Configuration du SSO SAML avec Okta (Identity Engine)

Okta est un fournisseur d'identité universel. Son architecture moderne (Okta Identity Engine) permet aux administrateurs de définir précisément la politique de connexion requise à partir d'une application SAML 2.0 standard. Une fois la configuration en place, vos collaborateurs se connectent avec leurs identifiants Okta, sans mot de passe distinct, et l'accès à Payhawk est régi par les affectations d'applications que vous gérez déjà dans Okta.

SAML ne prend pas en charge l'authentification initiée par le fournisseur d'identité (IdP). Vos utilisateurs doivent toujours démarrer depuis la page de connexion à Payhawk. L'authentification à deux facteurs (2FA), lorsqu'elle est activée, reste obligatoire et n'est pas remplacée par le SSO.

Avant de commencer

• Vous devez disposer d'un accès administrateur à la console d'administration Okta.

• Vous devez disposer des droits d'administrateur Payhawk pour coordonner la configuration.

• Préparez vos domaines d'authentification (par exemple, votreentreprise.com), c'est-à-dire les domaines de messagerie utilisés par vos utilisateurs pour se connecter.

• L'adresse e-mail enregistrée dans Okta pour chaque utilisateur doit correspondre exactement à l'adresse e-mail de son compte Payhawk sur la plateforme. Toute discordance entraîne des échecs de connexion ou la création de doublons.

Paramètres du fournisseur de services (SP) de Payhawk

Pour configurer l'application SAML dans Okta, utilisez les valeurs suivantes. Elles sont identiques pour tous les clients.

Création et configuration de l'application SAML

1. Connectez-vous à la console d'administration Okta en tant qu'administrateur. Pour plus d'informations sur la console, consultez la Console d'administration et le tableau de bord repensés d'Okta.

2. Dans le menu de navigation, développez Applications et sélectionnez Applications.

3. Sélectionnez Créer une intégration d'application.

4. Dans le menu Créer une nouvelle intégration d'application, sélectionnez SAML 2.0 comme méthode de connexion, puis cliquez sur Suivant. Pour plus d’informations, consultez la section Préparez votre intégration du guide Créer une intégration d’authentification unique (SSO) sur le site Web Okta Developer.

5. Sur la page Créer une intégration SAML, sous Paramètres généraux, saisissez Payhawk comme nom de l'application. Si vous le souhaitez, téléchargez un logo et choisissez les paramètres de visibilité, puis cliquez sur Suivant.

6. Sous Paramètres SAML > GÉNÉRAL, saisissez les valeurs du fournisseur de services Payhawk :

   • Pour URL d'authentification unique, saisissez : https://id.payhawk.com/saml2/idpresponse. Veillez à ce que l'option Utiliser cette URL pour l'URL du destinataire et l'URL de destination reste sélectionnée.

   • Pour l'URI de l'audience (ID d'entité SP), saisissez : urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

   • Veuillez laisser RelayState par défaut vide.

   • Pour Format de l'ID de nom, sélectionnez Adresse e-mail, et pour Nom d'utilisateur de l'application, sélectionnez E-mail.

7. Conservez les paramètres restants par défaut ou configurez-les selon vos préférences.

Mappage de l'attribut e-mail

Payhawk nécessite un seul attribut nommé e-mail.

1. Sur la même page, sous DÉCLARATIONS D'ATTRIBUTS, ajoutez une déclaration :

   • Pour Nom, saisissez e-mail.

   • Pour Format du nom, conservez Non spécifié.

   • Pour Valeur, saisissez user.email.

2. Sélectionnez Suivant, complétez l'étape relative aux commentaires, puis sélectionnez Terminer.

Attribution des utilisateurs

1. Une fois l'application SAML configurée, accordez l'accès aux personnes et aux groupes concernés.

2. Vérifiez que l'adresse e-mail Okta de chaque utilisateur attribué correspond à l'adresse e-mail de son compte sur la plateforme.

Exportation des métadonnées IdP et envoi à la plateforme

1. Ouvrez l'application Payhawk et accédez à l'onglet Connexion.

2. Sous Certificats de signature SAML ou Configuration SAML, téléchargez les métadonnées du fournisseur d'identité sous forme de fichier XML. Ce fichier contient le point de terminaison SSO Okta, l'ID d'entité et le certificat de signature dont Payhawk a besoin.

3. Contactez votre responsable d'implémentation Payhawk et fournissez-lui le fichier XML contenant les métadonnées de l'IdP, votre ou vos domaine(s) d'authentification, ainsi que la confirmation du mappage de l'attribut e-mail.

La plateforme finalise la configuration côté serveur et vous confirme que le SSO est prêt à être testé.

Test de la connexion

1. Accédez à la page de connexion Payhawk.

2. Saisissez une adresse e-mail professionnelle associée à un domaine sur lequel l'authentification SSO est activée.

3. Authentifiez-vous avec Okta et effectuez les étapes Okta Verify ou de double authentification (2FA) requises.

4. Une fois la connexion établie, vous êtes redirigé(e) vers Payhawk en tant qu'utilisateur connecté.

Dépannage

• Si vous êtes redirigé(e) vers la page de connexion ou si l'accès vous est refusé, veuillez vérifier que l'attribut e-mail est bien envoyé et que sa valeur correspond exactement à l'adresse e-mail du compte Payhawk.

• Application non attribuée : l'utilisateur n'est pas attribué à l'application Payhawk dans Okta.

• La connexion initiée par le fournisseur d'identité (IdP) échoue : ce comportement est attendu. Les utilisateurs doivent démarrer depuis la page de connexion Payhawk.