Configurar o SAML do Google Workspace para logon único

O PlaidCloud oferece suporte ao logon único (SSO) via SAML 2.0. Este guia mostra como configurar o Google Workspace como provedor de identidade SAML para que os usuários da sua organização se autentiquem pelo Google ao acessar o PlaidCloud.

Nota

A configuração do lado do PlaidCloud é feita pela equipe do PlaidCloud. Sua responsabilidade é configurar o aplicativo SAML personalizado no Google Workspace e fornecer ao PlaidCloud a IdP Metadata URL. O suporte do PlaidCloud concluirá a configuração restante.

Pré-requisitos

• Uma conta do Google Workspace (Business Starter ou superior)
• Uma conta do Google Workspace com a função Super Admin
• Contato com o suporte do PlaidCloud para coordenar a configuração e trocar os valores de configuração

Visão geral

O processo de configuração envolve duas partes que trocam metadados SAML:

1. Você configura um aplicativo SAML personalizado no Google Workspace e fornece ao PlaidCloud a IdP Metadata URL.
2. O PlaidCloud fornece o Entity ID do provedor de serviço (SP) e a ACS URL (Assertion Consumer Service URL) necessários para concluir a configuração do Google Workspace.

Coordene com o suporte do PlaidCloud para obter os valores do SP antes de concluir a Etapa 3 abaixo.

Etapa 1: criar um aplicativo SAML personalizado

1. Entre no Google Admin console como Super Admin.
2. Acesse Aplicativos > Web and mobile apps.
3. Clique em Add app > Add custom SAML app.
4. Insira um nome para o aplicativo (por exemplo, PlaidCloud SSO) e, opcionalmente, adicione uma descrição e um ícone.
5. Clique em Continuar.

Etapa 2: obter a IdP Metadata URL

Na tela Google Identity Provider details, o Google exibe as informações do provedor de identidade de que o PlaidCloud precisa.

1. Copie a SSO URL e o Entity ID e baixe o Certificate, ou
2. Clique em Copiar ao lado da URL de IDP metadata (no formato https://accounts.google.com/o/saml2/idp?idpid=XXXXXXXXX).

Envie esta IdP Metadata URL ao suporte do PlaidCloud. Esta é a URL do Entity Descriptor de que o PlaidCloud precisa para configurar a relação de confiança no lado do provedor de identidade. Quando o PlaidCloud receber essa URL, a equipe concluirá a configuração do Keycloak e avisará você quando o SSO estiver pronto para teste.

3. Clique em Continuar para seguir para a configuração do provedor de serviço.

Etapa 3: configurar os detalhes do provedor de serviço

Nota

Você precisará do SP Entity ID e da ACS URL do PlaidCloud antes de concluir esta etapa. Entre em contato com o suporte do PlaidCloud para obter esses valores.

1. No campo ACS URL, insira a ACS URL fornecida pelo PlaidCloud.
2. No campo Entity ID, insira o SP Entity ID fornecido pelo PlaidCloud.
3. Deixe Start URL em branco, a menos que o suporte do PlaidCloud oriente de outra forma.
4. Defina Name ID format como EMAIL.
5. Defina Name ID como Informações básicas > Primary email.
6. Clique em Continuar.

Etapa 4: configurar o mapeamento de atributos

O Google Workspace passa os atributos do usuário ao PlaidCloud na asserção SAML. No mínimo, mapeie o endereço de e-mail do usuário. Se a sua configuração do PlaidCloud usa atribuições de funções de segurança baseadas em grupos, mapeie também a associação a grupos.

Mapeamento básico de atributos

Adicione os seguintes mapeamentos de atributos na tela Attribute mapping:

Atributo do Google Directory	Atributo do aplicativo
Primary email	email
First name	firstName
Last name	lastName

Clique em Add mapping para adicionar cada linha.

Associação a grupos (opcional)

Se você quiser que o PlaidCloud atribua usuários automaticamente a grupos de segurança com base na associação aos grupos do Google:

1. Clique em Add mapping.
2. Em Google Directory attributes, selecione Group membership e escolha os Grupos do Google relevantes.
3. Defina o nome do App attribute como groups (confirme o nome esperado com o suporte do PlaidCloud).

Nota

Converse com o suporte do PlaidCloud sobre o nome e o formato do atributo de grupo esperados, para que as atribuições de funções de segurança baseadas em grupos funcionem corretamente no PlaidCloud.

Clique em Finish.

Etapa 5: ativar o aplicativo para os usuários

Por padrão, um novo aplicativo SAML fica desativado para todos os usuários. Ative-o para as unidades organizacionais ou os grupos apropriados.

1. Na página de detalhes do aplicativo, clique em User access.
2. Selecione a unidade organizacional ou os grupos que devem ter acesso SSO ao PlaidCloud.
3. Defina o status do serviço como Em.
4. Clique em Salvar.

Testar a integração

Depois que o PlaidCloud confirmar que a configuração está concluída:

1. Acesse o espaço de trabalho do PlaidCloud da sua organização (por exemplo, https://my-workspace.plaid.cloud).
2. Você será redirecionado para a página de login do Google.
3. Entre com suas credenciais do Google Workspace.
4. Após a autenticação bem-sucedida, você será redirecionado de volta ao PlaidCloud.

Se ocorrerem erros, verifique se:

• O SP Entity ID e a ACS URL correspondem exatamente ao que o PlaidCloud forneceu
• O usuário que tenta entrar pertence a uma unidade organizacional ou a um grupo com o aplicativo ativado
• O Name ID format está definido como EMAIL e mapeado para Primary email
• A IdP Metadata URL que você enviou ao PlaidCloud está acessível