设置 Okta SAML 单点登录

PlaidCloud 通过 SAML 2.0 支持单点登录 (SSO)。本指南介绍如何将 Okta 配置为 SAML 身份提供商，使贵组织的用户在访问 PlaidCloud 时可以通过 Okta 进行身份验证。

注意

PlaidCloud 一侧的配置由 PlaidCloud 团队负责。您需要在 Okta 中设置 SAML 应用程序，并向 PlaidCloud 提供您的 Identity Provider Metadata URL。其余配置由 PlaidCloud 支持团队完成。

前提条件

• 具有 Administrator 角色（Super Admin 或 Org Admin）的 Okta 账户
• 与 PlaidCloud 支持团队保持联系，以协调设置并交换配置值

概述

设置过程涉及双方交换 SAML 元数据：

1. 您在 Okta 中配置 一个 SAML 应用程序，并向 PlaidCloud 提供您的 Identity Provider Metadata URL。
2. PlaidCloud 向您提供 完成 Okta 应用程序配置所需的服务提供商 (SP) Entity ID 和 Single Sign-On URL（ACS URL）。

请在完成下面的第 3 步之前，联系 PlaidCloud 支持团队获取 SP 值。

第 1 步：创建新的 SAML 应用程序

1. 登录 Okta Admin console。
2. 在左侧边栏中，导航到 Applications > Applications。
3. 点击 Create App Integration。
4. 选择 SAML 2.0 作为登录方式。
5. 点击 下一步。
6. 输入应用程序的名称（例如 PlaidCloud SSO），也可以选填并上传徽标。
7. 点击 下一步。

第 2 步：配置 SAML 设置

注意

完成此步骤之前，您需要从 PlaidCloud 获得 SP Entity ID 和 Single Sign-On URL (ACS URL)。请联系 PlaidCloud 支持团队获取这些值。

1. 在 Single sign-on URL 字段中，输入 PlaidCloud 提供的 ACS URL。
2. 在 Audience URI (SP Entity ID) 字段中，输入 PlaidCloud 提供的 SP Entity ID。
3. 除非 PlaidCloud 支持团队另有说明，否则将 Default RelayState 留空。
4. 将 Name ID format 设置为 EmailAddress。
5. 将 Application username 设置为 Email。
6. 点击 下一步。

第 3 步：配置属性声明

在同一个 SAML 设置屏幕上，添加属性声明，使 PlaidCloud 在 SAML 断言中获得用户详细信息。

用户属性

在 Attribute Statements 部分，添加以下内容：

名称	名称格式	值
email	Unspecified	user.email
firstName	Unspecified	user.firstName
lastName	Unspecified	user.lastName

分组属性（可选）

如果您的 PlaidCloud 配置使用基于分组的安全角色分配，请添加分组属性声明，使分组成员关系在断言中传递。

在 Group Attribute Statements 部分，添加以下内容：

名称	名称格式	筛选器
groups	Unspecified	Matches regex — .*（或使用更具体的模式来限制包含哪些分组）

注意

请与 PlaidCloud 支持团队讨论所需的分组属性名称和筛选器，以确保基于分组的安全角色分配在 PlaidCloud 中正常工作。

点击 下一步，然后选择 I’m an Okta customer adding an internal app，并点击 Finish。

第 4 步：获取并发送 Identity Provider Metadata URL

创建应用程序后，找到元数据 URL 并将其发送给 PlaidCloud，以便完成集成。

1. 在应用程序详情页面上，选择 Sign On 选项卡。
2. 滚动到 SAML 2.0 部分，点击 More details。
3. 复制 Metadata URL（格式为 https://your-org.okta.com/app/your-app-id/sso/saml/metadata）。

请将此 Metadata URL 发送给 PlaidCloud 支持团队。 这是 PlaidCloud 在身份提供商一侧配置信任关系所需的 Entity Descriptor URL。PlaidCloud 收到此 URL 后，团队将完成 Keycloak 配置，并在 SSO 可以测试时通知您。

第 5 步：将用户和分组分配给应用程序

只有分配给该应用程序的用户和分组才能通过此 SSO 配置进行身份验证。

1. 在应用程序详情页面上，选择 Assignments 选项卡。
2. 点击 Assign，选择 Assign to People 或 Assign to Groups。
3. 选择应拥有 PlaidCloud SSO 访问权限的用户或分组，然后点击 Assign。
4. 点击 完成。

测试集成

PlaidCloud 确认配置完成后：

1. 导航到贵组织的 PlaidCloud 工作区（例如 https://my-workspace.plaid.cloud）。
2. 您将被重定向到 Okta 登录页面。
3. 使用您的 Okta 凭据登录。
4. 身份验证成功后，您将被重定向回 PlaidCloud。

如果遇到错误，请确认：

• ACS URL 和 SP Entity ID 与 PlaidCloud 提供的完全一致
• 尝试登录的用户已在 Okta 中分配给该应用程序
• Name ID format 已设置为 EmailAddress，Application username 已设置为 Email
• 您发送给 PlaidCloud 的 Metadata URL 可以访问