--- title: "SSO SAML avec Entra ID pour les administrateurs - Payhawk Help Center" slug: "setting-up-saml-sso-with-microsoft-entra-azure-active-directory" description: "Enregistrez Payhawk comme application d'entreprise dans Microsoft Entra ID, mappez la revendication e-mail, affectez des utilisateurs, envoyez les métadonnées." updated: 2026-10-23T07:50:07Z published: 2026-10-23T07:50:07Z canonical: "payhawk.com/setting-up-saml-sso-with-microsoft-entra-azure-active-directory" --- > ## Documentation Index > Fetch the complete documentation index at: https://payhawk.com/help/llms.txt > Use this file to discover all available pages before exploring further. # Configuration de l'authentification unique SAML avec Microsoft Entra (Azure Active Directory) [Microsoft Entra ID](https://entra.microsoft.com/) (anciennement Azure Active Directory) constitue la colonne vertébrale de la gestion des identités de Microsoft 365 et d'Azure ; c'est pourquoi la plupart des entreprises y gèrent déjà leur annuaire d'utilisateurs. L'enregistrement de Payhawk en tant qu'application d'entreprise hors galerie permet à votre équipe d'accéder à Payhawk à l'aide du compte Microsoft qu'elle utilise au quotidien, tandis que l'accès conditionnel, l'authentification à plusieurs facteurs (MFA) et l'attribution par groupe continuent de s'appliquer exactement comme pour vos autres applications. > [!WARNING] > SAML ne prend pas en charge l'authentification initiée par le fournisseur d'identité (IdP). Vos utilisateurs doivent toujours commencer par la page de connexion Payhawk. L'authentification à deux facteurs (2FA), lorsqu'elle est activée, reste applicable, et l'authentification unique (SSO) ne la remplace pas. ## Avant de commencer - Vous devez disposer d'un rôle permettant de créer et de gérer des applications d'entreprise dans Microsoft Entra (par exemple, Administrateur d'applications cloud ou Administrateur global). - Vous devez disposer des droits d'administrateur Payhawk pour coordonner la configuration. - Préparez vos domaines d'authentification (par exemple, `votreentreprise.com`), c'est-à-dire les domaines de messagerie utilisés par vos utilisateurs pour se connecter. - L'adresse e-mail qu'Entra envoie à chaque utilisateur doit correspondre exactement à celle associée à son compte Payhawk. Toute divergence entre ces deux adresses entraîne des échecs de connexion ou la création de doublons. ## Paramètres du fournisseur de services (SP) Pour configurer l'application SAML dans Microsoft Entra, utilisez les valeurs suivantes dans le volet **Configuration SAML de base**. Elles sont identiques pour tous les clients. | Paramètre | Valeur | | --- | --- | | Identifiant (ID d'entité) | `urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p` | | URL de réponse (URL du service consommateur d'assertions) | `https://id.payhawk.com/saml2/idpresponse` | | URL de connexion / Relay State / URL de déconnexion | Laisser vide (facultatif) | | Attribut requis | `e-mail`, l'adresse e-mail de l'utilisateur | ## Création et configuration de l'application SAML 1. Ouvrez [entra.microsoft.com](https://entra.microsoft.com/) et connectez-vous. 2. Accédez à [**Applications d'entreprise**](https://entra.microsoft.com/#view/Microsoft_AAD_IAM/StartboardApplicationsMenuBlade/~/AppAppsPreview). 3. Sélectionnez **Nouvelle application** > **Créer votre propre application**. 4. Pour le nom de l'application, saisissez **Payhawk**. 5. Sélectionnez **Intégrer toute autre application introuvable dans la galerie (hors galerie)**, puis sélectionnez **Créer**. 6. Sur la page de l'application, accédez à **Démarrer** > **Authentification unique** et sélectionnez **SAML**. 7. Dans le volet **Configuration SAML de base**, saisissez les valeurs du fournisseur de services : - Pour **Identifiant (ID d'entité)**, saisissez : `urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p` - Pour **URL de réponse (URL du service consommateur d'assertions)**, saisissez : `https://id.payhawk.com/saml2/idpresponse` - Laissez vides tous les autres champs facultatifs. ## Mappage de l'attribut e-mail Chaque utilisateur est identifié par son adresse e-mail. L'assertion doit donc contenir l'adresse e-mail de l'utilisateur. 1. Dans la section **Attributs & Revendications**, vérifiez qu'une revendication `Adresse e-mail` existe et correspond à l'adresse e-mail de l'utilisateur enregistrée dans Payhawk. 2. Dans la plupart des cas, vous la mapperez à **user.userprincipalname** ou à **user.mail**, selon celle qui correspond à l'adresse e-mail utilisée pour inviter l'utilisateur sur Payhawk. ## Attribution des utilisateurs 1. Accédez à **Utilisateurs et groupes** et attribuez l'application aux utilisateurs et groupes concernés. 2. Confirmez que l'adresse e-mail de chaque utilisateur attribué correspond à son compte Payhawk. ## Exportation des métadonnées IdP et envoi sur Payhawk 1. Dans la section **Certificats SAML** de la page d'authentification unique, téléchargez le fichier **XML de métadonnées de fédération**. Il contient le point de terminaison SSO Entra, l'identifiant d'entité et le certificat de signature requis par Payhawk. 2. Contactez votre responsable d'implémentation Payhawk et fournissez-lui le fichier XML contenant les métadonnées de Federation, votre ou vos domaine(s) d'authentification, ainsi que la confirmation du mappage de l'attribut e-mail. La plateforme finalise la configuration backend et confirme lorsque le SSO est prêt à être testé. ## Test de la connexion 1. Accédez à la page de connexion Payhawk. 2. Saisissez une adresse e-mail professionnelle associée à un domaine sur lequel le SSO est activé. 3. Authentifiez-vous avec Microsoft Entra et effectuez les éventuelles étapes d'accès conditionnel ou de double authentification (2FA) requises. 4. Si l'opération aboutit, vous serez redirigé(e) vers Payhawk en tant qu'utilisateur connecté. ## Dépannage - Si vous êtes redirigé(e) vers la page de connexion ou si l'accès vous est refusé, vérifiez que le champ e-mail a bien été renseigné et que sa valeur correspond exactement à l'adresse e-mail associée au compte Payhawk. Si l'UPN de vos utilisateurs diffère de leur adresse e-mail, associez ce champ à user.mail. - Application non attribuée : l'utilisateur n'est pas attribué à l'application d'entreprise dans Entra. - La connexion initiée par le fournisseur d'identité (IdP) échoue : ce comportement est attendu. Les utilisateurs doivent démarrer depuis la page de connexion Payhawk.