Diese Funktion ist nur für Enterprise-Nutzer verfügbar.

Diese Funktion gilt nicht für Cognition-Platform-Pläne. Für Cognition Platform sollte SSO stattdessen in Ihren Cognition Platform Settings konfiguriert und verwaltet werden.

Devin Desktop unterstützt jetzt die Anmeldung mit Single Sign-On (SSO) über SAML. Wenn Ihre Organisation Microsoft Entra, Okta, Google Workspaces oder einen anderen Identity Provider verwendet, der SAML unterstützt, können Sie SSO mit Devin Desktop verwenden.

Devin Desktop unterstützt nur SP-initiiertes SSO; IdP-initiiertes SSO wird derzeit NICHT unterstützt.

IdP-Anwendung konfigurieren

Klicken Sie in der Google Admin-Konsole (admin.google.com) links auf Apps -> Web and mobile apps.

Klicken Sie auf Add app und dann auf Add custom SAML app.

Tragen Sie bei App name Windsurf ein und klicken Sie auf Next.Der nächste Bildschirm (Google Identity Provider details) in der Google-Konsole enthält Daten, die Sie in die SSO-Settings von Devin Desktop unter https://windsurf.com/team/settings kopieren müssen. Aktivieren Sie in den SSO-Settings von Devin Desktop zuerst den Toggle SAML Settings, damit die Felder bearbeitet werden können.

Kopieren Sie die SSO URL aus der Google-Konsole in die Devin-Desktop-Settings unter SSO URL
Kopieren Sie die Entity ID aus der Google-Konsole in die Devin-Desktop-Settings unter Idp Entity ID
Kopieren Sie das Certificate aus der Google-Konsole in die Devin-Desktop-Settings unter X509 Certificate
Klicken Sie in der Google-Konsole auf Continue

Der nächste Bildschirm in der Google-Konsole erfordert, dass Sie Daten von der Settings-Seite von Codeium kopieren.

Kopieren Sie die Callback URL von der Settings-Seite von Codeium in der Google-Konsole in ACS URL
Kopieren Sie die SP Entity ID von der Settings-Seite von Codeium in der Google-Konsole in SP Entity ID
Ändern Sie das Name ID-Format in EMAIL
Klicken Sie in der Google-Konsole auf Continue

Der nächste Bildschirm in der Google-Konsole erfordert einige Konfigurationen.

Klicken Sie auf Add Mapping, wählen Sie First name aus und setzen Sie die App attributes auf firstName
Klicken Sie auf Add Mapping, wählen Sie Last name aus und setzen Sie die App attributes auf lastName
Klicken Sie auf Finish

Klicken Sie auf der Settings-Seite von Codeium bei aktiviertem Toggle SAML Settings auf Test, um sicherzustellen, dass die Anmeldung wie erwartet funktioniert. Die Schaltfläche Save erscheint erst, nachdem der Test erfolgreich war; klicken Sie auf Save, um die Konfiguration anzuwenden. Für alle Nutzer wird die SSO-Anmeldung jetzt erzwungen.

Devin Desktop Enterprise unterstützt jetzt die Anmeldung per Single Sign-On (SSO) über SAML. Wenn Ihre Organisation Microsoft Entra ID (früher Azure AD) verwendet, können Sie SSO mit Devin Desktop nutzen.

Devin Desktop unterstützt nur SP-initiiertes SSO; IDP-initiiertes SSO wird derzeit NICHT unterstützt.

Teil 1: Enterprise-Anwendung in Microsoft Entra ID erstellen

Alle Schritte in diesem Abschnitt werden im Microsoft Entra ID Admin Center durchgeführt.

Klicken Sie in Microsoft Entra ID auf Add und dann auf Enterprise Application.

Klicken Sie auf Create your own application.

Benennen Sie Ihre Anwendung Devin Desktop, wählen Sie Integrate any other application you don’t find in the gallery und klicken Sie dann auf Create.

Teil 2: SAML und Nutzerattribute in Microsoft Entra ID konfigurieren

Alle Schritte in diesem Abschnitt werden im Microsoft Entra ID Admin Center durchgeführt.

