Configurar o SAML do Auth0 para início de sessão único

O PlaidCloud suporta o início de sessão único (SSO) através de SAML 2.0. Este guia explica como configurar o Auth0 como fornecedor de identidade SAML, para que os utilizadores da sua organização possam autenticar-se através do Auth0 ao aceder ao PlaidCloud.

Nota

A configuração do lado do PlaidCloud é tratada pela equipa do PlaidCloud. Cabe-lhe configurar a aplicação SAML no Auth0 e fornecer ao PlaidCloud o seu Identity Provider Metadata URL. O suporte do PlaidCloud concluirá a restante configuração.

Pré-requisitos

• Um inquilino do Auth0
• Uma conta do Auth0 com a função de Administrator
• Contacto com o suporte do PlaidCloud para coordenar a configuração e trocar os valores de configuração

Descrição geral

O processo de configuração envolve duas partes que trocam metadados SAML:

1. Configura uma aplicação no Auth0 com o addon SAML2 Web App ativado e fornece ao PlaidCloud o seu Identity Provider Metadata URL.
2. O PlaidCloud fornece-lhe o Entity ID do fornecedor de serviços (SP) e o ACS URL (Assertion Consumer Service URL) necessários para concluir a configuração da aplicação no Auth0.

Coordene com o suporte do PlaidCloud a obtenção dos valores do SP antes de concluir o Passo 3 abaixo.

Passo 1: Criar uma aplicação

1. Inicie sessão no Auth0 Dashboard.
2. Na barra lateral esquerda, aceda a Applications > Applications.
3. Clique em Create Application.
4. Introduza um nome para a aplicação (por exemplo, PlaidCloud SSO).
5. Selecione Regular Web Applications como tipo de aplicação.
6. Clique em Create.

Passo 2: Ativar o addon SAML2 Web App

1. Na página de detalhes da aplicação, selecione o separador Addons.
2. Clique no addon SAML2 Web App para o ativar.
3. O painel de definições do addon abrir-se-á. Deixe-o aberto — vai configurá-lo no passo seguinte.

Passo 3: Configurar as definições SAML

Nota

Vai precisar do SP Entity ID e do ACS URL do PlaidCloud antes de concluir este passo. Contacte o suporte do PlaidCloud para obter estes valores.

No painel de definições do addon SAML2 Web App:

1. No campo Application Callback URL, introduza o ACS URL fornecido pelo PlaidCloud.
2. No editor JSON de Settings, defina o campo audience com o SP Entity ID fornecido pelo PlaidCloud:

{
  "audience": "your-sp-entity-id-from-plaidcloud",
  "mappings": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress",
    "given_name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname",
    "family_name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname"
  },
  "nameIdentifierFormat": "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress",
  "nameIdentifierProbes": [
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"
  ]
}

3. Clique em Enable (ou Save) para aplicar as definições.

Passo 4: Obter e enviar o Identity Provider Metadata URL

Depois de o addon estar ativado, localize o URL de metadados e envie-o ao PlaidCloud para que a integração possa ser concluída.

1. No painel de definições do addon SAML2 Web App, selecione o separador Usage.
2. Copie o URL de Identity Provider Metadata (com o formato https://{your-auth0-domain}/samlp/metadata/{client-id}).

Envie este Metadata URL ao suporte do PlaidCloud. Este é o URL do Entity Descriptor de que o PlaidCloud precisa para configurar a relação de confiança do lado do fornecedor de identidade. Assim que o PlaidCloud receber este URL, a equipa concluirá a configuração do Keycloak e avisá-lo-á quando o SSO estiver pronto para teste.

Passo 5: Configurar mapeamentos de atributos para grupos (opcional)

Se a sua configuração do PlaidCloud utilizar atribuições de funções de segurança baseadas em grupos, pode transmitir a associação a grupos através da asserção SAML, utilizando regras ou ações do Auth0.

Utilizar Auth0 Actions

1. Na barra lateral esquerda, aceda a Actions > Library.
2. Clique em Build Custom e crie uma nova ação para o acionador Login / Post Login.
3. Adicione lógica para acrescentar informações de grupos à asserção SAML. Por exemplo, se os grupos estiverem guardados como metadados do utilizador:

exports.onExecutePostLogin = async (event, api) => {
  const groups = event.user.app_metadata?.groups || [];
  api.samlResponse.setAttribute("groups", groups);
};

4. Implemente a ação e adicione-a ao fluxo de Login.

Nota

Combine com o suporte do PlaidCloud qual o nome e o formato do atributo de grupo esperados, para que as atribuições de funções de segurança baseadas em grupos funcionem corretamente no PlaidCloud.

Passo 6: Controlar o acesso dos utilizadores

O Auth0 controla quais os utilizadores que se podem autenticar com base nas ligações e regras associadas à aplicação.

1. Na página de detalhes da aplicação, selecione o separador Connections.
2. Ative as ligações adequadas (por exemplo, a ligação de base de dados da sua organização, o Active Directory ou ligações sociais) para esta aplicação.
3. Desative quaisquer ligações que não devam ter acesso ao PlaidCloud.

Para restringir o acesso a utilizadores específicos dentro de uma ligação, utilize Auth0 Actions ou Rules para permitir ou recusar a autenticação com base nos atributos do utilizador ou na associação a grupos.

Testar a integração

Depois de o PlaidCloud confirmar que a configuração está concluída:

1. Aceda à área de trabalho PlaidCloud da sua organização (por exemplo, https://my-workspace.plaid.cloud).
2. Será redirecionado para a página de início de sessão do Auth0 (ou para o início de sessão da ligação configurada).
3. Inicie sessão com as suas credenciais do Auth0.
4. Após a autenticação com êxito, será redirecionado de volta para o PlaidCloud.

Se ocorrerem erros, verifique se:

• O Application Callback URL e o audience correspondem exatamente ao que o PlaidCloud forneceu
• O addon SAML2 Web App está ativado na aplicação
• O nameIdentifierFormat está definido para o formato de endereço de correio eletrónico
• O Metadata URL que enviou ao PlaidCloud está acessível
• A ligação do utilizador está ativada na aplicação