SAML-SSO mit JumpCloud einrichten

Prev Next

JumpCloud ist eine Cloud-Verzeichnisplattform – eine moderne Alternative zum lokalen Active Directory, die Identitätsmanagement, SSO und Gerätemanagement in einer einzigen Konsole vereint. Payhawk unterstützt JumpCloud als Identitätsanbieter für SSO über SAML, sodass sich Ihr Team mit seinen JumpCloud-Anmeldeinformationen anmelden kann und Sie diesen Zugriff zusammen mit den Benutzern und Geräten verwalten, die Sie dort bereits verwalten.

SAML unterstützt keine vom Identitätsanbieter (IdP) initiierte Authentifizierung. Ihre Benutzer müssen stets über die Payhawk-Anmeldeseite beginnen. Die Zwei-Faktor-Authentifizierung (2FA) gilt, sofern sie aktiviert ist, weiterhin, und SSO ersetzt diese nicht.

Bevor Sie starten

  • Sie benötigen Administratorrechte für die JumpCloud Admin Console.

  • Sie benötigen Payhawk-Administratorrechte in Payhawk, um die Einrichtung zu koordinieren.

  • Halten Sie Ihre Authentifizierungsdomänen bereit (zum Beispiel yourcompany.com), also die E-Mail-Domänen, mit denen sich Ihre Benutzer anmelden.

  • Die E-Mail-Adresse, die JumpCloud für jeden Benutzer versendet, muss genau mit dem im Payhawk-Konto des jeweiligen Benutzers hinterlegten E-Mail-Konto übereinstimmen. Nicht übereinstimmende E-Mail-Adressen führen zu fehlgeschlagenen Anmeldungen oder doppelten Benutzerkonten.

Einstellungen für Payhawk-Dienstanbieter (SP)

So konfigurieren Sie die SAML-Anwendung in JumpCloud mit den folgenden Werten. Sie sind für alle Kunden gleich.

Einstellung

Wert

SP-Entitäts-ID

urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

ACS-URL

https://id.payhawk.com/saml2/idpresponse

SAML-Subject-NameID

E-Mail

SAML-Subject-NameID-Format

E-Mail-Adresse

Erforderliches Attribut

Name des Dienstanbieters E-Mail

SAML-Anwendung erstellen und konfigurieren

  1. Öffnen Sie die JumpCloud Admin Console und erstellen Sie über die Option Custom SAML App eine neue SSO-Anwendung mit dem Namen Payhawk.

  2. Konfigurieren Sie die folgenden Schlüsselparameter:

    • IdP-Entitäts-ID und SP-Entitäts-ID: Verwenden Sie die von Payhawk bereitgestellte SP-Entitäts-ID, urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p.

    • ACS-URL: Geben Sie https://id.payhawk.com/saml2/idpresponse ein.

    • SAML-Subject-NameID: Legen Sie diesen Wert auf E-Mail fest.

    • SAML-Subject-NameID-Format: Wählen Sie emailAddress.

    • Weiterleitungsendpunkt deklarieren: Aktivieren Sie diese Einstellung.

    • IdP-URL: Geben Sie die JumpCloud-IdP-SSO-URL für diese Anwendung an.

E-Mail-Attribut zuordnen

Payhawk benötigt ein einzelnes Attribut mit dem Namen E-Mail.

  1. Fügen Sie im Abschnitt Attribute der Anwendung eine Zuordnung für Benutzerattribute hinzu, bei der der Name des Dienstanbieters-Attributs auf E-Mail und der Name des JumpCloud-Attributs auf E-Mail gesetzt ist.

  2. Stellen Sie sicher, dass das Attribut in der an Payhawk gesendeten SAML-Assertion enthalten ist.

Der Bereich User Attributes in JumpCloud mit den Attributnamen des Service Providers und von JumpCloud für die E-Mail-Adresse.

Benutzer zuweisen

  1. Weisen Sie auf der Registerkarte Benutzergruppen der Anwendung die Payhawk-Anwendung den entsprechenden Benutzern und Gruppen zu.

  2. Stellen Sie sicher, dass jede zugewiesene Person über eine gültige E-Mail-Adresse verfügt, die mit ihrem Konto übereinstimmt.

IdP-Metadaten exportieren und an Payhawk senden

  1. Exportieren Sie die XML-Datei mit den Metadaten für diese SAML-Anwendung. Sie enthält den JumpCloud-SSO-Endpunkt, die Entitäts-ID und das Signaturzertifikat, die Payhawk benötigt.

  2. Wenden Sie sich an Ihren Payhawk Implementation Manager oder Payhawk Support und übermitteln Sie die XML-Datei mit den IdP-Metadaten, Ihre Authentifizierungsdomains sowie die Bestätigung der Attributzuordnung E-Mail.

Payhawk führt die Backend-Konfiguration durch und bestätigt Ihnen, sobald SSO zum Testen bereit ist.

Anmeldung testen

  1. Gehen Sie zur Anmeldeseite.

  2. Geben Sie eine geschäftliche E-Mail-Adresse in einer SSO-fähigen Domain ein.

  3. Authentifizieren Sie sich mit JumpCloud und führen Sie die Zwei-Faktor-Authentifizierung durch.

  4. Nach erfolgreicher Anmeldung kehren Sie angemeldet zurück.

Migration von Google zu JumpCloud

Wenn Sie von Google SSO zu JumpCloud wechseln, ist keine Migration in Payhawk erforderlich, solange das von JumpCloud zurückgegebene E-Mail-Attribut mit der zuvor für Google SSO verwendeten geschäftlichen E-Mail-Adresse übereinstimmt.

  • Payhawk identifiziert Benutzer anhand ihrer E-Mail-Adresse. Um doppelte Konten oder den Verlust des Zugriffs auf Karten, Ausgaben oder Berechtigungen zu vermeiden, stellen Sie bitte sicher, dass das JumpCloud-E-Mail-Attribut mit der bestehenden Payhawk-E-Mail-Adresse übereinstimmt.

  • Sollte die E-Mail-Adresse abweichen, wird ein neues Payhawk-Benutzerkonto erstellt, und die bisherigen Daten werden nicht übertragen.

Fehlerbehebung

  • Sie werden zurück zur Anmeldeseite geleitet oder der Zugriff wird verweigert. Überprüfen Sie, ob das Attribut E-Mail übermittelt wurde und dessen Wert exakt mit der E-Mail-Adresse des Payhawk-Kontos übereinstimmt.

  • Anwendung nicht zugewiesen – der Benutzer ist nicht über eine JumpCloud-Benutzergruppe an die Payhawk-Anwendung gebunden.

  • Doppeltes Konto nach dem Wechsel des IdP – das E-Mail-Attribut stimmt nicht mit der bereits in Payhawk hinterlegten E-Mail-Adresse überein. Bitte gleichen Sie die E-Mail-Adressen vor der ersten Anmeldung an.

  • Vom IdP initiierte Anmeldung schlägt fehl – das ist zu erwarten. Benutzer müssen über die Anmeldeseite beginnen.