Klicken Sie in Ihrer neuen Devin Desktop-Anwendung auf Set up single sign on und dann auf SAML.
Klicken Sie unter Basic SAML Configuration auf Edit.
Lassen Sie diesen Entra ID-Tab geöffnet und öffnen Sie einen neuen Tab, um zu den Devin Desktop Teams SSO-Einstellungen unter https://windsurf.com/team/settings zu wechseln.
Im Microsoft Entra ID-SAML-Konfigurationsformular:
- Identifier (Entity ID): Kopieren Sie den Wert SP Entity ID von der Devin Desktop SSO-Einstellungsseite
- Reply URL (Assertion Consumer Service URL): Kopieren Sie den Wert Callback URL von der Devin Desktop SSO-Einstellungsseite
- Klicken Sie oben auf Save
Konfigurieren Sie die Nutzerattribute für die korrekte Namensanzeige. Klicken Sie in Microsoft Entra ID unter Attributes & Claims auf Edit.
Erstellen Sie 2 neue Claims, indem Sie jeweils auf Add new claim klicken:
- Erster Claim: Name = firstName, Quellattribut = user.givenname
- Zweiter Claim: Name = lastName, Quellattribut = user.surname

Teil 3: SSO-Einstellungen im Devin Desktop Portal konfigurieren

Schließen Sie die Konfiguration im Devin Desktop Portal ab (https://windsurf.com/team/settings).

Aktivieren Sie auf der Devin Desktop SSO-Einstellungsseite den Toggle SAML Settings, damit die Felder bearbeitet werden können, und füllen Sie dann aus:
- Pick your SSO ID: Wählen Sie eine eindeutige Kennung für das Login-Portal Ihres Teams (diese kann später nicht mehr geändert werden)
- IdP Entity ID: Kopieren Sie den Wert aus Microsoft Entra ID unter Set up Devin Desktop → Microsoft Entra Identifier
  Die IdP Entity ID-URL muss mit einem nachgestellten / enden (z. B. https://sts.windows.net/{tenant-id}/). Wenn die URL den abschließenden Schrägstrich nicht enthält, fügen Sie ihn manuell hinzu.
- SSO URL: Kopieren Sie den Wert Login URL aus Microsoft Entra ID
- X509 Certificate: Laden Sie das SAML certificate (Base64) aus Microsoft Entra ID herunter, öffnen Sie die Datei und fügen Sie den Textinhalt hier ein
Testen Sie die Konfiguration: Klicken Sie im Devin Desktop Portal auf Test, um zu prüfen, ob die SSO-Konfiguration wie erwartet funktioniert.
Klicken Sie nach einem erfolgreichen Test auf Save, um die Konfiguration zu übernehmen. Die Schaltfläche Save erscheint erst nach einem erfolgreichen Test.

Wichtig: Melden Sie sich nicht ab und schließen Sie die Devin Desktop-Einstellungsseite nicht, bevor Sie die Anmeldung erfolgreich getestet haben. Wenn der Test fehlschlägt, müssen Sie möglicherweise zuerst Ihre Konfiguration überprüfen, bevor Sie fortfahren.

Devin Desktop Enterprise unterstützt jetzt die Anmeldung per Single Sign-On (SSO) über SAML. Wenn Ihre Organisation Microsoft Entra, Okta, Google Workspaces oder einen anderen SAML-fähigen Identity Provider verwendet, können Sie SSO mit Devin Desktop nutzen.

Devin Desktop unterstützt nur SP-initiiertes SSO; IdP-initiiertes SSO wird derzeit NICHT unterstützt.

IdP-Anwendung konfigurieren

Klicken Sie in der linken Seitenleiste auf Applications und dann auf Create App Integration

Wählen Sie SAML 2.0 als Anmeldemethode aus

Legen Sie den App-Namen als Devin Desktop fest (oder vergeben Sie einen anderen Namen) und klicken Sie auf NextKonfigurieren Sie die SAML-Settings wie folgt:

Single sign-on URL auf https://auth.windsurf.com/__/auth/handler
Audience URI (SP Entity ID) auf www.codeium.com
NameID format auf EmailAddress
Application username auf Email

Konfigurieren Sie die Attribut-Statements wie folgt und klicken Sie dann auf Next.

Wählen Sie im Abschnitt feedback „This is an internal app that we have created“ aus und klicken Sie auf Finish.

Okta als SAML-Provider registrieren

Sie sollten zum Tab Sign on Ihrer benutzerdefinierten SAML-Anwendung weitergeleitet werden. Übernehmen Sie nun die Informationen auf dieser Seite in die SSO-Settings von Devin Desktop.

