Configurar o SAML do Google Workspace para início de sessão único

O PlaidCloud suporta o início de sessão único (SSO) através de SAML 2.0. Este guia explica como configurar o Google Workspace como fornecedor de identidade SAML, para que os utilizadores da sua organização possam autenticar-se através da Google ao aceder ao PlaidCloud.

Nota

A configuração do lado do PlaidCloud é tratada pela equipa do PlaidCloud. Cabe-lhe configurar a aplicação SAML personalizada no Google Workspace e fornecer ao PlaidCloud o seu IdP Metadata URL. O suporte do PlaidCloud concluirá a restante configuração.

Pré-requisitos

• Uma conta do Google Workspace (Business Starter ou superior)
• Uma conta do Google Workspace com a função de Super Admin
• Contacto com o suporte do PlaidCloud para coordenar a configuração e trocar os valores de configuração

Descrição geral

O processo de configuração envolve duas partes que trocam metadados SAML:

1. Configura uma aplicação SAML personalizada no Google Workspace e fornece ao PlaidCloud o seu IdP Metadata URL.
2. O PlaidCloud fornece-lhe o Entity ID do fornecedor de serviços (SP) e o ACS URL (Assertion Consumer Service URL) necessários para concluir a configuração do Google Workspace.

Coordene com o suporte do PlaidCloud a obtenção dos valores do SP antes de concluir o Passo 3 abaixo.

Passo 1: Criar uma aplicação SAML personalizada

1. Inicie sessão na Google Admin console como Super Admin.
2. Aceda a Aplicações > Web and mobile apps.
3. Clique em Add app > Add custom SAML app.
4. Introduza um nome para a aplicação (por exemplo, PlaidCloud SSO) e, opcionalmente, adicione uma descrição e um ícone.
5. Clique em Continuar.

Passo 2: Obter o IdP Metadata URL

No ecrã Google Identity Provider details, a Google apresenta as informações do fornecedor de identidade de que o PlaidCloud necessita.

1. Copie o SSO URL e o Entity ID e transfira o Certificate — ou
2. Clique em Copiar junto ao URL de IDP metadata (com o formato https://accounts.google.com/o/saml2/idp?idpid=XXXXXXXXX).

Envie este IdP Metadata URL ao suporte do PlaidCloud. Este é o URL do Entity Descriptor de que o PlaidCloud precisa para configurar a relação de confiança do lado do fornecedor de identidade. Assim que o PlaidCloud receber este URL, a equipa concluirá a configuração do Keycloak e avisá-lo-á quando o SSO estiver pronto para teste.

3. Clique em Continuar para avançar para a configuração do fornecedor de serviços.

Passo 3: Configurar os detalhes do fornecedor de serviços

Nota

Vai precisar do SP Entity ID e do ACS URL do PlaidCloud antes de concluir este passo. Contacte o suporte do PlaidCloud para obter estes valores.

1. No campo ACS URL, introduza o ACS URL fornecido pelo PlaidCloud.
2. No campo Entity ID, introduza o SP Entity ID fornecido pelo PlaidCloud.
3. Deixe o Start URL em branco, a menos que o suporte do PlaidCloud indique o contrário.
4. Defina o Name ID format como EMAIL.
5. Defina o Name ID como Informações básicas > Primary email.
6. Clique em Continuar.

Passo 4: Configurar o mapeamento de atributos

O Google Workspace transmite os atributos do utilizador ao PlaidCloud na asserção SAML. No mínimo, mapeie o endereço de correio eletrónico do utilizador. Se a sua configuração do PlaidCloud utilizar atribuições de funções de segurança baseadas em grupos, mapeie também a associação a grupos.

Mapeamento de atributos básico

Adicione os seguintes mapeamentos de atributos no ecrã Attribute mapping:

Google Directory attribute	App attribute
Primary email	email
First name	firstName
Last name	lastName

Clique em Add mapping para adicionar cada linha.

Associação a grupos (opcional)

Se pretender que o PlaidCloud atribua automaticamente os utilizadores a grupos de segurança com base na sua associação a grupos da Google:

1. Clique em Add mapping.
2. Em Google Directory attributes, selecione Group membership e escolha os Google Groups relevantes.
3. Defina o nome do App attribute como groups (confirme o nome esperado com o suporte do PlaidCloud).

Nota

Combine com o suporte do PlaidCloud qual o nome e o formato do atributo de grupo esperados, para que as atribuições de funções de segurança baseadas em grupos funcionem corretamente no PlaidCloud.

Clique em Finish.

Passo 5: Ativar a aplicação para os utilizadores

Por predefinição, uma nova aplicação SAML está desativada para todos os utilizadores. Ative-a para as unidades organizacionais ou os grupos adequados.

1. Na página de detalhes da aplicação, clique em User access.
2. Selecione a unidade organizacional ou os grupos que devem ter acesso SSO ao PlaidCloud.
3. Defina o estado do serviço como ON.
4. Clique em Guardar.

Testar a integração

Depois de o PlaidCloud confirmar que a configuração está concluída:

1. Aceda à área de trabalho PlaidCloud da sua organização (por exemplo, https://my-workspace.plaid.cloud).
2. Será redirecionado para a página de início de sessão da Google.
3. Inicie sessão com as suas credenciais do Google Workspace.
4. Após a autenticação com êxito, será redirecionado de volta para o PlaidCloud.

Se ocorrerem erros, verifique se:

• O SP Entity ID e o ACS URL correspondem exatamente ao que o PlaidCloud forneceu
• O utilizador que tenta iniciar sessão pertence a uma unidade organizacional ou a um grupo com a aplicação ativada
• O Name ID format está definido como EMAIL e mapeado para Primary email
• O IdP Metadata URL que enviou ao PlaidCloud está acessível