设置 Google Workspace SAML 单点登录

PlaidCloud 通过 SAML 2.0 支持单点登录 (SSO)。本指南介绍如何将 Google Workspace 配置为 SAML 身份提供商，使贵组织的用户在访问 PlaidCloud 时可以通过 Google 进行身份验证。

注意

PlaidCloud 一侧的配置由 PlaidCloud 团队负责。您需要在 Google Workspace 中设置自定义 SAML 应用，并向 PlaidCloud 提供您的 IdP Metadata URL。其余配置由 PlaidCloud 支持团队完成。

前提条件

• 一个 Google Workspace 账户（Business Starter 或更高版本）
• 具有 Super Admin 角色的 Google Workspace 账户
• 与 PlaidCloud 支持团队保持联系，以协调设置并交换配置值

概述

设置过程涉及双方交换 SAML 元数据：

1. 您在 Google Workspace 中配置 一个自定义 SAML 应用，并向 PlaidCloud 提供您的 IdP Metadata URL。
2. PlaidCloud 向您提供 完成 Google Workspace 配置所需的服务提供商 (SP) Entity ID 和 ACS URL（断言使用方服务 URL）。

请在完成下面的第 3 步之前，联系 PlaidCloud 支持团队获取 SP 值。

第 1 步：创建自定义 SAML 应用

1. 以 Super Admin 身份登录 Google Admin console。
2. 导航到 Apps > Web and mobile apps。
3. 点击 Add app > Add custom SAML app。
4. 输入应用的名称（例如 PlaidCloud SSO），也可以选填说明并添加图标。
5. 点击 Continue。

第 2 步：获取 IdP Metadata URL

在 Google Identity Provider details 屏幕上，Google 会显示 PlaidCloud 所需的身份提供商信息。

1. 复制 SSO URL 和 Entity ID，并下载 Certificate；或者
2. 点击 IDP metadata URL 旁边的 Copy（格式为 https://accounts.google.com/o/saml2/idp?idpid=XXXXXXXXX）。

请将此 IdP Metadata URL 发送给 PlaidCloud 支持团队。 这是 PlaidCloud 在身份提供商一侧配置信任关系所需的 Entity Descriptor URL。PlaidCloud 收到此 URL 后，团队将完成 Keycloak 配置，并在 SSO 可以测试时通知您。

3. 点击 Continue，继续进行服务提供商配置。

第 3 步：配置服务提供商详细信息

注意

完成此步骤之前，您需要从 PlaidCloud 获得 SP Entity ID 和 ACS URL。请联系 PlaidCloud 支持团队获取这些值。

1. 在 ACS URL 字段中，输入 PlaidCloud 提供的 ACS URL。
2. 在 Entity ID 字段中，输入 PlaidCloud 提供的 SP Entity ID。
3. 除非 PlaidCloud 支持团队另有说明，否则将 Start URL 留空。
4. 将 Name ID format 设置为 EMAIL。
5. 将 Name ID 设置为 Basic Information > Primary email。
6. 点击 Continue。

第 4 步：配置属性映射

Google Workspace 在 SAML 断言中将用户属性传递给 PlaidCloud。至少需要映射用户的电子邮件地址。如果您的 PlaidCloud 配置使用基于分组的安全角色分配，还需要映射分组成员关系。

基本属性映射

在 Attribute mapping 屏幕上添加以下属性映射：

Google Directory 属性	应用属性
Primary email	email
First name	firstName
Last name	lastName

点击 Add mapping 添加每一行。

分组成员关系（可选）

如果希望 PlaidCloud 根据用户的 Google 分组成员关系自动将其分配到安全组：

1. 点击 Add mapping。
2. 在 Google Directory attributes 下，选择 Group membership，并选择相关的 Google 群组。
3. 将 App attribute 名称设置为 groups（请与 PlaidCloud 支持团队确认所需的名称）。

注意

请与 PlaidCloud 支持团队讨论所需的分组属性名称和格式，以确保基于分组的安全角色分配在 PlaidCloud 中正常工作。

点击 Finish。

第 5 步：为用户启用应用

默认情况下，新的 SAML 应用对所有用户处于禁用状态。请为相应的组织单位或分组启用它。

1. 在应用详情页面上，点击 User access。
2. 选择应拥有 PlaidCloud SSO 访问权限的组织单位或分组。
3. 将服务状态设置为 ON。
4. 点击 Save。

测试集成

PlaidCloud 确认配置完成后：

1. 导航到贵组织的 PlaidCloud 工作区（例如 https://my-workspace.plaid.cloud）。
2. 您将被重定向到 Google 登录页面。
3. 使用您的 Google Workspace 凭据登录。
4. 身份验证成功后，您将被重定向回 PlaidCloud。

如果遇到错误，请确认：

• SP Entity ID 和 ACS URL 与 PlaidCloud 提供的完全一致
• 尝试登录的用户属于已启用该应用的组织单位或分组
• Name ID format 已设置为 EMAIL，并映射到 Primary email
• 您发送给 PlaidCloud 的 IdP Metadata URL 可以访问