SAML-SSO mit Microsoft Entra einrichten (Azure Active Directory)

Microsoft Entra ID (ehemals Azure Active Directory) bildet das Identitäts-Backbone von Microsoft 365 und Azure, weshalb die meisten Unternehmen ihr Benutzerverzeichnis bereits dort betreiben. Durch die Registrierung von Payhawk als Unternehmensanwendung außerhalb der Galerie kann Ihr Team mit dem Microsoft-Konto, das es täglich nutzt, auf Payhawk zugreifen, und der bedingte Zugriff, die Multi-Faktor-Authentifizierung (MFA) sowie die gruppenbasierte Zuweisung gelten weiterhin genau wie bei Ihren anderen Anwendungen.

SAML unterstützt keine vom Identitätsanbieter (IdP) initiierte Authentifizierung. Ihre Benutzer müssen stets über die Payhawk-Anmeldeseite beginnen. Die Zwei-Faktor-Authentifizierung (2FA) gilt, sofern sie aktiviert ist, weiterhin, und SSO ersetzt diese nicht.

Bevor Sie starten

• Sie benötigen eine Rolle, mit der Sie Unternehmensanwendungen in Microsoft Entra erstellen und verwalten können, z. B. Cloud Application Administrator oder Global Administrator.

• Sie benötigen Payhawk-Administratorrechte in Payhawk, um die Einrichtung zu koordinieren.

• Halten Sie Ihre Authentifizierungsdomänen bereit (zum Beispiel yourcompany.com), also die E-Mail-Domänen, mit denen sich Ihre Benutzer anmelden.

• Die E-Mail-Adresse, die Entra für jeden Benutzer versendet, muss genau mit dem im Payhawk-Konto des jeweiligen Benutzers hinterlegten E-Mail-Konto übereinstimmen. Nicht übereinstimmende E-Mail-Adressen führen zu fehlgeschlagenen Anmeldungen oder doppelten Benutzerkonten.

Einstellungen für Payhawk-Dienstanbieter (SP)

Um die SAML-Anwendung in Microsoft Entra ID zu konfigurieren, verwenden Sie die folgenden Werte im Bereich Grundlegende SAML-Konfiguration. Diese sind für alle Kunden identisch.

SAML-Anwendung erstellen und konfigurieren

1. Öffnen Sie entra.microsoft.com und melden Sie sich an.

2. Gehen Sie zu Unternehmensanwendungen.

3. Wählen Sie Neue Anwendung > Eigene Anwendung erstellen aus.

4. Geben Sie als App-Name Payhawk ein.

5. Wählen Sie Alle anderen Anwendungen integrieren, die nicht im Katalog aufgeführt sind (Nicht-Katalog) aus und dann Erstellen.

6. Gehen Sie auf der Anwendungsseite zu Erste Schritte > Einmaliges Anmelden und wählen Sie SAML aus.

7. Geben Sie im Bereich „Grundlegende SAML-Konfiguration“ die Werte für den Payhawk-Dienstanbieter ein:

   • Geben Sie für Bezeichner (Entitäts-ID) Folgendes ein: urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

   • Geben Sie für Antwort-URL (Assertion Consumer Service URL) Folgendes ein: https://id.payhawk.com/saml2/idpresponse

   • Lassen Sie alle anderen optionalen Felder leer.

E-Mail-Attribut zuordnen

Payhawk identifiziert jeden Benutzer anhand seiner E-Mail-Adresse, daher muss die Anweisung die E-Mail-Adresse des Benutzers enthalten.

1. Überprüfen Sie im Abschnitt Attribute & Claims, ob ein emailaddress-Claim vorhanden ist und auf die bei Payhawk registrierte E-Mail-Adresse des Benutzers verweist.

2. In der Regel ordnen Sie ihn user.userprincipalname oder user.mail zu, je nachdem, welcher Wert der E-Mail-Adresse entspricht, die Sie verwendet haben, um die Person zu Payhawk einzuladen.

Benutzer zuweisen

1. Gehen Sie zu Benutzer und Gruppen und weisen Sie die Payhawk-Anwendung den relevanten Personen und Gruppen zu.

2. Stellen Sie sicher, dass die E-Mail-Adresse jeder zugewiesenen Person mit ihrem Payhawk-Konto übereinstimmt.

IdP-Metadaten exportieren und an Payhawk senden

1. Laden Sie im Abschnitt SAML-Zertifikate der Seite „Single Sign-On“ die Datei XML-Verbundmetadaten herunter. Diese enthält den Entra-SSO-Endpunkt, die Entitäts-ID und das Signaturzertifikat, die Payhawk benötigt.

2. Wenden Sie sich bitte an Ihren Payhawk Implementation Manager und übermitteln Sie ihm die XML-Datei mit den Verbundmetadaten, Ihre Authentifizierungsdomänen sowie eine Bestätigung der Zuordnung der E-Mail-Attribute.

Payhawk führt die Backend-Konfiguration durch und bestätigt Ihnen, sobald SSO zum Testen bereit ist.

Anmeldung testen

1. Gehen Sie zur Anmeldeseite.

2. Geben Sie eine geschäftliche E-Mail-Adresse in einer SSO-fähigen Domain ein.

3. Authentifizieren Sie sich mit Microsoft Entra und führen Sie alle Schritte für bedingten Zugriff oder die Zwei-Faktor-Authentifizierung aus.

4. Nach erfolgreicher Anmeldung kehren Sie angemeldet zurück.

Fehlerbehebung

• Sie werden zurück zur Anmeldeseite geleitet oder der Zugriff wird verweigert. Überprüfen Sie, ob der E-Mail-Claim gesendet wurde und dessen Wert exakt mit der E-Mail-Adresse des Payhawk-Kontos übereinstimmt. Falls sich die UPN Ihrer Benutzer von deren E-Mail-Adresse unterscheidet, ordnen Sie den Claim dem Parameter „user.mail“ zu.

• Anwendung nicht zugewiesen – Der Benutzer ist in Entra nicht der Payhawk-Unternehmensanwendung zugewiesen.

• Vom IdP initiierte Anmeldung schlägt fehl – das ist zu erwarten. Benutzer müssen über die Anmeldeseite beginnen.