Öffnen Sie https://windsurf.com/team/settings und klicken Sie unter SSO and SAML Configuration auf Configure
Aktivieren Sie den Toggle SAML Settings, damit die Felder bearbeitet werden können
Kopieren Sie den Text nach „Issuer“ auf der Okta-Anwendungsseite und fügen Sie ihn unter Idp Entity ID ein
Kopieren Sie den Text nach „Sign on URL“ auf der Okta-Anwendungsseite und fügen Sie ihn unter SSO URL ein
Laden Sie das Signing Certificate herunter und fügen Sie es unter X509 certificate ein
Testen Sie die Anmeldung mit der Schaltfläche Test. Sie sollten eine Erfolgsmeldung sehen:

Klicken Sie auf Save, um die Konfiguration zu übernehmen. Die Schaltfläche Save erscheint erst nach einem erfolgreichen Test.

An diesem Punkt sollte alles konfiguriert sein, und Sie können nun Nutzer zur neuen Devin Desktop Okta-Anwendung hinzufügen.Sie sollten die benutzerdefinierte Login Portal URL Ihrer Organisation mit Ihren Nutzern teilen und sie bitten, sich über diesen Link anzumelden.

Nutzer, die sich per SSO bei Devin Desktop anmelden, werden automatisch für das Team freigegeben.

Einschränkungen

Beachten Sie, dass Devin Desktop derzeit keine IdP-initiierten Anmeldeabläufe unterstützt.Außerdem unterstützen wir OIDC noch nicht.

Fehlerbehebung

Dies weist auf eine ungültige SSO-ID oder eine falsche SSO-URL hin. Stellen Sie sicher, dass sie alphanumerisch ist und keine zusätzlichen Leerzeichen oder ungültigen Zeichen enthält. Gehen Sie die Schritte in dieser Anleitung bitte noch einmal durch und stellen Sie sicher, dass Sie die richtigen Werte verwenden.

Dies weist darauf hin, dass Ihre IdP Entity ID ungültig ist. Bitte stellen Sie sicher, dass Sie sie korrekt aus dem Okta-Portal kopieren, ohne zusätzliche Zeichen oder Leerzeichen vor oder nach der Zeichenfolge.

Failed to verify the signature in samlresponse

Dies weist auf einen falschen Wert Ihres X509-Zertifikats hin. Bitte stellen Sie sicher, dass Sie den richtigen Schlüssel kopieren und dass er wie folgt formatiert ist:

-----BEGIN CERTIFICATE-----
value
------END CERTIFICATE------

Devin Desktop unterstützt die SCIM-Synchronisierung für Nutzer und Gruppen mit Microsoft Entra ID. Die Einrichtung von SSO ist für die Nutzung der SCIM-Synchronisierung nicht erforderlich, wird jedoch dringend empfohlen.Sie benötigen:

Admin-Zugriff auf Microsoft Entra ID
Admin-Zugriff auf Devin Desktop
Eine vorhandene Devin-Desktop-Anwendung in Entra ID (normalerweise aus Ihrer bestehenden SSO-Anwendung)

Erforderliche Berechtigungen für den Service-SchlüsselDer für die SCIM-Provisionierung verwendete Service-Schlüssel muss über die folgenden Berechtigungen verfügen:

Teams Read-Only - Erforderlich zum Lesen von Nutzer- und Gruppeninformationen
Teams Update - Erforderlich zum Erstellen und Aktualisieren von Nutzern und Gruppen
Teams Delete - Erforderlich zum Deaktivieren/Löschen von Nutzern und Gruppen

Sie können eine benutzerdefinierte Rolle mit diesen Berechtigungen erstellen oder eine vorhandene Administratorrolle verwenden, die diese Berechtigungen enthält.

Schritt 1: Eine Rolle mit SCIM-Berechtigungen erstellen

Bevor Sie die SCIM-Provisionierung einrichten, müssen Sie eine Rolle mit den erforderlichen Berechtigungen erstellen.

Rufen Sie Windsurf Team Settings auf
Unter “Other Settings” klicken Sie neben Role Management auf Konfigurieren
Klicken Sie auf Rolle hinzufügen und geben Sie ihr den Namen “SCIM Provisioning”
Fügen Sie die folgenden Berechtigungen hinzu:
- Teams Read-Only
- Teams Update
- Teams Delete
Klicken Sie auf Save

Schritt 2: Zur vorhandenen Devin Desktop-Anwendung navigieren

Navigieren Sie zu Microsoft Entra ID in Azure, klicken Sie in der linken Seitenleiste auf „Unternehmensanwendungen“ und dann auf die vorhandene Devin Desktop-Anwendung in der Liste.

Schritt 3: SCIM-Bereitstellung einrichten

Klicken Sie auf „Get started“ unter „Provision User Accounts“ in der Mitte (Schritt 3) und anschließend erneut auf „Get started“.

