SAML-SSO mit Google Workspace (GSuite) einrichten

Google Workspace (ehemals G Suite) ist mehr als nur eine E-Mail- und Produktivitätssuite. Die zugehörige Admin-Konsole fungiert gleichzeitig als Identitätsanbieter, der den Zugriff auf Anwendungen von Drittanbietern über SAML bündeln kann. Durch das Hinzufügen von Payhawk als benutzerdefinierte SAML-Anwendung kann sich Ihr Team mit dem bereits verwendeten Google-Konto anmelden, und Sie haben die Kontrolle über den Zugriff über dieselbe Seite Web- und Mobil-Apps, die Sie auch für alle anderen Zwecke nutzen.

SAML unterstützt keine vom Identitätsanbieter (IdP) initiierte Authentifizierung. Ihre Benutzer müssen stets über die Payhawk-Anmeldeseite beginnen. Die Zwei-Faktor-Authentifizierung (2FA) gilt, sofern sie aktiviert ist, weiterhin, und SSO ersetzt diese nicht.

Bevor Sie starten

• Sie benötigen ein Super-Admin-Konto für Google Workspace.

• Sie benötigen Payhawk-Administratorrechte in Payhawk, um die Einrichtung zu koordinieren.

• Halten Sie Ihre Authentifizierungsdomänen bereit (zum Beispiel yourcompany.com), also die E-Mail-Domänen, mit denen sich Ihre Benutzer anmelden.

• Die primäre Google-E-Mail-Adresse jedes Benutzers muss genau mit der E-Mail-Adresse seines Payhawk-Kontos übereinstimmen. Nicht übereinstimmende E-Mail-Adressen führen zu fehlgeschlagenen Anmeldungen oder doppelten Benutzern.

• Stellen Sie sicher, dass die zu Pyahawk eingeladenen Benutzer auf der Google-Seite Zugriff auf die App haben.

• Stellen Sie sicher, dass die Zugriffsrechte und Bestimmungen für Anwendungen in Ihrem Google Workspace oder Ihrer Geräteverwaltung die Benutzer nicht daran hindern, die Payhawk-Anwendung zu nutzen, oder den Zugriff auf Payhawk blockieren.

Einstellungen für Payhawk-Dienstanbieter (SP)

Um die SAML-Anwendung in Google Workspace zu konfigurieren, verwenden Sie im Schritt Angaben zum Dienstanbieter die folgenden Werte. Diese sind für alle Kunden identisch.

SAML-Anwendung erstellen und konfigurieren

1. Melden Sie sich als Administrator in der Google Admin-Konsole an.

2. Navigieren Sie zu Apps > Web- und Mobile Apps.

3. Wählen Sie App hinzufügen > Benutzerdefinierte SAML-App hinzufügen.

4. Geben Sie als App-Name Payhawk ein. Fügen Sie optional eine Beschreibung und ein Logo hinzu und wählen Sie dann Weiter.

5. Laden Sie im Schritt Details zum Google Identity Provider die Metadatendatei (IdP-Metadaten) herunter. Diese werden Sie später an Payhawk senden. Wählen Sie Weiter.

6. Geben Sie im Schritt Details zum Dienstanbieter die Werte für den Payhawk-Dienstanbieter ein:

   • Geben Sie für ACS-URL Folgendes ein: https://id.payhawk.com/saml2/idpresponse

   • Geben Sie für Entitäts-ID Folgendes ein: urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

   • Wählen Sie für Namens-ID-Format die Option E-MAIL aus.

   • Wählen Sie für Namens-ID Grundlegende Informationen > Primäre E-Mail-Adresse.

7. Wählen Sie Weiter.

E-Mail-Attribut zuordnen

Payhawk benötigt ein einzelnes Attribut mit dem Namen E-Mail.

1. Fügen Sie im Schritt Attributzuordnung eine Zuordnung hinzu: Primäre E-Mail-Adresse → E-Mail.

2. Wählen Sie Fertigstellen.

Benutzer zuweisen

1. Wählen Sie unter Web- und Mobile Apps Ihre neue Payhawk Anwendung aus.

2. Aktivieren Sie unter Benutzerzugriff den Dienst EIN für alle Benutzer oder für die spezifischen Organisationseinheiten und Gruppen, die Payhawk nutzen sollen.

3. Bitte stellen Sie sicher, dass die bei Google hinterlegte primäre E-Mail-Adresse jedes zugewiesenen Benutzers mit dem seines Payhawk-Kontos übereinstimmt.

IdP-Metadaten exportieren und an Payhawk senden

1. Falls Sie die IdP-Metadaten während der Einrichtung nicht heruntergeladen haben, öffnen Sie bitte die Payhawk-App und laden Sie unter Details zum Dienstanbieter oder in der App-Übersicht die XML-Datei IdP-Metadaten herunter. Diese enthält den Google-SSO-Endpunkt, die Entität und das Signaturzertifikat, die Payhawk benötigt.

2. Wenden Sie sich an Ihren Payhawk Implementation Manager und übermitteln Sie die XML-Datei mit den IdP-Metadaten, Ihre Authentifizierungsdomains sowie die Bestätigung der Attributzuordnung E-Mail.

Payhawk führt die Backend-Konfiguration durch und bestätigt Ihnen, sobald SSO zum Testen bereit ist.

Anmeldung testen

1. Gehen Sie zur Anmeldeseite.

2. Geben Sie eine geschäftliche E-Mail-Adresse in einer SSO-fähigen Domain ein.

3. Authentifizieren Sie sich über Google und führen Sie gegebenenfalls die Bestätigung in zwei Schritten oder 2FA durch.

4. Nach erfolgreicher Anmeldung kehren Sie angemeldet zurück.

Änderungen an SAML-Apps in Google Workspace können bis zu 24 Stunden benötigen, bis sie übernommen werden, sind aber normalerweise innerhalb weniger Minuten aktiv.

Fehlerbehebung

• Sie werden zurück zur Anmeldeseite geleitet oder der Zugriff wird verweigert. Überprüfen Sie, ob das Attribut E-Mail übermittelt wurde und dessen Wert exakt mit der E-Mail-Adresse des Payhawk-Kontos übereinstimmt.

• Der Dienst ist für den Benutzer deaktiviert – die Payhawk-App ist für die Organisationseinheit oder Gruppe dieses Benutzers nicht aktiviert.

• Die von einem Identitätsanbieter (IdP) initiierte Anmeldung schlägt fehl - das ist zu erwarten. Benutzer müssen von der Payhawk-Anmeldeseite aus starten, nicht über den Google Apps Launcher.