Configurar o SAML do Microsoft Entra ID para início de sessão único

O PlaidCloud suporta o início de sessão único (SSO) através de SAML 2.0. Este guia explica como configurar o Microsoft Entra ID (anteriormente Azure Active Directory) como fornecedor de identidade SAML, para que os utilizadores da sua organização possam autenticar-se através do Entra ao aceder ao PlaidCloud.

Nota

A configuração do lado do PlaidCloud é tratada pela equipa do PlaidCloud. Cabe-lhe configurar a Enterprise Application no Entra e fornecer ao PlaidCloud o seu App Federation Metadata URL. O suporte do PlaidCloud concluirá a restante configuração.

Pré-requisitos

• Um inquilino ativo do Microsoft Entra ID (Azure AD)
• Uma conta com uma das seguintes funções do Entra: Global Administrator, Cloud Application Administrator ou Application Administrator
• Contacto com o suporte do PlaidCloud para coordenar a configuração e trocar os valores de configuração

Descrição geral

O processo de configuração envolve duas partes que trocam metadados SAML:

1. Configura uma Enterprise Application no Entra ID e fornece ao PlaidCloud o seu App Federation Metadata URL.
2. O PlaidCloud fornece-lhe o Entity ID do fornecedor de serviços (SP) e o Reply URL (Assertion Consumer Service URL) necessários para concluir a configuração do Entra.

Coordene com o suporte do PlaidCloud a obtenção dos valores do SP antes de concluir o Passo 3 abaixo.

Passo 1: Criar uma Enterprise Application

1. Inicie sessão no portal do Azure e aceda ao Microsoft Entra ID.
2. Na barra lateral esquerda, selecione Enterprise Applications.
3. Clique em + New application.
4. Clique em + Create your own application.
5. Introduza um nome para a aplicação (por exemplo, PlaidCloud SSO).
6. Selecione Integrate any other application you don’t find in the gallery (Non-gallery).
7. Clique em Criar.

Passo 2: Ativar o início de sessão único baseado em SAML

1. Depois de a aplicação ser criada, selecione Single sign-on na barra lateral esquerda, em Gerir.
2. No ecrã “Select a single sign-on method”, clique em SAML.

Passo 3: Configurar as definições SAML básicas

Nota

Vai precisar do SP Entity ID e do Reply URL (ACS URL) do PlaidCloud antes de concluir este passo. Contacte o suporte do PlaidCloud para obter estes valores.

1. Na secção Basic SAML Configuration, clique em Editar.
2. No campo Identifier (Entity ID), introduza o SP Entity ID fornecido pelo PlaidCloud.
3. No campo Reply URL (Assertion Consumer Service URL), introduza o ACS URL fornecido pelo PlaidCloud.
4. Clique em Guardar.

Passo 4: Configurar atributos e afirmações

Por predefinição, o Entra transmite o endereço de correio eletrónico e o nome do utilizador na asserção SAML. Se a sua configuração do PlaidCloud utilizar atribuições de grupos de segurança a partir do SSO, deve incluir também afirmações de grupo.

Adicionar afirmações de grupo

1. Na secção Attributes & Claims, clique em Editar.
2. Clique em + Add a group claim.
3. Escolha Groups assigned to the application (recomendado para limitar o tamanho do token).
4. Em Source attribute, selecione um valor adequado:
   • ID do grupo — transmite o Azure Object ID (UUID) do grupo
   • Cloud-only group display names — transmite o nome legível do grupo (para grupos apenas na nuvem)
   • sAMAccountName — transmite o nome do grupo no local (para ambientes híbridos/sincronizados)
5. Clique em Guardar.

Nota

Combine com o suporte do PlaidCloud qual o formato do atributo de grupo esperado, para que as atribuições de funções de segurança baseadas em grupos funcionem corretamente no PlaidCloud.

Passo 5: Atribuir utilizadores e grupos à aplicação

Apenas os utilizadores e grupos atribuídos à Enterprise Application poderão autenticar-se através desta configuração de SSO.

1. Na barra lateral esquerda, selecione Users and groups em Gerir.
2. Clique em + Add user/group.
3. Selecione os utilizadores ou grupos que devem ter acesso SSO ao PlaidCloud.
4. Clique em Atribuir.

Passo 6: Obter e enviar o App Federation Metadata URL

Depois de a aplicação estar configurada, localize o Federation Metadata URL e envie-o ao PlaidCloud para que a integração possa ser concluída.

1. Aceda à página Single sign-on da sua Enterprise Application.
2. Desloque-se até à secção SAML Certificates.
3. Copie o App Federation Metadata URL.

Envie este URL ao suporte do PlaidCloud. Este é o URL do Entity Descriptor de que o PlaidCloud precisa para configurar a relação de confiança do lado do fornecedor de identidade. Assim que o PlaidCloud receber este URL, a equipa concluirá a configuração do Keycloak e avisá-lo-á quando o SSO estiver pronto para teste.

Testar a integração

Depois de o PlaidCloud confirmar que a configuração está concluída:

1. Aceda à área de trabalho PlaidCloud da sua organização (por exemplo, https://my-workspace.plaid.cloud).
2. Será redirecionado para a página de início de sessão da Microsoft.
3. Inicie sessão com as suas credenciais do Entra ID.
4. Após a autenticação com êxito, será redirecionado de volta para o PlaidCloud.

Se ocorrerem erros, verifique se:

• O SP Entity ID e o Reply URL correspondem exatamente ao que o PlaidCloud forneceu
• O utilizador que tenta iniciar sessão está atribuído à Enterprise Application
• O App Federation Metadata URL que enviou ao PlaidCloud está acessível (não está bloqueado por uma firewall ou por uma política de acesso condicional)