--- title: "SAML-SSO mit Okta für die Verwaltung - Payhawk Help Center" slug: "setting-up-saml-sso-with-okta-identity-engine" description: "Richten Sie SAML Single Sign-on zwischen Payhawk und Okta Identity Engine ein: SAML-App anlegen, E-Mail-Attribut zuordnen, Benutzer zuweisen, Metadaten senden." updated: 2026-10-23T07:50:03Z published: 2026-10-23T07:50:03Z canonical: "payhawk.com/setting-up-saml-sso-with-okta-identity-engine" --- > ## Documentation Index > Fetch the complete documentation index at: https://payhawk.com/help/llms.txt > Use this file to discover all available pages before exploring further. # SAML-SSO mit Okta (Identity Engine) einrichten Okta ist ein herstellerneutraler Identitätsanbieter. Seine moderne Architektur (die [Okta Identity Engine](https://help.okta.com/oie/en-us/content/topics/identity-engine/oie-index.htm)) ermöglicht es Administratoren, aus einer Standard-SAML-2.0-Anwendung genau die Anmelderichtlinie zusammenzustellen, die Payhawk benötigt. Sobald diese eingerichtet ist, meldet sich Ihr Team mit seinen Okta-Anmeldeinformationen bei Payhawk an, anstatt ein separates Payhawk-Passwort zu verwenden, und wer Zugriff auf Payhawk hat, richtet sich nach den App-Zuweisungen, die Sie bereits in Okta verwalten. > [!WARNING] > SAML unterstützt keine vom Identitätsanbieter (IdP) initiierte Authentifizierung. Ihre Benutzer müssen stets über die Payhawk-Anmeldeseite beginnen. Die Zwei-Faktor-Authentifizierung (2FA) gilt, sofern sie aktiviert ist, weiterhin, und SSO ersetzt diese nicht. ## Bevor Sie starten - Sie benötigen Administratorrechte für die Okta Admin Console. - Sie benötigen Payhawk-Administratorrechte in Payhawk, um die Einrichtung zu koordinieren. - Halten Sie Ihre Authentifizierungsdomänen bereit (zum Beispiel `yourcompany.com`), also die E-Mail-Domänen, mit denen sich Ihre Benutzer anmelden. - Die in Okta für jeden Benutzer hinterlegte E-Mail-Adresse muss genau mit der E-Mail-Adresse des Payhawk-Kontos dieses Benutzers übereinstimmen. Nicht übereinstimmende E-Mail-Adressen führen zu fehlgeschlagenen Anmeldungen oder doppelten Benutzerdatensätzen. ## Einstellungen für Payhawk-Dienstanbieter (SP) So konfigurieren Sie die SAML-Anwendung in Okta mit den folgenden Werten. Sie sind für alle Kunden gleich. | Einstellung | Wert | | --- | --- | | Single-Sign-On-URL / Zielgruppe – ACS-URL | `https://id.payhawk.com/saml2/idpresponse` | | Zielgruppen-URI (SP-Entitäts-ID) | `urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p` | | Standard-RelayState | Leer lassen | | Namens-ID-Format | `E-Mail-Adresse` | | Erforderliches Attribut | `E-Mail`, zugeordnet zu `user.email` | ## SAML-Anwendung erstellen und konfigurieren 1. Melden Sie sich als Administrator bei der Okta Admin Console an. Weitere Informationen zur Konsole finden Sie unter [Okta: Die neu gestaltete Admin Console und das Dashboard](https://www.okta.com/blog/2021/04/oktas-redesigned-admin-console-and-dashboard-now-in-ga/). 