Configurar o SAML do Okta para logon único

O PlaidCloud oferece suporte ao logon único (SSO) via SAML 2.0. Este guia mostra como configurar o Okta como provedor de identidade SAML para que os usuários da sua organização se autentiquem pelo Okta ao acessar o PlaidCloud.

Pré-requisitos

Uma conta do Okta com a função Administrator (Super Admin ou Org Admin)
Contato com o suporte do PlaidCloud para coordenar a configuração e trocar os valores de configuração

Visão geral

O processo de configuração envolve duas partes que trocam metadados SAML:

Você configura um aplicativo SAML no Okta e fornece ao PlaidCloud a Identity Provider Metadata URL.
O PlaidCloud fornece o Entity ID do provedor de serviço (SP) e a Single Sign-On URL (ACS URL) necessários para concluir a configuração do seu aplicativo no Okta.

Coordene com o suporte do PlaidCloud para obter os valores do SP antes de concluir a Etapa 3 abaixo.

Etapa 1: criar um novo aplicativo SAML

Entre no Okta Admin console.
Na barra lateral esquerda, acesse Applications > Applications.
Clique em Create App Integration.
Selecione SAML 2.0 como o método de login.
Clique em Avançar.
Insira um nome para o aplicativo (por exemplo, PlaidCloud SSO) e, opcionalmente, envie um logotipo.
Clique em Avançar.

Etapa 2: configurar as definições do SAML

No campo Single sign-on URL, insira a ACS URL fornecida pelo PlaidCloud.
No campo Audience URI (SP Entity ID), insira o SP Entity ID fornecido pelo PlaidCloud.
Deixe Default RelayState em branco, a menos que o suporte do PlaidCloud oriente de outra forma.
Defina Name ID format como EmailAddress.
Defina Application username como E-mail.
Clique em Avançar.

Etapa 3: configurar as instruções de atributos

Na mesma tela de configurações do SAML, adicione instruções de atributos para que o PlaidCloud receba os detalhes do usuário na asserção SAML.

Atributos do usuário

Na seção Attribute Statements, adicione o seguinte:

Nome	Formato do nome	Valor
`email`	Unspecified	`user.email`
`firstName`	Unspecified	`user.firstName`
`lastName`	Unspecified	`user.lastName`

Atributos de grupo (opcional)

Se a sua configuração do PlaidCloud usa atribuições de funções de segurança baseadas em grupos, adicione uma instrução de atributo de grupo para que a associação a grupos seja passada na asserção.

Na seção Group Attribute Statements, adicione o seguinte:

Nome	Formato do nome	Filtro
`groups`	Unspecified	Matches regex: `.*` (ou um padrão mais específico para limitar quais grupos são incluídos)

Clique em Avançar, selecione I’m an Okta customer adding an internal app e clique em Finish.

Etapa 4: obter e enviar a Identity Provider Metadata URL

Depois que o aplicativo for criado, localize a URL de metadados e envie-a ao PlaidCloud para que a integração possa ser concluída.

Na página de detalhes do aplicativo, selecione a guia Sign On.
Role até a seção SAML 2.0 e clique em More details.
Copie a Metadata URL (no formato https://your-org.okta.com/app/your-app-id/sso/saml/metadata).

Envie esta Metadata URL ao suporte do PlaidCloud. Esta é a URL do Entity Descriptor de que o PlaidCloud precisa para configurar a relação de confiança no lado do provedor de identidade. Quando o PlaidCloud receber essa URL, a equipe concluirá a configuração do Keycloak e avisará você quando o SSO estiver pronto para teste.

Etapa 5: atribuir usuários e grupos ao aplicativo

Somente os usuários e grupos atribuídos ao aplicativo poderão se autenticar por meio desta configuração de SSO.

Na página de detalhes do aplicativo, selecione a guia Assignments.
Clique em Atribuir e escolha Assign to People ou Assign to Groups.
Selecione os usuários ou grupos que devem ter acesso SSO ao PlaidCloud e clique em Atribuir.
Clique em Concluído.

Testar a integração

Depois que o PlaidCloud confirmar que a configuração está concluída:

Acesse o espaço de trabalho do PlaidCloud da sua organização (por exemplo, https://my-workspace.plaid.cloud).
Você será redirecionado para a página de login do Okta.
Entre com suas credenciais do Okta.
Após a autenticação bem-sucedida, você será redirecionado de volta ao PlaidCloud.

Se ocorrerem erros, verifique se:

A ACS URL e o SP Entity ID correspondem exatamente ao que o PlaidCloud forneceu
O usuário que tenta entrar está atribuído ao aplicativo no Okta
O Name ID format está definido como EmailAddress e o application username está definido como E-mail
A Metadata URL que você enviou ao PlaidCloud está acessível