Configuration du SSO SAML avec JumpCloud

JumpCloud est une plateforme d'annuaire dans le cloud, une alternative moderne à Active Directory sur site qui regroupe la gestion des identités, l'authentification unique (SSO) et la gestion des appareils au sein d'une seule console. Payhawk prend en charge JumpCloud en tant que fournisseur d'identité pour l'authentification unique via SAML ; votre équipe peut ainsi se connecter à l'aide de ses identifiants JumpCloud, et vous gérez cet accès en parallèle des utilisateurs et des appareils que vous administrez déjà sur cette plateforme.

SAML ne prend pas en charge l'authentification initiée par le fournisseur d'identité (IdP). Vos utilisateurs doivent toujours commencer par la page de connexion Payhawk. L'authentification à deux facteurs (2FA), lorsqu'elle est activée, reste applicable, et l'authentification unique (SSO) ne la remplace pas.

Avant de commencer

• Vous devez disposer d'un accès administrateur à la console d'administration JumpCloud.

• Vous devez disposer des droits d'administrateur Payhawk pour coordonner la configuration.

• Préparez vos domaines d'authentification (par exemple, votreentreprise.com), c'est-à-dire les domaines de messagerie utilisés par vos utilisateurs pour se connecter.

• L'adresse e-mail que JumpCloud envoie à chaque utilisateur doit correspondre exactement à celle associée à son compte Payhawk. Toute divergence entre ces deux adresses entraîne des échecs de connexion ou la création de doublons.

Paramètres du fournisseur de services (SP) Payhawk

Pour configurer l'application SAML dans JumpCloud, utilisez les valeurs suivantes. Elles sont identiques pour tous les clients.

Création et configuration de l'application SAML

1. Ouvrez la console d'administration JumpCloud et créez une nouvelle application SSO nommée Payhawk en utilisant l'option Application SAML personnalisée.

2. Configurez les paramètres clés suivants :

   • ID d'entité IdP et ID d'entité SP : utilisez l'ID d'entité SP fourni par Payhawk, urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p.

   • URL ACS : saisissez https://id.payhawk.com/saml2/idpresponse.

   • ID de nom du sujet SAML : définissez ce champ sur e-mail.

   • Forma de l'ID de nom du sujet SAML : sélectionnez Adresse e-mail.

   • Déclarez le point de terminaison de redirection : activez ce paramètre.

   • URL IdP : indiquez l'URL SSO IdP JumpCloud pour cette application.

Mappage de l'attribut e-mail

Payhawk nécessite un seul attribut nommé e-mail.

1. Dans la section Attributs de l'application, ajoutez un mappage d'attributs utilisateur en définissant le Nom de l'attribut du fournisseur de services sur e-mail et le Nom de l'attribut JumpCloud sur e-mail.

2. Vérifiez que l'attribut est inclus dans l'assertion SAML envoyée à Payhawk.

Attribution des utilisateurs

1. Dans l'onglet Groupes d'utilisateurs de l'application, attribuez l'application aux utilisateurs et groupes concernés.

2. Vérifiez que chaque utilisateur attribué a un e-mail valide qui correspond à son compte Payhawk.

Exportation des métadonnées IdP et envoi sur Payhawk

1. Exportez le fichier XML de métadonnées de cette application SAML. Il contient le point de terminaison SSO JumpCloud, l'ID d'entité et le certificat de signature requis par Payhawk.

2. Contactez votre responsable d'implémentation Payhawk ou le support Payhawk et fournissez-lui le fichier XML contenant les métadonnées de l'IdP, votre ou vos domaine(s) d'authentification, ainsi que la confirmation du mappage de l'attribut e-mail.

La plateforme finalise la configuration backend et confirme lorsque le SSO est prêt à être testé.

Test de la connexion

1. Accédez à la page de connexion Payhawk.

2. Saisissez une adresse e-mail professionnelle associée à un domaine sur lequel le SSO est activé.

3. Authentifiez-vous avec JumpCloud et effectuez l'éventuelle étape de double authentification (2FA).

4. Si l'opération aboutit, vous serez redirigé(e) vers Payhawk en tant qu'utilisateur connecté.

Migration de Google vers JumpCloud

Si vous passez du SSO Google à JumpCloud, aucune migration n'est nécessaire sur la plateforme, à condition que l'attribut e-mail renvoyé par JumpCloud corresponde à l'adresse e-mail professionnelle utilisée précédemment avec le SSO Google.

• Payhawk identifie les utilisateurs par adresse e-mail. Pour éviter les doublons de comptes ou la perte d'accès aux cartes, aux dépenses ou aux autorisations, assurez-vous que l'attribut d'e-mail JumpCloud correspond à l'adresse e-mail Payhawk existante.

• Si l'adresse e-mail est différente, un nouveau compte utilisateur est créé sur la plateforme et les données antérieures ne sont pas transférées.

Dépannage

• Si vous êtes redirigé(e) vers la page de connexion ou si l'accès vous est refusé, veuillez vérifier que l'attribut e-mail est bien envoyé et que sa valeur correspond exactement à l'adresse e-mail du compte Payhawk.

• Application non attribuée : l'utilisateur n'est pas associé à l'application Payhawk via un groupe d'utilisateurs JumpCloud.

• Compte en double après changement d'IdP : l'attribut e-mail ne correspond pas à l'adresse e-mail déjà enregistrée sur Payhawk. Alignez les adresses e-mail avant la première connexion.

• La connexion initiée par le fournisseur d'identité (IdP) échoue : ce comportement est attendu. Les utilisateurs doivent démarrer depuis la page de connexion Payhawk.