Wählen Sie auf der Seite „Provisioning-Setup“ die folgenden Optionen aus.Bereitstellungsmodus: AutomatischAdmin Credentials > Tenant URL: https://server.codeium.com/scim/v2

Lassen Sie die Azure-Provisioning-Seite geöffnet, wechseln Sie nun zum Devin Desktop-Webportal und klicken Sie oben in der Navigationsleiste auf das Profilsymbol. Wählen Sie unter Team Settings die Option „Service Key“ und klicken Sie auf „Service Key hinzufügen“. Geben Sie einen beliebigen Schlüsselnamen ein (z. B. ‚Azure SCIM Provisioning‘), wählen Sie die zuvor erstellte Rolle „SCIM Provisioning“ und klicken Sie auf „Service Key erstellen“. Kopieren Sie den ausgegebenen Schlüssel, kehren Sie zur Azure-Seite zurück und fügen Sie ihn als Secret Token ein.

(Was Sie nach dem Erstellen des Schlüssels auf Devin Desktop sehen sollten)Klicken Sie auf der Provisioning-Seite auf „Test Connection“. Damit sollte die SCIM-Verbindung überprüft worden sein.Klicken Sie nun oberhalb des Provisioning-Formulars auf „Speichern“.

Schritt 4: SCIM-Bereitstellung konfigurieren

Nach dem Klicken auf „Speichern” sollte auf der Bereitstellungsseite eine neue Option „Mappings” erschienen sein. Erweitern Sie „Mappings” und klicken Sie auf „Provision Microsoft Entra ID Users”

Löschen Sie unter Attribut-Mappings alle Felder unterhalb von displayName, sodass nur die Felder userName, active und displayName verbleiben.

Klicken Sie nun bei „active“ auf „Edit“. Ändern Sie unter „Expression“ das Feld zu

NOT([IsSoftDeleted])

Klicken Sie anschließend auf „Ok“.Ihre Nutzerattribute sollten wie folgt aussehen

Klicken Sie auf der Seite „Attribute Mapping“ oben auf „Save“ und kehren Sie zur Seite „Provisioning“ zurück.Klicken Sie auf derselben Seite unter „Mappings“ auf „Provision Microsoft Entra ID Groups“. Klicken Sie dort nur bei „externalId“ auf „Löschen“ und anschließend oben auf „Speichern“. Navigieren Sie zurück zur Seite „Provisioning“.

Unten auf der Provisioning-Seite sollte außerdem ein Toggle für den Provisioning-Status vorhanden sein. Setzen Sie diesen auf „Ein”, um die SCIM-Synchronisierung zu aktivieren. Ab sofort werden Ihre Nutzer und Gruppen für die Entra ID-Anwendung alle 40 Minuten mit Devin Desktop synchronisiert.

Klicken Sie auf „Speichern”, um den Vorgang abzuschließen. Die Nutzer- und Gruppensynchronisierung für SCIM ist nun aktiviert. Es werden nur Nutzer und Gruppen mit Devin Desktop synchronisiert, die der Anwendung zugewiesen sind. Hinweis: Aufgrund des SCIM-Designs von Azure werden entfernte Nutzer lediglich für den Zugriff auf Devin Desktop deaktiviert (und ihr Sitzplatz wird freigegeben) – sie werden jedoch nicht gelöscht.

Devin Desktop unterstützt die SCIM-Synchronisierung für Nutzer und Gruppen mit Okta. Es ist nicht erforderlich, SSO einzurichten, um die SCIM-Synchronisierung zu nutzen, wird jedoch dringend empfohlen.Sie benötigen:

Admin-Zugriff auf Okta
Admin-Zugriff auf Devin Desktop
Eine vorhandene Devin Desktop Application in Okta (normalerweise aus Ihrer bestehenden SSO-Anwendung)

Schritt 1: Zur vorhandenen Devin Desktop Application navigieren

Gehen Sie in Okta zu Applications, klicken Sie links in der Seitenleiste auf Applications und dann in der Anwendungsliste auf die vorhandene Devin Desktop-Anwendung.

