Payhawk документацията е в процес на превод. През това време част от статиите и свързаните ресурси ще са на български, а други на английски. Благодарим за търпението!

Настройване на SAML SSO с Thales SafeNet Trusted Access

Prev Next

Payhawk поддържа SAML v2.0, така че екипът ви да може да влиза със съществуващите идентификационни данни за Thales SafeNet Trusted Access (STA) вместо с отделна парола за Payhawk.

Езикът за маркиране на твърдения за сигурност (SAML) не поддържа удостоверяване, инициирано от доставчика на самоличност. Потребителите ви трябва винаги да започват от страницата за влизане в Payhawk. Когато двуфакторното удостоверяване (2FA) е активирано, то продължава да се прилага и еднократното влизане (SSO) не го замества.

Преди да започнете

  • Необходим ви е достъп като Администратор до конзолата на SafeNet Trusted Access.

  • Необходими са ви права на Администратор на Payhawk, за да координирате настройката.

  • Подгответе домейните за удостоверяване (например yourcompany.com) – имейл домейните, с които потребителите ви влизат в системата.

  • Имейлът, записан в SafeNet Trusted Access за всеки потребител, трябва да съвпада точно с имейла на акаунта му в Payhawk. Несъответствието в имейлите води до неуспешни влизания или дублирани потребители.

Настройки на доставчика на услуги на Payhawk

За да конфигурирате SAML приложението в SafeNet Trusted Access, използвайте следните стойности. Те са еднакви за всички клиенти.

Настройка

Стойност

Audience URI / SP Entity ID (Еднозначен идентификатор на ресурс на аудитория / идентификатор на обект на доставчик на услуги)

urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

ACS URL / Assertion Consumer Service / Single Sign-On URL (URL адрес на услуга за приемане на твърдения / услуга за приемане на твърдение / URL адрес за еднократно влизане)

https://id.payhawk.com/saml2/idpresponse

NameID format (Формат на идентификатор на име)

emailAddress

Задължителен атрибут

email, имейл адресът на потребителя

Създаване и конфигуриране на SAML приложението

  1. Влезте в конзолата на SafeNet Trusted Access като Администратор.

  2. Отидете на раздел Applications (Приложения) и изберете Add Application (Добавяне на приложение).

  3. Потърсете в каталога с приложения за Payhawk. Ако приложението не е в списъка, изберете Add a custom application (Добавяне на персонализирано приложение) и изберете опцията „SAML (template or manual)“ (SAML (шаблон или ръчно)).

  4. Дайте на приложението име Payhawk. По желание добавете лого на Payhawk и описание, за да го разпознават потребителите в портала My Applications (Моите приложения).

  5. В SAML конфигурацията на приложението въведете стойностите на доставчика на услуги на Payhawk:

    • За SP Entity ID / Audience (Идентификатор на обект на доставчик на услуги / аудитория) въведете: urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

    • За Assertion Consumer Service (ACS) URL / Reply URL  (URL адрес на услуга за приемане на твърдения / URL адрес за отговор) въведете: https://id.payhawk.com/saml2/idpresponse

    • Оставете полето Default Relay State (Състояние на предаване по подразбиране) празно.

    • За NameID format (Формат на идентификатор на име) изберете имейл адрес (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress) и задайте стойността на имейла на потребителя.

  6. Оставете потока само като SP-initiated (Иницииран от доставчика на услуги). Не активирайте SSO, инициирано от доставчика на самоличност, тъй като Payhawk не го поддържа.

  7. Подпишете SAML твърдението със сертификата за подписване на STA. Това е настройката по подразбиране в SafeNet Trusted Access и трябва да остане активирана.

Съпоставяне на атрибута за имейл

Payhawk изисква един атрибут с име email.

  1. В секцията Attributes (Атрибути) на приложението добавете съпоставяне с името на атрибута на доставчика на услуги email и стойност, зададена на имейла на потребителя в SafeNet Trusted Access.

  2. Проверете дали атрибутът е включен в SAML твърдението, изпратено до Payhawk.

Задаване на потребители

  1. Задайте приложението Payhawk на съответните потребители и групи в SafeNet Trusted Access.

  2. Уверете се, че всеки зададен потребител има валиден имейл адрес, съответстващ на акаунта му в Payhawk.

Експортиране на метаданните на доставчика на самоличност и изпращането им до Payhawk

  1. Отворете приложението Payhawk, което сте създали, и намерете опцията за изтегляне на SAML метаданните (метаданни на доставчика на самоличност).

  2. Изтеглете XML файла с метаданните на доставчика на самоличност. Той съдържа SSO крайната точка, идентификатора на обекта и сертификата за подписване на STA, необходими на Payhawk.

  3. Свържете се с Мениджъра си по имплементация на Payhawk и предоставете XML файла с метаданните на доставчика на самоличност, домейна/домейните ви за удостоверяване и потвърждение за съпоставянето на атрибута email.

Payhawk завършва конфигурацията от страна на сървъра, след което ще получите потвърждение, когато SSO е готово за тестване.

Тестване на влизането

  1. Отидете на страницата за влизане в Payhawk.

  2. Въведете корпоративен имейл адрес в домейн с активирано SSO.

  3. Удостоверете се чрез SafeNet Trusted Access и изпълнете всяка стъпка от STA, еднократна парола или двуфакторно удостоверяване.

  4. При успех ще се върнете в Payhawk, но вече влезли в системата.

Отстраняване на неизправности

  • Пренасочване обратно към страницата за влизане или отказан достъп – Проверете дали атрибутът email се изпраща и дали стойността му съвпада точно с имейла на акаунта в Payhawk.

  • Приложението не е зададено – Потребителят не е зададен към приложението Payhawk в SafeNet Trusted Access.

  • Неуспешно влизане, инициирано от доставчика на самоличност – Това е очаквано поведение. Потребителите трябва да започват от страницата за влизане в Payhawk