Настройване на SAML SSO с Okta (Identity Engine)

Okta е независим доставчик на самоличност, а модерната му архитектура (Okta Identity Engine) позволява на Администраторите да съставят точната политика за влизане, необходима на Payhawk, чрез стандартно SAML 2.0 приложение. След като е настроено, екипът ви влиза в Payhawk с идентификационните си данни за Okta вместо с отделна парола за Payhawk, а достъпът до Payhawk се определя от добавените приложения, които вече управлявате в Okta.

Езикът за маркиране на твърдения за сигурност (SAML) не поддържа удостоверяване, инициирано от доставчика на самоличност. Потребителите ви трябва винаги да започват от страницата за влизане в Payhawk. Когато двуфакторното удостоверяване (2FA) е активирано, то продължава да се прилага и еднократното влизане (SSO) не го замества.

Преди да започнете

• Необходим ви е достъп като Администратор до Okta Admin Console.

• Необходими са ви права на Администратор на Payhawk, за да координирате настройката.

• Подгответе домейните за удостоверяване (например yourcompany.com) – имейл домейните, с които потребителите ви влизат в системата.

• Имейлът, записан в Okta за всеки потребител, трябва да съвпада точно с имейла на акаунта му в Payhawk. Несъответствието в имейлите води до неуспешни влизания или дублирани потребители.

Настройки на доставчика на услуги на Payhawk

За да конфигурирате SAML приложението в Okta, използвайте следните стойности. Те са еднакви за всички клиенти.

Създаване и конфигуриране на SAML приложението

1. Влезте в Okta Admin Console като Администратор. За повече информация относно конзолата вижте Okta's Redesigned Admin Console and Dashboard (Преработената администраторска конзола и табло на Okta).

2. В навигационното меню разгънете Applications (Приложения) и изберете Applications (Приложения).

3. Изберете Create App Integration (Създаване на интеграция на приложение).

4. В менюто Create a new app integration (Създаване на нова интеграция на приложение) изберете SAML 2.0 като Sign-in method (Начин за влизане), след което изберете Next (Напред). За повече информация вижте раздел Prepare your Integration (Подгответе интеграцията си) в ръководството Build a Single Sign-On (SSO) Integration (Създайте интеграция за еднократно влизане) на уебсайта Okta Developer.

5. На страницата Create SAML Integration (Създаване на SAML интеграция) под General Settings (Общи настройки) въведете Payhawk като име на приложението. По желание качете лого и изберете настройките за видимост, след което изберете Next (Напред).

6. Под SAML Settings (Настройки на SAML) > GENERAL (ОБЩИ) въведете стойностите на доставчика на услуги на Payhawk:

   • За Single sign-on URL (URL адрес за еднократно влизане) въведете: https://id.payhawk.com/saml2/idpresponse. Оставете избрана опцията Use this for Recipient URL and Destination URL (Използване на този за получаващ и целеви URL адрес).

   • За Audience URI (идентификатор на обект на доставчик на самоличност) въведете: urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

   • Оставете полето Default RelayState (Състояние на предаване по подразбиране) празно.

   • За Name ID format (Формат на идентификатор на име) изберете EmailAddress, а за Application username (Потребителско име за приложение) изберете Email (Имейл).

7. Оставете останалите настройки по подразбиране или ги задайте според предпочитанията си.

Съпоставяне на атрибута за имейл

Payhawk изисква един атрибут с име email.

1. На същата страница, под ATTRIBUTE STATEMENTS (ТВЪРДЕНИЯ ЗА АТРИБУТ), добавете израз:

   • За Name (Име) въведете email.

   • За Name format (Формат на името) оставете Unspecified (Неопределен).

   • За Value (Стойност) въведете user.email.

2. Изберете Next (Напред), попълнете стъпката за обратна връзка и изберете Finish (Край).

Задаване на потребители

1. След като SAML приложението е конфигурирано, предоставете достъп на съответните хора и групи.

2. Проверете дали имейлът в Okta на всеки зададен потребител съвпада с имейла на акаунта му в Payhawk.

Експортиране на метаданните на доставчика на самоличност и изпращането им до Payhawk

1. Отворете приложението Payhawk и отидете на раздел Sign On (Влизане).

2. Под SAML Signing Certificates (SAML сертификати за подписване) или SAML Setup (SAML конфигурация) изтеглете Identity Provider metadata (Метаданни на доставчик на самоличност) като XML файл. Той съдържа SSO крайната точка, идентификатора на обекта и сертификата за подписване на Okta, необходими на Payhawk.

3. Свържете се с вашия Мениджър по имплементация на Payhawk и предоставете XML файла с метаданните на доставчика на самоличност, домейна/домейните ви за удостоверяване и потвърждение за съпоставянето на атрибута email.

Payhawk завършва конфигурацията от страна на сървъра, след което ще получите потвърждение, когато SSO е готово за тестване.

Тестване на влизането

1. Отидете на страницата за влизане в Payhawk.

2. Въведете корпоративен имейл адрес в домейн с активирано SSO.

3. Удостоверете се с Okta и изпълнете всяка стъпка на Okta Verify или такава за двуфакторно удостоверяване.

4. При успех ще се върнете в Payhawk, но вече влезли в системата.

Отстраняване на неизправности

• Пренасочване обратно към страницата за влизане или отказан достъп – Проверете дали атрибутът email се изпраща и дали стойността му съвпада точно с имейла на акаунта в Payhawk.

• Приложението не е зададено – Потребителят не е зададен към приложението Payhawk в Okta.

• Неуспешно влизане, инициирано от доставчика на самоличност – Това е очаквано поведение. Потребителите трябва да започват от страницата за влизане в Payhawk.