Schritt 2: SCIM-Provisioning aktivieren

Klicken Sie im Tab General unter App Settings oben rechts auf Edit. Aktivieren Sie dann das Kontrollkästchen ‘Enable SCIM Provisioning’ und klicken Sie anschließend auf Save. Oben sollte nun ein neuer Tab Provisioning angezeigt werden.Gehen Sie jetzt zu Provisioning, klicken Sie auf Edit und tragen Sie in die folgenden Felder Folgendes ein:SCIM connector base URL: https://server.codeium.com/scim/v2Unique identifier field for users: emailSupported provisioning actions: Push New Users, Push Profile Updates, Push GroupsAuthentication Mode: HTTP HeaderFür HTTP Header - Authorization können Sie das Token hier generieren:

https://windsurf.com/team/settings und gehen Sie zu Service Key Configuration
Klicken Sie auf Configure, dann auf Add Service Key, und geben Sie Ihrem API key einen Namen
Kopieren Sie den API key, gehen Sie zurück zu Okta und fügen Sie ihn in HTTP Header - Authorization ein

Klicken Sie nach dem Ausfüllen von Provisioning Integration auf Save.

Schritt 3: Provisioning einrichten

Unter dem Tab Provisioning sollten links zwei neue Tabs erscheinen. Klicken Sie auf To App und dann auf Edit Provisioning to App. Aktivieren Sie die Kontrollkästchen für Create Users, Update User Attributes und Deactivate Users und klicken Sie auf Save.Nach diesem Schritt werden alle Nutzer, die der Gruppe zugewiesen sind, mit Devin Desktop synchronisiert.

Schritt 4: Gruppen-Provisioning einrichten (optional)

Um Gruppen mit Devin Desktop zu synchronisieren, müssen Sie angeben, welche Gruppen übertragen werden sollen. Klicken Sie in der Anwendung oben auf den Tab Push Groups. Klicken Sie jetzt auf + Push Groups -> Find Groups by name. Filtern Sie nach der Gruppe, die Sie hinzufügen möchten, stellen Sie sicher, dass Push group memberships immediately aktiviert ist, und klicken Sie dann auf Save. Die Gruppe wird erstellt und die Gruppenmitglieder werden mit Devin Desktop synchronisiert. Gruppen können dann verwendet werden, um auf der Analytics-Seite nach Gruppen-Analytics zu filtern.

Diese Anleitung zeigt, wie Groups in Devin Desktop mithilfe der SCIM API erstellt und verwaltet werden.Es kann Gründe geben, Groups manuell statt über den Identity Provider (Azure/Okta) bereitzustellen. Unternehmen möchten Groups möglicherweise aus einer anderen internen Quelle (HR-Website, Quellcodeverwaltungs-Tool usw.) beziehen, auf die Devin Desktop keinen Zugriff hat, oder sie benötigen eine feinere Kontrolle über Groups, als ihr Identity Provider bietet. Groups können daher alternativ über eine API per HTTP-Anfrage erstellt werden. Im Folgenden finden sich Beispiele für die HTTP-Anfrage via CURL.Hier gibt es 5 Haupt-APIs: Create Group, Add group members, Replace group members, Delete Group und List Users in a Group.

Gruppe erstellen

curl -k -X POST https://server.codeium.com/scim/v2/Groups -d '{
"displayName": "<group name>",
"schemas": ["urn:ietf:params:scim:schemas:core:2.0:Group"]
}' -H "Authorization: Bearer <api secret key>" -H "Content-Type: application/scim+json"

Gruppenmitglieder hinzufügen

curl -X PATCH https://server.codeium.com/scim/v2/Groups/<group name> -d '{"schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
"Operations":[
{
"op": "add",
"path":"members",
"value": [{"value": "<email 1>"}, {"value": "<email 2>"}]
}]}' -H "Authorization: Bearer <api secret key>" -H "Content-Type: application/scim+json"

Gruppenmitglieder ersetzen

curl -X PATCH https://server.codeium.com/scim/v2/Groups/<group name> -d '{"schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
"Operations":[
{
"op": "replace",
"path":"members",
"value": [{"value": "<email 1>"}, {"value": "<email 2>"}]
}]}' -H "Authorization: Bearer <api secret key>" -H "Content-Type: application/scim+json"

Gruppe löschen

curl -X DELETE https://server.codeium.com/scim/v2/Groups/<group name> -H "Authorization: Bearer <api secret key>" -H "Content-Type: application/scim+json"

Gruppe auflisten

curl -X GET -H "Authorization: Bearer <api secret key>" "https://server.codeium.com/scim/v2/Groups"

Nutzer in einer Gruppe auflisten

curl -X GET -H "Authorization: Bearer <api secret key>" "https://server.codeium.com/scim/v2/Groups/<group_id>"

Sie müssen zunächst die Gruppe erstellen und anschließend die Gruppe ersetzen, um eine Gruppe mit Membern anzulegen. Außerdem müssen Sie die Gruppennamen URL-kodieren, wenn der Gruppenname ein Sonderzeichen wie ein Leerzeichen enthält – ein Gruppenname wie ‘Engineering Group’ muss in der URL als ‘Engineering%20Group’ angegeben werden.Hinweis: Nutzer müssen zunächst in Devin Desktop angelegt werden (über SCIM oder durch manuelles Erstellen des Kontos), bevor sie einer Gruppe hinzugefügt werden können.

