Configuration du SSO SAML avec Google Workspace (GSuite)

Google Workspace (anciennement G Suite) est bien plus qu'une simple suite de messagerie et d'outils de productivité. Sa console d'administration fait également office de fournisseur d'identité capable de fédérer l'accès à des applications tierces via SAML. L'ajout de Payhawk en tant qu'application SAML personnalisée permet à votre équipe de se connecter à l'aide du compte Google qu'elle utilise déjà, et vous contrôlez les accès depuis la même page Applications Web et mobiles que celle que vous utilisez pour tout le reste.

SAML ne prend pas en charge l'authentification initiée par le fournisseur d'identité (IdP). Vos utilisateurs doivent toujours commencer par la page de connexion Payhawk. L'authentification à deux facteurs (2FA), lorsqu'elle est activée, reste applicable, et l'authentification unique (SSO) ne la remplace pas.

Avant de commencer

• Vous devez disposer d'un compte Super administrateur pour votre Google Workspace.

• Vous devez disposer des droits d'administrateur Payhawk pour coordonner la configuration.

• Préparez vos domaines d'authentification (par exemple, votreentreprise.com), c'est-à-dire les domaines de messagerie utilisés par vos utilisateurs pour se connecter.

• L'adresse e-mail principale Google de chaque utilisateur doit correspondre exactement à celle de son compte Payhawk. Toute divergence entraîne des échecs de connexion ou la création de doublons.

• Assurez-vous que les utilisateurs invités sur Payhawk ont bien accès à l'application du côté de Google.

• Veuillez vous assurer que les politiques et les autorisations d'accès aux applications au sein de votre Google Workspace ou de votre système de gestion des appareils n'empêchent pas les utilisateurs d'utiliser l'application Payhawk ni ne bloquent l'accès à Payhawk.

Paramètres du fournisseur de services (SP) Payhawk

Pour configurer l'application SAML dans Google Workspace, utilisez les valeurs suivantes à l'étape Détails du fournisseur de services. Elles sont identiques pour tous les clients.

Création et configuration de l'application SAML

1. Connectez-vous à la console d'administration Google en tant qu'administrateur.

2. Accédez à Applications > Applications Web et mobiles.

3. Sélectionnez Ajouter une application > Ajouter une application SAML personnalisée.

4. Dans le champ du nom de l'application, saisissez Payhawk. Vous pouvez également ajouter une description et un logo, puis sélectionnez Continuer.

5. À l'étape Détails du fournisseur d'identité Google, téléchargez le fichier de métadonnées (métadonnées IdP). Vous le transmettrez ultérieurement à l'équipe de configuration. Sélectionnez Continuer.

6. À l'étape Détails du fournisseur de services, saisissez les valeurs du fournisseur de services :

   • Dans le champ URL ACS, saisissez : https://id.payhawk.com/saml2/idpresponse

   • Dans le champ Identifiant d'entité, saisissez : urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

   • Dans le champ Format d'ID du nom, sélectionnez E-MAIL.

   • Dans le champ ID de nom, sélectionnez Informations de base > Adresse e-mail principale.

7. Sélectionnez Continuer.

Mappage de l'attribut e-mail

Payhawk nécessite un seul attribut nommé e-mail.

1. À l'étape Mappage des attributs, ajoutez un mappage : Adresse e-mail principale → e-mail.

2. Sélectionnez Terminer.

Attribution des utilisateurs

1. Dans Applications Web et mobiles, sélectionnez votre nouvelle application Payhawk.

2. Sous Accès utilisateur, activez le service (ON) pour tous les utilisateurs, ou uniquement pour les unités organisationnelles et les groupes qui doivent utiliser Payhawk.

3. Vérifiez que l'adresse e-mail Google principale de chaque utilisateur correspond à celle de son compte Payhawk.

Exportation des métadonnées IdP et envoi sur Payhawk

1. Si vous n'avez pas téléchargé les métadonnées de l'IdP lors de la configuration, ouvrez l'application Payhawk, puis, dans la rubrique Détails du fournisseur de services ou dans la présentation de l'application, téléchargez le fichier XML Métadonnées de l'IdP. Ce fichier contient le point de terminaison SSO de Google, l'identifiant d'entité et le certificat de signature dont Payhawk a besoin.

2. Contactez votre responsable d'implémentation Payhawk et fournissez-lui le fichier XML contenant les métadonnées de l'IdP, votre ou vos domaine(s) d'authentification, ainsi que la confirmation du mappage de l'attribut e-mail.

La plateforme finalise la configuration backend et confirme lorsque le SSO est prêt à être testé.

Test de la connexion

1. Accédez à la page de connexion.

2. Saisissez une adresse e-mail professionnelle associée à un domaine sur lequel le SSO est activé.

3. Authentifiez-vous avec Google et effectuez les étapes de vérification en deux étapes ou de double authentification (2FA) si elles sont activées.

4. Si l'opération aboutit, vous serez redirigé(e) vers Payhawk en tant qu'utilisateur connecté.

Les modifications apportées aux applications SAML Google Workspace peuvent prendre jusqu'à 24 heures pour se propager, bien qu'elles soient généralement actives en quelques minutes.

Dépannage

• Si vous êtes redirigé(e) vers la page de connexion ou si l'accès vous est refusé, veuillez vérifier que l'attribut e-mail est bien envoyé et que sa valeur correspond exactement à l'adresse e-mail du compte Payhawk.

• Le service est désactivé pour l'utilisateur : l'application n'est pas activée (ON) pour l'unité organisationnelle ou le groupe de cet utilisateur.

• La connexion initiée par le fournisseur d'identité (IdP) échoue : ce comportement est attendu. Les utilisateurs doivent démarrer depuis la page de connexion Payhawk, et non le lanceur d'applications Google.