---
title: "SAML-SSO mit Thales SafeNet für die Verwaltung - Payhawk Help Center"
slug: "setting-up-saml-sso-with-thales-safenet-trusted-access"
description: "Richten Sie SAML Single Sign-on zwischen Payhawk und Thales SafeNet Trusted Access ein: App hinzufügen, E-Mail-Attribut zuordnen und Metadaten exportieren."
updated: 2026-10-23T07:51:18Z
published: 2026-10-23T07:51:18Z
canonical: "payhawk.com/setting-up-saml-sso-with-thales-safenet-trusted-access"
---

> ## Documentation Index
> Fetch the complete documentation index at: https://payhawk.com/help/llms.txt
> Use this file to discover all available pages before exploring further.

# SAML-SSO mit Thales SafeNet Trusted Access einrichten

Payhawk unterstützt SAML-v2.0-Single-Sign-on. So kann sich Ihr Team mit bestehenden [Thales-SafeNet-Trusted-Access-(STA)-Zugangsdaten](https://cpl.thalesgroup.com/access-management/safenet-trusted-access) statt mit einem separaten Payhawk-Passwort anmelden.

> [!WARNING]
> SAML unterstützt keine vom Identitätsanbieter (IdP) initiierte Authentifizierung. Ihre Benutzer müssen stets über die Payhawk-Anmeldeseite beginnen. Die Zwei-Faktor-Authentifizierung (2FA) gilt, sofern sie aktiviert ist, weiterhin, und SSO ersetzt diese nicht.

## Bevor Sie starten

- Sie benötigen Administratorrechte für die SafeNet Trusted Admin Console.
- Sie benötigen Payhawk-Administratorrechte in Payhawk, um die Einrichtung zu koordinieren.
- Halten Sie Ihre Authentifizierungsdomänen bereit (zum Beispiel `yourcompany.com`), also die E-Mail-Domänen, mit denen sich Ihre Benutzer anmelden.
- Die in SafeNet Trusted Access für jeden Benutzer hinterlegte E-Mail-Adresse muss genau mit der E-Mail-Adresse des Payhawk-Kontos dieses Benutzers übereinstimmen. Nicht übereinstimmende E-Mail-Adressen führen zu fehlgeschlagenen Anmeldungen oder doppelten Benutzerdatensätzen.

## Einstellungen für Payhawk-Dienstanbieter (SP)

So konfigurieren Sie die SAML-Anwendung in SafeNet Trusted Access mit den folgenden Werten. Sie sind für alle Kunden gleich.

| Einstellung | Wert |
| --- | --- |
| Zielgruppen-URI / SP-Entitäts-ID | `urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p` |
| ACS-URL / Assertion Consumer Service / Single-Sign-on-URL | `https://id.payhawk.com/saml2/idpresponse` |
| NameID-Format | `E-Mail-Adresse` |
| Erforderliches Attribut | `E-Mail`, die E-Mail-Adresse der Person |

## SAML-Anwendung erstellen und konfigurieren

1. Melden Sie sich als Administrator bei der **SafeNet Trusted Access**-Konsole an.
2. Wechseln Sie zur Registerkarte **Anwendungen** und wählen Sie **Anwendung hinzufügen** aus.
3. Suchen Sie im Anwendungskatalog nach **Payhawk**. Falls die Anwendung nicht aufgeführt ist, wählen Sie **Benutzerdefinierte Anwendung hinzufügen** und anschließend die SAML-Option (Vorlage oder manuell).
4. Benennen Sie die Anwendung **Payhawk**. Fügen Sie optional das Payhawk-Logo und eine Beschreibung hinzu, damit Nutzende sie in ihrem Portal „Meine Anwendungen“ erkennen.
5. Geben Sie in der SAML-Konfiguration der Anwendung die Werte für den Payhawk-Service-Provider ein:
  - Geben Sie für **SP-Entitäts-ID / Zielgruppe** Folgendes ein: `urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p`
  - Geben Sie für **Assertion Consumer Service (ACS)-URL / Antwort-URL** Folgendes ein: `https://id.payhawk.com/saml2/idpresponse`
  - Lassen Sie den **Standard-Relay-Status** leer.
  - Wählen Sie für das Format **NameID** die E-Mail-Adresse (`urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress`) aus und setzen Sie den Wert auf die E-Mail-Adresse des Benutzers.
6. Behalten Sie ausschließlich den Ablauf **SP-initiiert** bei. Aktivieren Sie kein IdP-initiiertes SSO, da Payhawk dies nicht unterstützt.
7. Signieren Sie die SAML-Assertion mit dem STA-Signaturzertifikat. Dies ist die Standardeinstellung in SafeNet Trusted Access und muss aktiviert bleiben.

## E-Mail-Attribut zuordnen

Payhawk benötigt ein einzelnes Attribut mit dem Namen `E-Mail`.

1. Fügen Sie im Abschnitt **Attribute** der Anwendung eine Zuordnung hinzu, deren Attributname `E-Mail` lautet und deren Wert auf die E-Mail-Adresse des Benutzers für „SafeNet Trusted Access“ gesetzt ist.
2. Stellen Sie sicher, dass das Attribut in der an Payhawk gesendeten SAML-Assertion enthalten ist.

## Benutzer zuweisen

1. Weisen Sie die Payhawk-Anwendung den entsprechenden Benutzern und Gruppen in SafeNet Trusted Access zu.
2. Stellen Sie sicher, dass jede zugewiesene Person über eine gültige E-Mail-Adresse verfügt, die mit ihrem Konto übereinstimmt.

## IdP-Metadaten exportieren und an Payhawk senden

1. Öffnen Sie die von Ihnen erstellte Anwendung und suchen Sie den Download der SAML-Metadaten (IdP-Metadaten).
2. Laden Sie die XML-Datei mit den IdP-Metadaten herunter. Sie enthält den STA-SSO-Endpunkt, die Entitäts-ID und das Signaturzertifikat, die Payhawk benötigt.
3. Wenden Sie sich an Ihren Payhawk Implementation Manager und übermitteln Sie die XML-Datei mit den IdP-Metadaten, Ihre Authentifizierungsdomains sowie die Bestätigung der Attributzuordnung `E-Mail`.

Payhawk führt die Backend-Konfiguration durch und bestätigt Ihnen, sobald SSO zum Testen bereit ist.

## Anmeldung testen

1. Gehen Sie zur Anmeldeseite.
2. Geben Sie eine geschäftliche E-Mail-Adresse in einer SSO-fähigen Domain ein.
3. Authentifizieren Sie sich über SafeNet Trusted Access und führen Sie alle erforderlichen STA-Push-, OTP- oder 2FA-Schritte aus.
4. Nach erfolgreicher Anmeldung kehren Sie angemeldet zurück.

## Fehlerbehebung

- Sie werden zurück zur Anmeldeseite geleitet oder der Zugriff wird verweigert. Überprüfen Sie, ob das Attribut `E-Mail` übermittelt wurde und dessen Wert exakt mit der E-Mail-Adresse des Payhawk-Kontos übereinstimmt.
- Anwendung nicht zugewiesen – die Person ist der App in SafeNet Trusted Access. nicht zugewiesen.
- Vom IdP initiierte Anmeldung schlägt fehl – das ist zu erwarten. Benutzer müssen über die Anmeldeseite beginnen.