Configuration de l'authentification unique SAML avec Microsoft Entra (Azure Active Directory)

Microsoft Entra ID (anciennement Azure Active Directory) constitue la colonne vertébrale de la gestion des identités de Microsoft 365 et d'Azure ; c'est pourquoi la plupart des entreprises y gèrent déjà leur annuaire d'utilisateurs. L'enregistrement de Payhawk en tant qu'application d'entreprise hors galerie permet à votre équipe d'accéder à Payhawk à l'aide du compte Microsoft qu'elle utilise au quotidien, tandis que l'accès conditionnel, l'authentification à plusieurs facteurs (MFA) et l'attribution par groupe continuent de s'appliquer exactement comme pour vos autres applications.

SAML ne prend pas en charge l'authentification initiée par le fournisseur d'identité (IdP). Vos utilisateurs doivent toujours commencer par la page de connexion Payhawk. L'authentification à deux facteurs (2FA), lorsqu'elle est activée, reste applicable, et l'authentification unique (SSO) ne la remplace pas.

Avant de commencer

• Vous devez disposer d'un rôle permettant de créer et de gérer des applications d'entreprise dans Microsoft Entra (par exemple, Administrateur d'applications cloud ou Administrateur global).

• Vous devez disposer des droits d'administrateur Payhawk pour coordonner la configuration.

• Préparez vos domaines d'authentification (par exemple, votreentreprise.com), c'est-à-dire les domaines de messagerie utilisés par vos utilisateurs pour se connecter.

• L'adresse e-mail qu'Entra envoie à chaque utilisateur doit correspondre exactement à celle associée à son compte Payhawk. Toute divergence entre ces deux adresses entraîne des échecs de connexion ou la création de doublons.

Paramètres du fournisseur de services (SP)

Pour configurer l'application SAML dans Microsoft Entra, utilisez les valeurs suivantes dans le volet Configuration SAML de base. Elles sont identiques pour tous les clients.

Création et configuration de l'application SAML

1. Ouvrez entra.microsoft.com et connectez-vous.

2. Accédez à Applications d'entreprise.

3. Sélectionnez Nouvelle application > Créer votre propre application.

4. Pour le nom de l'application, saisissez Payhawk.

5. Sélectionnez Intégrer toute autre application introuvable dans la galerie (hors galerie), puis sélectionnez Créer.

6. Sur la page de l'application, accédez à Démarrer > Authentification unique et sélectionnez SAML.

7. Dans le volet Configuration SAML de base, saisissez les valeurs du fournisseur de services :

   • Pour Identifiant (ID d'entité), saisissez : urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

   • Pour URL de réponse (URL du service consommateur d'assertions), saisissez : https://id.payhawk.com/saml2/idpresponse

   • Laissez vides tous les autres champs facultatifs.

Mappage de l'attribut e-mail

Chaque utilisateur est identifié par son adresse e-mail. L'assertion doit donc contenir l'adresse e-mail de l'utilisateur.

1. Dans la section Attributs & Revendications, vérifiez qu'une revendication Adresse e-mail existe et correspond à l'adresse e-mail de l'utilisateur enregistrée dans Payhawk.

2. Dans la plupart des cas, vous la mapperez à user.userprincipalname ou à user.mail, selon celle qui correspond à l'adresse e-mail utilisée pour inviter l'utilisateur sur Payhawk.

Attribution des utilisateurs

1. Accédez à Utilisateurs et groupes et attribuez l'application aux utilisateurs et groupes concernés.

2. Confirmez que l'adresse e-mail de chaque utilisateur attribué correspond à son compte Payhawk.

Exportation des métadonnées IdP et envoi sur Payhawk

1. Dans la section Certificats SAML de la page d'authentification unique, téléchargez le fichier XML de métadonnées de fédération. Il contient le point de terminaison SSO Entra, l'identifiant d'entité et le certificat de signature requis par Payhawk.

2. Contactez votre responsable d'implémentation Payhawk et fournissez-lui le fichier XML contenant les métadonnées de Federation, votre ou vos domaine(s) d'authentification, ainsi que la confirmation du mappage de l'attribut e-mail.

La plateforme finalise la configuration backend et confirme lorsque le SSO est prêt à être testé.

Test de la connexion

1. Accédez à la page de connexion Payhawk.

2. Saisissez une adresse e-mail professionnelle associée à un domaine sur lequel le SSO est activé.

3. Authentifiez-vous avec Microsoft Entra et effectuez les éventuelles étapes d'accès conditionnel ou de double authentification (2FA) requises.

4. Si l'opération aboutit, vous serez redirigé(e) vers Payhawk en tant qu'utilisateur connecté.

Dépannage

• Si vous êtes redirigé(e) vers la page de connexion ou si l'accès vous est refusé, vérifiez que le champ e-mail a bien été renseigné et que sa valeur correspond exactement à l'adresse e-mail associée au compte Payhawk. Si l'UPN de vos utilisateurs diffère de leur adresse e-mail, associez ce champ à user.mail.

• Application non attribuée : l'utilisateur n'est pas attribué à l'application d'entreprise dans Entra.

• La connexion initiée par le fournisseur d'identité (IdP) échoue : ce comportement est attendu. Les utilisateurs doivent démarrer depuis la page de connexion Payhawk.