Nutzer-APIs

Es gibt auch APIs für Nutzer. Nachfolgend sind einige der gängigen SCIM-APIs aufgeführt, die Devin Desktop unterstützt.Einen Nutzer deaktivieren (zum Aktivieren false durch true ersetzen):

curl -X PATCH \
  https://server.codeium.com/scim/v2/Users/<user api key> \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <api secret key>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
    "Operations": [
      {
        "op": "replace",
        "path": "active",
        "value": false
      }
    ]
  }'

CLI-Zugriff für einen Nutzer deaktivieren (setzen Sie cliActive auf true, um ihn wieder zu aktivieren):

curl -X PATCH \
  https://server.codeium.com/scim/v2/Users/<user api key> \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <api secret key>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
    "Operations": [
      {
        "op": "replace",
        "path": "cliActive",
        "value": false
      }
    ]
  }'

Das Attribut cliActive legt fest, ob ein Nutzer auf Devin CLI zugreifen kann. Es ist unabhängig vom Attribut active – das Deaktivieren des CLI-Zugriffs hat keinen Einfluss auf den Sitzplatz des Nutzers oder seinen Zugriff auf andere Devin Desktop-Produkte. Ist cliActive für einen Nutzer nicht gesetzt, gilt für ihn die Standard-CLI-Zugriffsrichtlinie des Teams.Legen Sie ein Limit für den ACU-Zyklus pro Nutzer fest:

curl -X PATCH \
  https://server.codeium.com/scim/v2/Users/<user api key> \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <api secret key>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
    "Operations": [
      {
        "op": "replace",
        "path": "acuCycleLimit",
        "value": 100
      }
    ]
  }'

ACU-Zykluslimit pro Nutzer aufheben (der Nutzer unterliegt wieder den Limits seines Teams bzw. seiner Gruppe):

curl -X PATCH \
  https://server.codeium.com/scim/v2/Users/<user api key> \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <api secret key>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
    "Operations": [
      {
        "op": "remove",
        "path": "acuCycleLimit"
      }
    ]
  }'

Das Attribut acuCycleLimit (Dezimalwert, optional) überschreibt das ACU-Limit, das ein Nutzer im aktuellen Abrechnungszyklus verbrauchen kann. Es gilt nur für Teams mit ACU-Abrechnung – wird es für ein Team ohne ACU-Abrechnung gesetzt, wird die Anfrage mit HTTP 400 (scimType invalidValue) abgelehnt; das Zurücksetzen ist immer erlaubt. Der Wert muss eine nicht negative, endliche Zahl sein; 0 ist zulässig und sperrt den Nutzer für den aktuellen Abrechnungszyklus. Numerische Zeichenfolgen wie "250" werden ebenfalls akzeptiert, da einige Identity Provider (zum Beispiel Microsoft Entra) benutzerdefinierte Attribute als Zeichenfolgen senden. Das Attribut wird bei POST /Users (Nutzer mit einem initialen Limit erstellen), PUT /Users/<user api key> (weggelassen oder null = beibehalten, Wert = aktualisiert) und PATCH /Users/<user api key> (entweder ein pfadloser Wert {"acuCycleLimit": 100} oder die oben gezeigten pfadbasierten Operationen) unterstützt. Um die Überschreibung zurückzusetzen, verwenden Sie eine remove-Operation auf acuCycleLimit wie oben gezeigt; ein replace mit dem Wert null wird von der SCIM-Anfragevalidierung abgelehnt. acuCycleLimit wird in Antworten weggelassen, wenn für den Nutzer keine explizite Überschreibung vorliegt (dann gilt der Standard des Teams bzw. der Gruppe).Das schreibgeschützte Attribut effectiveAcuCycleLimit (dezimal) ist das Limit, das tatsächlich für den Nutzer gilt: die Nutzerüberschreibung, falls festgelegt, andernfalls das restriktivste Limit aus den Gruppenlimits des Nutzers und dem Teamlimit. Es wird bei Lesezugriffen auf einzelne Nutzer (GET /Users/<user api key> und gefilterten Abfragen) zurückgegeben, jedoch nicht auf ungefilterten GET /Users-Listenseiten. Ordnen Sie effectiveAcuCycleLimit nicht im Push-/Provisioning-Profil Ihres Identity Providers zu — es kann nicht geschrieben werden.In Okta oder Microsoft Entra wird acuCycleLimit als benutzerdefinierte SCIM-Attributzuordnung im Nutzerprofil konfiguriert.Nutzer erstellen:

