SAML-SSO mit Okta (Identity Engine) einrichten

Okta ist ein herstellerneutraler Identitätsanbieter. Seine moderne Architektur (die Okta Identity Engine) ermöglicht es Administratoren, aus einer Standard-SAML-2.0-Anwendung genau die Anmelderichtlinie zusammenzustellen, die Payhawk benötigt. Sobald diese eingerichtet ist, meldet sich Ihr Team mit seinen Okta-Anmeldeinformationen bei Payhawk an, anstatt ein separates Payhawk-Passwort zu verwenden, und wer Zugriff auf Payhawk hat, richtet sich nach den App-Zuweisungen, die Sie bereits in Okta verwalten.

SAML unterstützt keine vom Identitätsanbieter (IdP) initiierte Authentifizierung. Ihre Benutzer müssen stets über die Payhawk-Anmeldeseite beginnen. Die Zwei-Faktor-Authentifizierung (2FA) gilt, sofern sie aktiviert ist, weiterhin, und SSO ersetzt diese nicht.

Bevor Sie starten

• Sie benötigen Administratorrechte für die Okta Admin Console.

• Sie benötigen Payhawk-Administratorrechte in Payhawk, um die Einrichtung zu koordinieren.

• Halten Sie Ihre Authentifizierungsdomänen bereit (zum Beispiel yourcompany.com), also die E-Mail-Domänen, mit denen sich Ihre Benutzer anmelden.

• Die in Okta für jeden Benutzer hinterlegte E-Mail-Adresse muss genau mit der E-Mail-Adresse des Payhawk-Kontos dieses Benutzers übereinstimmen. Nicht übereinstimmende E-Mail-Adressen führen zu fehlgeschlagenen Anmeldungen oder doppelten Benutzerdatensätzen.

Einstellungen für Payhawk-Dienstanbieter (SP)

So konfigurieren Sie die SAML-Anwendung in Okta mit den folgenden Werten. Sie sind für alle Kunden gleich.

SAML-Anwendung erstellen und konfigurieren

1. Melden Sie sich als Administrator bei der Okta Admin Console an. Weitere Informationen zur Konsole finden Sie unter Okta: Die neu gestaltete Admin Console und das Dashboard.

2. Erweitern Sie im Navigationsmenü Anwendungen und wählen Sie Anwendungen aus.

3. Wählen Sie App-Integration erstellen aus.

4. Wählen Sie im Menü Neue App-Integration erstellen die Option SAML 2.0 als Anmeldemethode aus und klicken Sie anschließend auf Weiter. Weitere Informationen finden Sie im Abschnitt Vorbereiten Ihrer Integration im Leitfaden „Erstellen einer Single-Sign-On-Integration (SSO)“ auf der Okta-Entwickler-Website.

5. Geben Sie auf der Seite SAML-Integration erstellen unter Allgemeine Einstellungen den App-Namen Payhawk ein. Laden Sie optional ein Logo hoch, legen Sie die Sichtbarkeitseinstellungen fest und wählen Sie anschließend Weiter.

6. Geben Sie unter SAML-Einstellungen > ALLGEMEIN die Werte für den Payhawk-Dienstanbieter ein:

   • Geben Sie unter URL für Single Sign-On Folgendes ein: https://id.payhawk.com/saml2/idpresponse. Lassen Sie die Option Diese URL für Empfänger-URL und Ziel-URL verwenden ausgewählt.

   • Geben Sie unter Zielgruppen-URI (SP-Entitäts-ID) Folgendes ein: urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

   • Lassen Sie Standard-RelayState leer.

   • Wählen Sie unter Namens-ID-Format die Option E-Mail-Adresse und unter Anwendungsnutzername die Option E-Mail aus.

7. Lassen Sie die übrigen Einstellungen auf den Standardwerten oder passen Sie sie Ihren Präferenzen entsprechend an.

E-Mail-Attribut zuordnen

Payhawk benötigt ein einzelnes Attribut mit dem Namen E-Mail.

1. Fügen Sie auf derselben Seite unter ATTRIBUTANWEISUNGEN eine Anweisung hinzu:

   • Geben Sie unter Name E-Mail ein.

   • Lassen Sie unter Namensformat die Einstellung Nicht angegeben ausgewählt.

   • Geben Sie unter Wert user.email ein.

2. Wählen Sie Weiter aus, schließen Sie den Feedback-Schritt ab und wählen Sie Fertigstellen aus.

Benutzer zuweisen

1. Nachdem die SAML-Anwendung konfiguriert wurde, weisen Sie den entsprechenden Personen und Gruppen Zugriff zu.

2. Stellen Sie sicher, dass die Okta-E-Mail-Adresse aller zugewiesenen Benutzer mit der E-Mail-Adresse ihres Payhawk-Kontos übereinstimmt.

IdP-Metadaten exportieren und an Payhawk senden

1. Öffnen Sie die Payhawk-Anwendung und wechseln Sie zu Anmelden.

2. Laden Sie unter SAML-Signaturzertifikate oder SAML-Einrichtung die Metadaten des Identitätsanbieters als XML-Datei herunter. Sie enthalten den Okta-SSO-Endpunkt, die Entitäts-ID und das Signaturzertifikat, die Payhawk benötigt.

3. Wenden Sie sich an Ihren Payhawk Implementation Manager und übermitteln Sie die XML-Datei mit den IdP-Metadaten, Ihre Authentifizierungsdomains sowie die Bestätigung der Attributzuordnung E-Mail.

Payhawk führt die Backend-Konfiguration durch und bestätigt Ihnen, sobald SSO zum Testen bereit ist.

Anmeldung testen

1. Gehen Sie zur Anmeldeseite.

2. Geben Sie eine geschäftliche E-Mail-Adresse in einer SSO-fähigen Domain ein.

3. Authentifizieren Sie sich mit Okta und führen Sie alle Schritte für Okta Verify oder die Zwei-Faktor-Authentifizierung durch.

4. Nach erfolgreicher Anmeldung kehren Sie angemeldet zurück.

Fehlerbehebung

• Sie werden zurück zur Anmeldeseite geleitet oder der Zugriff wird verweigert. Überprüfen Sie, ob das Attribut email übermittelt wurde und dessen Wert exakt mit der E-Mail-Adresse des Payhawk-Kontos übereinstimmt.

• Anwendung nicht zugewiesen – die Person ist der App in Okta nicht zugewiesen.

• Vom IdP initiierte Anmeldung schlägt fehl – das ist zu erwarten. Benutzer müssen über die Anmeldeseite beginnen.