Payhawk документацията е в процес на превод. През това време част от статиите и свързаните ресурси ще са на български, а други на английски. Благодарим за търпението!

Настройване на SAML SSO с Microsoft Entra (Azure Active Directory)

Prev Next

Microsoft Entra ID (по-рано Azure Active Directory) е основата за управление на самоличността в Microsoft 365 и Azure, така че повечето организации вече поддържат директорията си с потребители там. Регистрирането на Payhawk като корпоративно приложение извън галерията позволява на екипа ви достъп до Payhawk с акаунта в Microsoft, който те всекидневно използват, като Conditional Access, многофакторното удостоверяване (MFA) и задаването въз основа на група продължават да се прилагат по същия начин, както за останалите ви приложения.

Езикът за маркиране на твърдения за сигурност (SAML) не поддържа удостоверяване, инициирано от доставчика на самоличност. Потребителите ви трябва винаги да започват от страницата за влизане в Payhawk. Когато двуфакторното удостоверяване (2FA) е активирано, то продължава да се прилага и еднократното влизане (SSO) не го замества.

Преди да започнете

  • Необходима ви е роля, която позволява създаване и управление на корпоративни приложения в Microsoft Entra (например Администратор на приложение в облака или Глобален администратор).

  • Необходими са ви права на Администратор на Payhawk, за да координирате настройката.

  • Подгответе домейните за удостоверяване (например yourcompany.com) – имейл домейните, с които потребителите ви влизат в системата.

  • Имейлът, който Entra изпраща за всеки потребител, трябва да съвпада точно с имейла на акаунта му в Payhawk. Несъответствието в имейлите води до неуспешни влизания или дублирани потребители.

Настройки на доставчика на услуги на Payhawk

За да конфигурирате SAML приложението в Microsoft Entra ID, използвайте следните стойности в панела Основна SAML конфигурация. Те са еднакви за всички клиенти.

Настройка

Стойност

Идентификатор (идентификатор на обект)

urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

URL адрес за отговор (URL адрес на услугата за приемане на твърдения)

https://id.payhawk.com/saml2/idpresponse

URL адрес за вход / Състояние на предаване / URL адрес за изход

Оставете празно (незадължително)

Задължителен атрибут

email, имейл адресът на потребителя

Създаване и конфигуриране на SAML приложението

  1. Отворете entra.microsoft.com и влезте в акаунта си.

  2. Отидете на Корпоративни приложения.

  3. Изберете Ново приложение > Създаване на собствено приложение.

  4. За име на приложението въведете Payhawk.

  5. Изберете Интегриране на всяко приложение, което не се намира в галерията (приложение извън галерията), след което изберете Създаване.

  6. На страницата на приложението отидете на Първи стъпки > Еднократно влизане и изберете SAML.

  7. В панела Основна SAML конфигурация въведете стойностите на доставчика на услуги на Payhawk:

    • За Идентификатор (идентификатор на обект) въведете: urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

    • За URL адрес за отговор (URL адрес на услуга за приемане на твърдения) въведете: https://id.payhawk.com/saml2/idpresponse

    • Оставете всички останали незадължителни полета празни.

Съпоставяне на атрибута за имейл

Payhawk идентифицира всеки потребител по имейл, затова твърдението трябва да съдържа имейл адреса на потребителя.

  1. В секцията Атрибути и твърдения проверете дали съществува твърдение emailaddress и дали то съответства на имейл адреса на потребителя, регистриран в Payhawk.

  2. Най-често то се съпоставя с user.userprincipalname или user.mail – в зависимост от това кой имейл адрес сте използвали, за да поканите потребителя в Payhawk.

Задаване на потребители

  1. Отидете на Потребители и групи и добавете приложението Payhawk към съответните потребители и групи.

  2. Проверете дали имейлът на всеки зададен потребител съвпада с акаунта му в Payhawk.

Експортиране на метаданните на доставчика на самоличност и изпращането им до Payhawk

  1. В секцията SAML сертификати на страницата за еднократно влизане изтеглете XML файла с федерални данни. Той съдържа SSO крайната точка, идентификатора на обекта и сертификата за подписване на Entra, необходими на Payhawk.

  2. Свържете се с Мениджъра си по имплементация на Payhawk и предоставете XML файла с федерални данни, домейна/домейните ви за удостоверяване и потвърждение за съпоставянето на атрибута за имейл.

Payhawk завършва конфигурацията от страна на сървъра, след което ще получите потвърждение, когато SSO е готово за тестване.

Тестване на влизането

  1. Отидете на страницата за влизане в Payhawk.

  2. Въведете корпоративен имейл адрес в домейн с активирано SSO.

  3. Удостоверете се с Microsoft Entra и изпълнете всяка стъпка на Conditional Access или такава за двуфакторно удостоверяване.

  4. При успех ще се върнете в Payhawk, но вече влезли в системата.

Отстраняване на неизправности

  • Пренасочване обратно към страницата за влизане или отказан достъп – Проверете дали твърдението за имейл се изпраща и дали стойността му съвпада точно с имейла на акаунта в Payhawk. Ако основните имена (UPN) на потребителите се различават от имейла им, съпоставете твърдението с user.mail.

  • Приложението не е зададено – Потребителят не е зададен към корпоративното приложение Payhawk в Entra.

  • Неуспешно влизане, инициирано от доставчика на самоличност – Това е очаквано поведение. Потребителите трябва да започнат от страницата за влизане в Payhawk.