Configuration de l'authentification SSO SAML avec Thales SafeNet Trusted Access

Prev Next

Payhawk prend en charge l'authentification unique SAML v2.0, ce qui permet à votre équipe de se connecter avec ses identifiants Thales SafeNet Trusted Access (STA) existants, sans avoir à utiliser un mot de passe distinct.

SAML ne prend pas en charge l'authentification initiée par le fournisseur d'identité (IdP). Vos utilisateurs doivent toujours commencer par la page de connexion Payhawk. L'authentification à deux facteurs (2FA), lorsqu'elle est activée, reste applicable, et l'authentification unique (SSO) ne la remplace pas.

Avant de commencer

  • Vous devez disposer d'un accès administrateur à la console SafeNet Trusted Access.

  • Vous devez disposer des droits d'administrateur Payhawk sur Payhawk pour coordonner la configuration.

  • Préparez vos domaines d'authentification (par exemple, votreentreprise.com), c'est-à-dire les domaines de messagerie utilisés par vos utilisateurs pour se connecter.

  • L'adresse e-mail enregistrée dans SafeNet Trusted Access pour chaque utilisateur doit correspondre exactement à l'adresse e-mail de son compte Payhawk sur la plateforme. Toute discordance entraîne des échecs de connexion ou la création de doublons.

Paramètres du fournisseur de services (SP) Payhawk

Pour configurer l'application SAML dans SafeNet Trusted Access, utilisez les valeurs suivantes. Elles sont identiques pour tous les clients.

Paramètre

Valeur

URI d'audience / Identifiant d'entité SP

urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

URL ACS / Service consommateur d'assertions / URL d'authentification unique

https://id.payhawk.com/saml2/idpresponse

Format de l'ID de nom

Adresse e-mail

Attribut requis

e-mail, l'adresse e-mail de l'utilisateur

Création et configuration de l'application SAML

  1. Connectez-vous à la console SafeNet Trusted Access en tant qu'administrateur.

  2. Accédez à l'onglet Applications et sélectionnez Ajouter une application.

  3. Recherchez Payhawk dans le catalogue d'applications. Si elle n'y figure pas, sélectionnez Ajouter une application personnalisée et choisissez l'option SAML (modèle ou manuelle).

  4. Nommez l'application Payhawk. Vous pouvez également ajouter le logo Payhawk et une description afin que les utilisateurs la reconnaissent dans leur portail Mes applications.

  5. Dans la configuration SAML de l'application, saisissez les valeurs du fournisseur de services Payhawk :

    • Dans le champ ID d'entité SP / Audience, saisissez : urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p

    • Pour URL Assertion Consumer Service (ACS) / URL de réponse, saisissez : https://id.payhawk.com/saml2/idpresponse

    • Laissez le champ État par défaut du relais vide.

    • Pour le format ID de nom, sélectionnez l'adresse e-mail (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress) et définissez la valeur sur l'adresse e-mail de l'utilisateur.

  6. Conservez le flux exclusivement sous la forme initiée par le SP. N'activez pas l'authentification unique (SSO) initiée par l'IdP, car Payhawk ne la prend pas en charge.

  7. Signez l'assertion SAML avec le certificat de signature STA. Il s'agit du paramètre par défaut dans SafeNet Trusted Access ; il doit rester activé.

Mappage de l'attribut e-mail

La plateforme requiert un seul attribut nommé e-mail.

  1. Dans la section Attributs de l'application, ajoutez un mappage avec le nom d'attribut du fournisseur de services e-mail et la valeur définie sur l'adresse e-mail SafeNet Trusted Access de l'utilisateur.

  2. Vérifiez que l'attribut est inclus dans l'assertion SAML envoyée à Payhawk.

Attribution des utilisateurs

  1. Attribuez l'application à les utilisateurs et groupes concernés dans SafeNet Trusted Access.

  2. Vérifiez que chaque utilisateur attribué a un e-mail valide qui correspond à son compte Payhawk.

Exportation des métadonnées IdP et envoi sur Payhawk

  1. Ouvrez l'application que vous avez créée et localisez le téléchargement des métadonnées SAML (métadonnées IdP).

  2. Téléchargez le fichier XML des métadonnées IdP. Il contient le point de terminaison SSO STA, l'identifiant d'entité et le certificat de signature requis par Payhawk.

  3. Contactez votre responsable d'implémentation Payhawk et fournissez-lui le fichier XML contenant les métadonnées de l'IdP, votre ou vos domaine(s) d'authentification, ainsi que la confirmation du mappage de l'attribut e-mail.

La plateforme finalise la configuration backend et confirme lorsque le SSO est prêt à être testé.

Test de la connexion

  1. Accédez à la page de connexion Payhawk.

  2. Saisissez une adresse e-mail professionnelle associée à un domaine sur lequel le SSO est activé.

  3. Authentifiez-vous avec SafeNet Trusted Access et effectuez toute étape STA requise (notification push, OTP ou 2FA).

  4. Si l'opération aboutit, vous serez redirigé(e) vers Payhawk en tant qu'utilisateur connecté.

Dépannage

  • Si vous êtes redirigé(e) vers la page de connexion ou si l'accès vous est refusé, veuillez vérifier que l'attribut e-mail est bien envoyé et que sa valeur correspond exactement à l'adresse e-mail du compte Payhawk.

  • Application non attribuée : l'utilisateur n'est pas attribué à Payhawk dans SafeNet Trusted Access.

  • La connexion initiée par le fournisseur d'identité (IdP) échoue : ce comportement est attendu. Les utilisateurs doivent démarrer depuis la page de connexion Payhawk.