Настройване на SAML SSO с JumpCloud

JumpCloud е облачна платформа за директории – съвременна алтернатива на локалната Active Directory, която обединява управлението на самоличности, еднократното влизане (SSO) и устройства в една конзола. Payhawk поддържа JumpCloud като доставчик на самоличности за SSO чрез eзика за маркиране на твърдения за сигурност (SAML), така че екипът ви може да влиза с идентификационните си данни за JumpCloud, а вие управлявате този достъп заедно с потребителите и устройствата, които вече администрирате там.

SAML не поддържа удостоверяване, инициирано от доставчика на самоличност. Потребителите ви трябва винаги да започват от страницата за влизане в Payhawk. Когато двуфакторното удостоверяване (2FA) е активирано, то продължава да се прилага и еднократното влизане (SSO) не го замества.

Преди да започнете

• Необходим ви е достъп като Администратор до JumpCloud Admin Console.

• Необходими са ви права на Администратор на Payhawk, за да координирате настройката.

• Подгответе домейните за удостоверяване (например yourcompany.com) – имейл домейните, с които потребителите ви влизат в системата.

• Имейлът, който JumpCloud изпраща за всеки потребител, трябва да съвпада точно с имейла на акаунта му в Payhawk. Несъответствието в имейлите води до неуспешни влизания или дублирани потребители.

Настройки на доставчика на услуги на Payhawk

За да конфигурирате SAML приложението в JumpCloud, използвайте следните стойности. Те са еднакви за всички клиенти.

Създаване и конфигуриране на SAML приложението

1. Отворете JumpCloud Admin Console и създайте ново SSO приложение с име Payhawk, като използвате опцията Custom SAML App (Персонализирано SAML приложение).

2. Конфигурирайте следните основни параметри:

   • IdP Entity ID и SP Entity ID (Идентификатор на обект на доставчика на самоличност и на доставчика на услуги): Използвайте идентификатора на обект на доставчика на услуги, предоставен от Payhawk: urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p.

   • ACS URL (URL адрес на услугата за приемане на твърдения): Въведете https://id.payhawk.com/saml2/idpresponse.

   • SAML Subject NameID (Идентификатор на име на SAML субект): Задайте стойност email.

   • SAML Subject NameID Format (Формат на идентификатор на име на SAML субект): Изберете emailAddress.

   • Declare Redirect Endpoint (Обявяване на крайна точка за пренасочване): Активирайте тази настройка.

   • IdP URL (URL адрес на доставчика на самоличност): Посочете URL адреса на JumpCloud за SSO на доставчика на самоличност за това приложение.

Съпоставяне на атрибута за имейл

Payhawk изисква един атрибут с име email.

1. В секцията Attributes (Атрибути) на приложението добавете съпоставяне на потребителски атрибут, като зададете Service Provider Attribute Name (Име на атрибут на доставчика на услуги) на email и JumpCloud Attribute Name (Име на атрибут на JumpCloud) на email.

2. Проверете дали атрибутът е включен в SAML твърдението, изпратено до Payhawk.

Задаване на потребители

1. В раздела User Groups (Групи потребители) на приложението задайте приложението Payhawk на съответните потребители и групи.

2. Уверете се, че всеки зададен потребител има валиден имейл адрес, съответстващ на акаунта му в Payhawk.

Експортиране на метаданните на доставчика на самоличност и изпращането им до Payhawk

1. Експортирайте XML файла с метаданни за това SAML приложение. Той съдържа SSO крайната точка, идентификатора на обекта и сертификата за подписване на JumpCloud, необходими на Payhawk.

2. Свържете се с Мениджъра си по имплементация или Екипа за поддръжка на Payhawk и предоставете XML файла с метаданните на доставчика на самоличност, домейна/домейните ви за удостоверяване и потвърждение за съпоставянето на атрибута email.

Payhawk завършва конфигурацията от страна на сървъра, след което ще получите потвърждение, когато SSO е готово за тестване.

Тестване на влизането

1. Отидете на страницата за влизане в Payhawk.

2. Въведете корпоративен имейл адрес в домейн с активирано SSO.

3. Удостоверете се с JumpCloud и изпълнете всяка стъпка за двуфакторно удостоверяване.

4. При успех ще се върнете в Payhawk, но вече влезли в системата.

Миграция от Google към JumpCloud

Ако преминавате от Google SSO към JumpCloud, не е необходима миграция в Payhawk, при условие че атрибутът за имейл, върнат от JumpCloud, съответства на корпоративния имейл, използван преди това в Google SSO.

• Payhawk идентифицира потребителите по имейл. За да избегнете дублирани акаунти или загуба на достъп до карти, разходи или разрешения, проверете дали атрибутът за имейл в JumpCloud съответства на съществуващия имейл в Payhawk.

• Ако имейлът е различен, ще бъде създаден нов потребителски акаунт в Payhawk и предишните данни няма да бъдат прехвърлени.

Отстраняване на неизправности

• Пренасочване обратно към страницата за влизане или отказан достъп – Проверете дали атрибутът email се изпраща и дали стойността му съвпада точно с имейла на акаунта в Payhawk.

• Приложението не е зададено – Потребителят не е свързан с приложението Payhawk чрез групата потребители в JumpCloud.

• Дублиран акаунт след смяна на доставчика на самоличност – Атрибутът за имейл не съответства на вече съществуващия имейл в Payhawk. Съгласувайте имейлите преди първото влизане.

• Неуспешно влизане, инициирано от доставчика на самоличност – Това е очаквано поведение. Потребителите трябва да започват от страницата за влизане в Payhawk.