curl -X POST \
  https://server.codeium.com/scim/v2/Users \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <api secret key>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
    "userName": "<email>",
    "displayName": "<full name>",
    "active": true
}'

Name aktualisieren:

curl -X PATCH \
  'https://<enterprise portal url>/_route/api_server/scim/v2/Users/<user api key>' \
    -H 'Authorization: Bearer <service key>' \
    -H 'Content-Type: application/scim+json' \
    -d '{
      "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
      "Operations": [
        {
          "op": "Replace",
          "path": "displayName",
          "value": "<new name>"
        }
      ]
   }'

API-Secret-Key erstellen

Gehen Sie zu https://windsurf.com/team/settings. Klicken Sie unter Service Key Configuration auf Add Service Key. Geben Sie einen beliebigen Schlüsselnamen ein (z. B. ‘Azure Provisioning Key’) und klicken Sie auf Create Service Key. Kopieren Sie den ausgegebenen Schlüssel und speichern Sie ihn; Sie können diesen Schlüssel nun verwenden, um die oben genannten APIs zu autorisieren.

Voraussetzungen

Diese Anleitung setzt voraus, dass Sie Duo konfiguriert haben und es als IdP Ihrer Organisation fungiert oder dass ein externer IdP konfiguriert ist.Sie benötigen Administratorzugriff auf Duo- und Devin Desktop-Konten.

Duo für Devin Desktop konfigurieren

Navigieren Sie zu Applications und fügen Sie einen generischen SAML-Service-Provider hinzu

Navigieren Sie in Team Settings zu SSO

Wenn Sie SAML zum ersten Mal aktivieren, müssen Sie Ihre SSO-ID einrichten. Sie können sie später nicht mehr ändern. Es wird empfohlen, dafür den Namen Ihrer Organisation oder Ihres Teams zu verwenden und nur alphanumerische Zeichen zu nutzen.
Kopieren Sie den Wert Entity ID aus dem Duo-Portal und fügen Sie ihn in das Feld IdP Entity ID im Devin Desktop-Portal ein.
Kopieren Sie den Wert Single Sign-On URL aus dem Duo-Portal und fügen Sie ihn in das Feld SSO URL im Devin Desktop-Portal ein.
Kopieren Sie den Zertifikatswert aus dem Duo-Portal und fügen Sie ihn in das Feld X509 Certificate im Devin Desktop-Portal ein

Kopieren Sie den Wert SP Identity ID aus dem Devin Desktop-Portal und fügen Sie ihn in das Feld Entity ID im Duo-Portal ein.
Kopieren Sie die Callback URL (Assertion Consumer Service URL) aus dem Devin Desktop-Portal und fügen Sie sie in das Feld Assertion Consumer Service (ACS) URL im Duo-Portal ein.
Konfigurieren Sie im Duo-Portal die Attributanweisungen wie folgt:

Aktivieren Sie die SAML-Anmeldung im Devin Desktop-Portal, damit Sie sie testen können.

HINWEIS: MELDEN SIE SICH AN DIESEM PUNKT NICHT AB UND SCHLIESSEN SIE DAS FENSTER NICHT.Wenn ein Fehler auftritt oder die Sitzung abläuft, überprüfen und korrigieren Sie Ihre Settings. Andernfalls müssen Sie Ihre SAML-Settings im Devin Desktop-Portal deaktivieren.Wenn Sie sich abmelden oder das Fenster schließen, ohne einen erfolgreichen Test zu bestätigen, könnten Sie ausgesperrt werden.

Sobald Ihr Test erfolgreich abgeschlossen wurde, können Sie sich abmelden. Sie können sich jetzt per SSO anmelden, wenn Sie die Team-/Organisationsseite mit der in Schritt 3 konfigurierten SSO-ID aufrufen.

https://www.windsurf.com/yourssoid/login

Voraussetzungen

Diese Anleitung setzt voraus, dass Sie PingID konfiguriert haben und es als IDP Ihrer Organisation fungiert oder dass ein externer IDP konfiguriert ist.Sie benötigen Administratorzugriff auf Ihre PingID- und Devin Desktop-Konten.

