设置 Microsoft Entra ID SAML 单点登录

PlaidCloud 通过 SAML 2.0 支持单点登录 (SSO)。本指南介绍如何将 Microsoft Entra ID（原 Azure Active Directory）配置为 SAML 身份提供商，使贵组织的用户在访问 PlaidCloud 时可以通过 Entra 进行身份验证。

注意

PlaidCloud 一侧的配置由 PlaidCloud 团队负责。您需要在 Entra 中设置企业应用程序，并向 PlaidCloud 提供您的 App Federation Metadata URL。其余配置由 PlaidCloud 支持团队完成。

前提条件

• 一个有效的 Microsoft Entra ID (Azure AD) 租户
• 拥有以下任一 Entra 角色的账户：Global Administrator、Cloud Application Administrator 或 Application Administrator
• 与 PlaidCloud 支持团队保持联系，以协调设置并交换配置值

概述

设置过程涉及双方交换 SAML 元数据：

1. 您在 Entra ID 中配置 一个企业应用程序，并向 PlaidCloud 提供您的 App Federation Metadata URL。
2. PlaidCloud 向您提供 完成 Entra 配置所需的服务提供商 (SP) Entity ID 和 Reply URL（断言使用方服务 URL）。

请在完成下面的第 3 步之前，联系 PlaidCloud 支持团队获取 SP 值。

第 1 步：创建企业应用程序

1. 登录 Azure portal，导航到 Microsoft Entra ID。
2. 在左侧边栏中，选择 Enterprise Applications。
3. 点击 + New application。
4. 点击 + Create your own application。
5. 输入应用程序的名称（例如 PlaidCloud SSO）。
6. 选择 Integrate any other application you don’t find in the gallery (Non-gallery)。
7. 点击 Create。

第 2 步：启用基于 SAML 的单点登录

1. 创建应用程序后，在左侧边栏的 Manage 下选择 Single sign-on。
2. 在“Select a single sign-on method”屏幕上，点击 SAML。

第 3 步：配置基本 SAML 设置

注意

完成此步骤之前，您需要从 PlaidCloud 获得 SP Entity ID 和 Reply URL (ACS URL)。请联系 PlaidCloud 支持团队获取这些值。

1. 在 Basic SAML Configuration 部分，点击 Edit。
2. 在 Identifier (Entity ID) 字段中，输入 PlaidCloud 提供的 SP Entity ID。
3. 在 Reply URL (Assertion Consumer Service URL) 字段中，输入 PlaidCloud 提供的 ACS URL。
4. 点击 Save。

第 4 步：配置属性和声明

默认情况下，Entra 会在 SAML 断言中传递用户的电子邮件地址和姓名。如果您的 PlaidCloud 配置使用来自 SSO 的安全组分配，还应包含分组声明。

添加分组声明

1. 在 Attributes & Claims 部分，点击 Edit。
2. 点击 + Add a group claim。
3. 选择 Groups assigned to the application（建议使用，以限制令牌大小）。
4. 在 Source attribute 下，选择合适的值：
   • Group ID — 传递分组的 Azure Object ID (UUID)
   • Cloud-only group display names — 传递便于阅读的分组名称（适用于仅云端分组）
   • sAMAccountName — 传递本地分组名称（适用于混合/同步环境）
5. 点击 Save。

注意

请与 PlaidCloud 支持团队讨论所需的分组属性格式，以确保基于分组的安全角色分配在 PlaidCloud 中正常工作。

第 5 步：将用户和分组分配给应用程序

只有分配给该企业应用程序的用户和分组才能通过此 SSO 配置进行身份验证。

1. 在左侧边栏的 Manage 下，选择 Users and groups。
2. 点击 + Add user/group。
3. 选择应拥有 PlaidCloud SSO 访问权限的用户或分组。
4. 点击 Assign。

第 6 步：获取并发送 App Federation Metadata URL

配置好应用程序后，找到 Federation Metadata URL 并发送给 PlaidCloud，以便完成集成。

1. 导航到企业应用程序的 Single sign-on 页面。
2. 滚动到 SAML Certificates 部分。
3. 复制 App Federation Metadata URL。

请将此 URL 发送给 PlaidCloud 支持团队。 这是 PlaidCloud 在身份提供商一侧配置信任关系所需的 Entity Descriptor URL。PlaidCloud 收到此 URL 后，团队将完成 Keycloak 配置，并在 SSO 可以测试时通知您。

测试集成

PlaidCloud 确认配置完成后：

1. 导航到贵组织的 PlaidCloud 工作区（例如 https://my-workspace.plaid.cloud）。
2. 您将被重定向到 Microsoft 登录页面。
3. 使用您的 Entra ID 凭据登录。
4. 身份验证成功后，您将被重定向回 PlaidCloud。

如果遇到错误，请确认：

• SP Entity ID 和 Reply URL 与 PlaidCloud 提供的完全一致
• 尝试登录的用户已分配给该企业应用程序
• 您发送给 PlaidCloud 的 App Federation Metadata URL 可以访问（未被防火墙或条件访问策略阻止）