2. Erweitern Sie im Navigationsmenü **Anwendungen** und wählen Sie **Anwendungen** aus. 3. Wählen Sie **App-Integration erstellen** aus. 4. Wählen Sie im Menü **Neue App-Integration erstellen** die Option **SAML 2.0** als **Anmeldemethode** aus und klicken Sie anschließend auf **Weiter**. Weitere Informationen finden Sie im Abschnitt [Vorbereiten Ihrer Integration](https://developer.okta.com/help/guides/build-sso-integration/saml2/main/#prepare-your-integration) im Leitfaden „Erstellen einer Single-Sign-On-Integration (SSO)“ auf der Okta-Entwickler-Website. ![Das Dialogfeld Create a new app integration in Okta Identity Engine mit der ausgewählten Option SAML 2.0.](https://cdn.payhawk.com/Help%20desk%20images%20moved/Setting_up_SAML_SSO_with_Okta_Identity_Engine_20250507_manual.png) 1. Geben Sie auf der Seite **SAML-Integration erstellen** unter **Allgemeine Einstellungen** den App-Namen **Payhawk** ein. Laden Sie optional ein Logo hoch, legen Sie die Sichtbarkeitseinstellungen fest und wählen Sie anschließend **Weiter**. 2. Geben Sie unter **SAML-Einstellungen** > **ALLGEMEIN** die Werte für den Payhawk-Dienstanbieter ein: - Geben Sie unter **URL für Single Sign-On** Folgendes ein: `https://id.payhawk.com/saml2/idpresponse`. Lassen Sie die Option **Diese URL für Empfänger-URL und Ziel-URL verwenden** ausgewählt. - Geben Sie unter **Zielgruppen-URI (SP-Entitäts-ID)** Folgendes ein: `urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p` - Lassen Sie **Standard-RelayState** leer. - Wählen Sie unter **Namens-ID-Format** die Option **E-Mail-Adresse** und unter **Anwendungsnutzername** die Option **E-Mail** aus. 3. Lassen Sie die übrigen Einstellungen auf den Standardwerten oder passen Sie sie Ihren Präferenzen entsprechend an. ## E-Mail-Attribut zuordnen Payhawk benötigt ein einzelnes Attribut mit dem Namen `E-Mail`. 1. Fügen Sie auf derselben Seite unter **ATTRIBUTANWEISUNGEN** eine Anweisung hinzu: - Geben Sie unter **Name** `E-Mail` ein. - Lassen Sie unter **Namensformat** die Einstellung **Nicht angegeben** ausgewählt. - Geben Sie unter **Wert** `user.email` ein. 2. Wählen Sie **Weiter** aus, schließen Sie den Feedback-Schritt ab und wählen Sie **Fertigstellen** aus. ## Benutzer zuweisen 1. Nachdem die SAML-Anwendung konfiguriert wurde, weisen Sie den entsprechenden Personen und Gruppen Zugriff zu. 2. Stellen Sie sicher, dass die Okta-E-Mail-Adresse aller zugewiesenen Benutzer mit der E-Mail-Adresse ihres Payhawk-Kontos übereinstimmt. ## IdP-Metadaten exportieren und an Payhawk senden 1. Öffnen Sie die Payhawk-Anwendung und wechseln Sie zu **Anmelden**. 2. Laden Sie unter **SAML-Signaturzertifikate** oder **SAML-Einrichtung** die **Metadaten des Identitätsanbieters** als XML-Datei herunter. Sie enthalten den Okta-SSO-Endpunkt, die Entitäts-ID und das Signaturzertifikat, die Payhawk benötigt. 3. Wenden Sie sich an Ihren Payhawk Implementation Manager und übermitteln Sie die XML-Datei mit den IdP-Metadaten, Ihre Authentifizierungsdomains sowie die Bestätigung der Attributzuordnung `E-Mail`. Payhawk führt die Backend-Konfiguration durch und bestätigt Ihnen, sobald SSO zum Testen bereit ist. ## Anmeldung testen 1. Gehen Sie zur Anmeldeseite. 2. Geben Sie eine geschäftliche E-Mail-Adresse in einer SSO-fähigen Domain ein. 3. Authentifizieren Sie sich mit Okta und führen Sie alle Schritte für Okta Verify oder die Zwei-Faktor-Authentifizierung durch. 4. Nach erfolgreicher Anmeldung kehren Sie angemeldet zurück. ## Fehlerbehebung - Sie werden zurück zur Anmeldeseite geleitet oder der Zugriff wird verweigert. Überprüfen Sie, ob das Attribut `email` übermittelt wurde und dessen Wert exakt mit der E-Mail-Adresse des Payhawk-Kontos übereinstimmt. - Anwendung nicht zugewiesen – die Person ist der App in Okta nicht zugewiesen. - Vom IdP initiierte Anmeldung schlägt fehl – das ist zu erwarten. Benutzer müssen über die Anmeldeseite beginnen.