Настройване на SAML SSO с Google Workspace (GSuite)

Google Workspace (по-рано G Suite) е повече от имейл и пакет за продуктивност. Конзолата за администратори функционира и като доставчик на самоличност, който може да федерира достъп до приложения на трети страни чрез езика за маркиране на твърдения за сигурност (SAML). Добавянето на Payhawk като персонализирано SAML приложение позволява на екипа ви да влиза с вече използвания от тях акаунт в Google, а вие управлявате достъпа от същата страница Уеб и мобилни приложения, която използвате за всичко останало.

SAML не поддържа удостоверяване, инициирано от доставчика на самоличност. Потребителите ви трябва винаги да започват от страницата за влизане в Payhawk. Когато двуфакторното удостоверяване (2FA) е активирано, то продължава да се прилага и еднократното влизане (SSO) не го замества.

Преди да започнете

• Необходим ви е акаунт на Суперадминистратор за Google Workspace.

• Необходими са ви права на Администратор на Payhawk, за да координирате настройката.

• Подгответе домейните за удостоверяване (например yourcompany.com) – имейл домейните, с които потребителите ви влизат в системата.

• Основният имейл адрес в Google на всеки потребител трябва да съвпада точно с имейл адреса на акаунта му в Payhawk. Несъответствието в имейлите води до неуспешни влизания или дублирани потребители.

• Проверете дали поканените в Payhawk потребители имат достъп до приложението от страна на Google.

• Уверете се, че достъпът до приложението и политиките в Google Workspace или управлението на устройства не пречат на потребителите да използват приложението Payhawk и не блокират достъпа до Payhawk.

Настройки на доставчика на услуги на Payhawk

За да конфигурирате SAML приложението в Google Workspace, използвайте следните стойности в стъпката Данни за доставчика на услуги. Те са еднакви за всички клиенти.

Създаване и конфигуриране на SAML приложението

1. Влезте в конзолата за администриране на Google като Администратор.

2. Навигирайте до Приложения > Уеб и мобилни приложения.

3. Изберете Добавяне на приложение > Добавяне на персонализирано SAML приложение.

4. За име на приложението въведете Payhawk. По желание добавете описание и лого, след което изберете Продължаване.

5. В стъпката Данни за доставчика на самоличност на Google изтеглете файла с метаданни (метаданни на доставчика на самоличност). По-късно ще го изпратите на Payhawk. Изберете Продължаване.

6. В стъпката Данни за доставчика на услуги въведете стойностите на доставчика на услуги на Payhawk:

   • За URL адрес на услугата за приемане на твърдения (ACS) въведете: https://id.payhawk.com/saml2/idpresponse

   • За Идентификатор на обект въведете: urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

   • За Формат на идентификатор на име изберете EMAIL.

   • За Идентификатор на името изберете Основна информация > Основен имейл.

7. Изберете Продължаване.

Съпоставяне на атрибута за имейл

Payhawk изисква един атрибут с име email.

1. В стъпката Съпоставяне на атрибути добавете съпоставяне: Основен имейл → email.

2. Изберете Готово.

Задаване на потребители

1. От Уеб и мобилни приложения изберете новото си приложение Payhawk.

2. Под Потребителски достъп включете услугата за всички или само за конкретните организационни звена и групи, които трябва да използват Payhawk.

3. Проверете дали основният имейл в Google на всеки зададен потребител съвпада с акаунта му в Payhawk.

Експортиране на метаданните на доставчика на самоличност и изпращането им до Payhawk

1. Ако не сте изтеглили метаданните на доставчика на самоличност по време на настройката, отворете приложението Payhawk и под Данни за доставчика на услуги или в общия преглед на приложението изтеглете XML файла с метаданните на доставчика на самоличност. Той съдържа SSO крайната точка, идентификатора на обекта и сертификата за подписване на Google, необходими на Payhawk.

2. Свържете се с Мениджъра си по имплементация на Payhawk и предоставете XML файла с метаданните на доставчика на самоличност, домейна/домейните ви за удостоверяване и потвърждение за съпоставянето на атрибута email.

Payhawk завършва конфигурацията от страна на сървъра, след което ще получите потвърждение, когато SSO е готово за тестване.

Тестване на влизането

1. Отидете на страницата за влизане в Payhawk.

2. Въведете корпоративен имейл адрес в домейн с активирано SSO.

3. Удостоверете се с Google и изпълнете всяка стъпка за за двустепенна проверка или двуфакторно удостоверяване.

4. При успех ще се върнете в Payhawk, но вече влезли в системата.

Промените в SAML приложенията на Google Workspace могат да отнемат до 24 часа, за да се разпространят, въпреки че обикновено стават активни в рамките на минути.

Отстраняване на неизправности

• Пренасочване обратно към страницата за влизане или отказан достъп – Проверете дали атрибутът email се изпраща и дали стойността му съвпада точно с имейла на акаунта в Payhawk.

• Услугата е изключена за потребителя – Приложението Payhawk не е включено за организационното звено или групата на този потребител.

• Неуспешно влизане, инициирано от доставчика на самоличност – Това е очаквано поведение. Потребителите трябва да започват от страницата за влизане в Payhawk, а не от стартовия панел на Google.