SAML-SSO mit Thales SafeNet Trusted Access einrichten

Prev Next

Payhawk unterstützt SAML-v2.0-Single-Sign-on. So kann sich Ihr Team mit bestehenden Thales-SafeNet-Trusted-Access-(STA)-Zugangsdaten statt mit einem separaten Payhawk-Passwort anmelden.

SAML unterstützt keine vom Identitätsanbieter (IdP) initiierte Authentifizierung. Ihre Benutzer müssen stets über die Payhawk-Anmeldeseite beginnen. Die Zwei-Faktor-Authentifizierung (2FA) gilt, sofern sie aktiviert ist, weiterhin, und SSO ersetzt diese nicht.

Bevor Sie starten

  • Sie benötigen Administratorrechte für die SafeNet Trusted Admin Console.

  • Sie benötigen Payhawk-Administratorrechte in Payhawk, um die Einrichtung zu koordinieren.

  • Halten Sie Ihre Authentifizierungsdomänen bereit (zum Beispiel yourcompany.com), also die E-Mail-Domänen, mit denen sich Ihre Benutzer anmelden.

  • Die in SafeNet Trusted Access für jeden Benutzer hinterlegte E-Mail-Adresse muss genau mit der E-Mail-Adresse des Payhawk-Kontos dieses Benutzers übereinstimmen. Nicht übereinstimmende E-Mail-Adressen führen zu fehlgeschlagenen Anmeldungen oder doppelten Benutzerdatensätzen.

Einstellungen für Payhawk-Dienstanbieter (SP)

So konfigurieren Sie die SAML-Anwendung in SafeNet Trusted Access mit den folgenden Werten. Sie sind für alle Kunden gleich.

Einstellung

Wert

Zielgruppen-URI / SP-Entitäts-ID

urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

ACS-URL / Assertion Consumer Service / Single-Sign-on-URL

https://id.payhawk.com/saml2/idpresponse

NameID-Format

E-Mail-Adresse

Erforderliches Attribut

E-Mail, die E-Mail-Adresse der Person

SAML-Anwendung erstellen und konfigurieren

  1. Melden Sie sich als Administrator bei der SafeNet Trusted Access-Konsole an.

  2. Wechseln Sie zur Registerkarte Anwendungen und wählen Sie Anwendung hinzufügen aus.

  3. Suchen Sie im Anwendungskatalog nach Payhawk. Falls die Anwendung nicht aufgeführt ist, wählen Sie Benutzerdefinierte Anwendung hinzufügen und anschließend die SAML-Option (Vorlage oder manuell).

  4. Benennen Sie die Anwendung Payhawk. Fügen Sie optional das Payhawk-Logo und eine Beschreibung hinzu, damit Nutzende sie in ihrem Portal „Meine Anwendungen“ erkennen.

  5. Geben Sie in der SAML-Konfiguration der Anwendung die Werte für den Payhawk-Service-Provider ein:

    • Geben Sie für SP-Entitäts-ID / Zielgruppe Folgendes ein: urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

    • Geben Sie für Assertion Consumer Service (ACS)-URL / Antwort-URL Folgendes ein: https://id.payhawk.com/saml2/idpresponse

    • Lassen Sie den Standard-Relay-Status leer.

    • Wählen Sie für das Format NameID die E-Mail-Adresse (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress) aus und setzen Sie den Wert auf die E-Mail-Adresse des Benutzers.

  6. Behalten Sie ausschließlich den Ablauf SP-initiiert bei. Aktivieren Sie kein IdP-initiiertes SSO, da Payhawk dies nicht unterstützt.

  7. Signieren Sie die SAML-Assertion mit dem STA-Signaturzertifikat. Dies ist die Standardeinstellung in SafeNet Trusted Access und muss aktiviert bleiben.

E-Mail-Attribut zuordnen

Payhawk benötigt ein einzelnes Attribut mit dem Namen E-Mail.

  1. Fügen Sie im Abschnitt Attribute der Anwendung eine Zuordnung hinzu, deren Attributname E-Mail lautet und deren Wert auf die E-Mail-Adresse des Benutzers für „SafeNet Trusted Access“ gesetzt ist.

  2. Stellen Sie sicher, dass das Attribut in der an Payhawk gesendeten SAML-Assertion enthalten ist.

Benutzer zuweisen

  1. Weisen Sie die Payhawk-Anwendung den entsprechenden Benutzern und Gruppen in SafeNet Trusted Access zu.

  2. Stellen Sie sicher, dass jede zugewiesene Person über eine gültige E-Mail-Adresse verfügt, die mit ihrem Konto übereinstimmt.

IdP-Metadaten exportieren und an Payhawk senden

  1. Öffnen Sie die von Ihnen erstellte Anwendung und suchen Sie den Download der SAML-Metadaten (IdP-Metadaten).

  2. Laden Sie die XML-Datei mit den IdP-Metadaten herunter. Sie enthält den STA-SSO-Endpunkt, die Entitäts-ID und das Signaturzertifikat, die Payhawk benötigt.

  3. Wenden Sie sich an Ihren Payhawk Implementation Manager und übermitteln Sie die XML-Datei mit den IdP-Metadaten, Ihre Authentifizierungsdomains sowie die Bestätigung der Attributzuordnung E-Mail.

Payhawk führt die Backend-Konfiguration durch und bestätigt Ihnen, sobald SSO zum Testen bereit ist.

Anmeldung testen

  1. Gehen Sie zur Anmeldeseite.

  2. Geben Sie eine geschäftliche E-Mail-Adresse in einer SSO-fähigen Domain ein.

  3. Authentifizieren Sie sich über SafeNet Trusted Access und führen Sie alle erforderlichen STA-Push-, OTP- oder 2FA-Schritte aus.

  4. Nach erfolgreicher Anmeldung kehren Sie angemeldet zurück.

Fehlerbehebung

  • Sie werden zurück zur Anmeldeseite geleitet oder der Zugriff wird verweigert. Überprüfen Sie, ob das Attribut E-Mail übermittelt wurde und dessen Wert exakt mit der E-Mail-Adresse des Payhawk-Kontos übereinstimmt.

  • Anwendung nicht zugewiesen – die Person ist der App in SafeNet Trusted Access. nicht zugewiesen.

  • Vom IdP initiierte Anmeldung schlägt fehl – das ist zu erwarten. Benutzer müssen über die Anmeldeseite beginnen.