupo
   • Cloud-only group display names: passa o nome legível do grupo (para grupos somente na nuvem)
   • sAMAccountName: passa o nome do grupo local (para ambientes híbridos/sincronizados)
5. Clique em Salvar.

Nota

Converse com o suporte do PlaidCloud sobre o formato do atributo de grupo esperado, para que as atribuições de funções de segurança baseadas em grupos funcionem corretamente no PlaidCloud.

Etapa 5: atribuir usuários e grupos ao aplicativo

Somente os usuários e grupos atribuídos ao Enterprise Application poderão se autenticar por meio desta configuração de SSO.

1. Na barra lateral esquerda, selecione Users and groups em Gerenciar.
2. Clique em + Add user/group.
3. Selecione os usuários ou grupos que devem ter acesso SSO ao PlaidCloud.
4. Clique em Atribuir.

Etapa 6: obter e enviar a App Federation Metadata URL

Depois que o aplicativo estiver configurado, localize a Federation Metadata URL e envie-a ao PlaidCloud para que a integração possa ser concluída.

1. Acesse a página Single sign-on do seu Enterprise Application.
2. Role até a seção SAML Certificates.
3. Copie a App Federation Metadata URL.

Envie esta URL ao suporte do PlaidCloud. Esta é a URL do Entity Descriptor de que o PlaidCloud precisa para configurar a relação de confiança no lado do provedor de identidade. Quando o PlaidCloud receber essa URL, a equipe concluirá a configuração do Keycloak e avisará você quando o SSO estiver pronto para teste.

Testar a integração

Depois que o PlaidCloud confirmar que a configuração está concluída:

1. Acesse o espaço de trabalho do PlaidCloud da sua organização (por exemplo, https://my-workspace.plaid.cloud).
2. Você será redirecionado para a página de login da Microsoft.
3. Entre com suas credenciais do Entra ID.
4. Após a autenticação bem-sucedida, você será redirecionado de volta ao PlaidCloud.

Se ocorrerem erros, verifique se:

• O SP Entity ID e a Reply URL correspondem exatamente ao que o PlaidCloud forneceu
• O usuário que tenta entrar está atribuído ao Enterprise Application
• A App Federation Metadata URL que você enviou ao PlaidCloud está acessível (não bloqueada por um firewall ou por uma política de acesso condicional)