Configurar o SAML do Okta para início de sessão único

O PlaidCloud suporta o início de sessão único (SSO) através de SAML 2.0. Este guia explica como configurar o Okta como fornecedor de identidade SAML, para que os utilizadores da sua organização possam autenticar-se através do Okta ao aceder ao PlaidCloud.

Pré-requisitos

Uma conta do Okta com a função de Administrator (Super Admin ou Org Admin)
Contacto com o suporte do PlaidCloud para coordenar a configuração e trocar os valores de configuração

Descrição geral

O processo de configuração envolve duas partes que trocam metadados SAML:

Configura uma aplicação SAML no Okta e fornece ao PlaidCloud o seu Identity Provider Metadata URL.
O PlaidCloud fornece-lhe o Entity ID do fornecedor de serviços (SP) e o Single Sign-On URL (ACS URL) necessários para concluir a configuração da aplicação no Okta.

Coordene com o suporte do PlaidCloud a obtenção dos valores do SP antes de concluir o Passo 3 abaixo.

Passo 1: Criar uma nova aplicação SAML

Inicie sessão na Okta Admin console.
Na barra lateral esquerda, aceda a Applications > Applications.
Clique em Create App Integration.
Selecione SAML 2.0 como método de início de sessão.
Clique em Seguinte.
Introduza um nome para a aplicação (por exemplo, PlaidCloud SSO) e, opcionalmente, carregue um logótipo.
Clique em Seguinte.

Passo 2: Configurar as definições SAML

No campo Single sign-on URL, introduza o ACS URL fornecido pelo PlaidCloud.
No campo Audience URI (SP Entity ID), introduza o SP Entity ID fornecido pelo PlaidCloud.
Deixe o Default RelayState em branco, a menos que o suporte do PlaidCloud indique o contrário.
Defina o Name ID format como EmailAddress.
Defina o Application username como Correio eletrónico.
Clique em Seguinte.

Passo 3: Configurar as declarações de atributos

No mesmo ecrã de definições SAML, adicione declarações de atributos para que o PlaidCloud receba os detalhes do utilizador na asserção SAML.

Atributos do utilizador

Na secção Attribute Statements, adicione o seguinte:

Nome	Formato do nome	Valor
`email`	Unspecified	`user.email`
`firstName`	Unspecified	`user.firstName`
`lastName`	Unspecified	`user.lastName`

Atributos de grupo (opcional)

Se a sua configuração do PlaidCloud utilizar atribuições de funções de segurança baseadas em grupos, adicione uma declaração de atributo de grupo para que a associação a grupos seja transmitida na asserção.

Na secção Group Attribute Statements, adicione o seguinte:

Nome	Formato do nome	Filtro
`groups`	Unspecified	Matches regex — `.*` (ou um padrão mais específico para limitar os grupos incluídos)

Clique em Seguinte, selecione I’m an Okta customer adding an internal app e clique em Finish.

Passo 4: Obter e enviar o Identity Provider Metadata URL

Depois de a aplicação ser criada, localize o URL de metadados e envie-o ao PlaidCloud para que a integração possa ser concluída.

Na página de detalhes da aplicação, selecione o separador Sign On.
Desloque-se até à secção SAML 2.0 e clique em More details.
Copie o Metadata URL (com o formato https://your-org.okta.com/app/your-app-id/sso/saml/metadata).

Envie este Metadata URL ao suporte do PlaidCloud. Este é o URL do Entity Descriptor de que o PlaidCloud precisa para configurar a relação de confiança do lado do fornecedor de identidade. Assim que o PlaidCloud receber este URL, a equipa concluirá a configuração do Keycloak e avisá-lo-á quando o SSO estiver pronto para teste.

Passo 5: Atribuir utilizadores e grupos à aplicação

Apenas os utilizadores e grupos atribuídos à aplicação poderão autenticar-se através desta configuração de SSO.

Na página de detalhes da aplicação, selecione o separador Assignments.
Clique em Atribuir e escolha Assign to People ou Assign to Groups.
Selecione os utilizadores ou grupos que devem ter acesso SSO ao PlaidCloud e clique em Atribuir.
Clique em Concluído.

Testar a integração

Depois de o PlaidCloud confirmar que a configuração está concluída:

Aceda à área de trabalho PlaidCloud da sua organização (por exemplo, https://my-workspace.plaid.cloud).
Será redirecionado para a página de início de sessão do Okta.
Inicie sessão com as suas credenciais do Okta.
Após a autenticação com êxito, será redirecionado de volta para o PlaidCloud.

Se ocorrerem erros, verifique se:

O ACS URL e o SP Entity ID correspondem exatamente ao que o PlaidCloud forneceu
O utilizador que tenta iniciar sessão está atribuído à aplicação no Okta
O Name ID format está definido como EmailAddress e o Application username está definido como Correio eletrónico
O Metadata URL que enviou ao PlaidCloud está acessível