PingID für Devin Desktop konfigurieren

Navigieren Sie zu Applications und fügen Sie Devin Desktop als SAML-Anwendung hinzu

Navigieren Sie in Team Settings zu SSO

Wenn Sie SAML zum ersten Mal aktivieren, müssen Sie Ihre SSO-ID einrichten. Sie können sie später nicht mehr ändern.

Es wird empfohlen, dafür Ihren Organisations- oder Teamnamen zu verwenden und nur alphanumerische Zeichen zu nutzen.

Wählen Sie in PingID aus, die Konfiguration manuell einzugeben, und füllen Sie die Felder mit den folgenden Werten aus:

ACS-URLs - dies ist die Callback URL (Assertion Consumer Service URL) aus dem Devin Desktop-Portal.
Entity ID - dies ist die SP Entity ID aus dem Devin Desktop-Portal.

Kopieren Sie die Issuer ID aus PingID in den Wert IdP Entity ID im Devin Desktop-Portal.
Kopieren Sie den Wert Single Signon Service aus PingID in den Wert SSO URL im Devin Desktop-Portal.
Laden Sie das Signing Certificate aus PingID als X509 PEM (.crt) herunter, öffnen Sie die Datei und kopieren Sie ihren Inhalt in den Wert X509 Certificate im Devin Desktop-Portal.

Hinweis: Stellen Sie sicher, dass Sie die Anfangs- und Endzeilen mit 5 Bindestrichen (-) vollständig übernehmen und keine anderen Zeichen mitkopieren!

Stellen Sie bei den Attributzuordnungen sicher, dass Folgendes zugeordnet ist:

saml_subject - E-Mail-Adresse
firstName - Vorname
lastName - Nachname

Fügen Sie alle weiteren Richtlinien und Zugriffe hinzu oder bearbeiten Sie sie entsprechend den Anforderungen Ihres Setups bzw. Ihrer Organisation
Aktivieren Sie die SAML-Anmeldung im Devin Desktop-Portal, damit Sie sie testen können.

HINWEIS: MELDEN SIE SICH AN DIESEM PUNKT NICHT AB UND SCHLIESSEN SIE DAS FENSTER NICHT.Falls ein Fehler auftritt oder die Sitzung abläuft, überprüfen Sie Ihre Settings. Andernfalls müssen Sie Ihre SAML-Settings im Devin Desktop-Portal deaktivieren.Wenn Sie sich abmelden oder das Fenster schließen, ohne einen erfolgreichen Test zu bestätigen, könnten Sie ausgesperrt werden.

Sobald Ihr Test erfolgreich abgeschlossen wurde, können Sie sich abmelden. Sie können sich jetzt per SSO anmelden, wenn Sie mit der in Schritt 3 konfigurierten SSO-ID zu Ihrer Team-/Organisationsseite wechseln.

https://www.windsurf.com/yourssoid/login

Devin Desktop

Agent Command Center

Releases

Windsurf-Plugins

Konten

Sicherheit

SSO & SCIM einrichten

IdP-Anwendung konfigurieren

Teil 1: Enterprise-Anwendung in Microsoft Entra ID erstellen

Teil 2: SAML und Nutzerattribute in Microsoft Entra ID konfigurieren

Teil 3: SSO-Einstellungen im Devin Desktop Portal konfigurieren

IdP-Anwendung konfigurieren

Okta als SAML-Provider registrieren

Einschränkungen

Fehlerbehebung

Failed to verify the signature in samlresponse

Schritt 1: Eine Rolle mit SCIM-Berechtigungen erstellen

Schritt 2: Zur vorhandenen Devin Desktop-Anwendung navigieren

Schritt 3: SCIM-Bereitstellung einrichten

Schritt 4: SCIM-Bereitstellung konfigurieren

Schritt 1: Zur vorhandenen Devin Desktop Application navigieren

Schritt 2: SCIM-Provisioning aktivieren

Schritt 3: Provisioning einrichten

Schritt 4: Gruppen-Provisioning einrichten (optional)

Gruppe erstellen

Gruppenmitglieder hinzufügen

Gruppenmitglieder ersetzen

Gruppe löschen

Gruppe auflisten

Nutzer in einer Gruppe auflisten

Nutzer-APIs

API-Secret-Key erstellen

Voraussetzungen

Duo für Devin Desktop konfigurieren

Voraussetzungen

PingID für Devin Desktop konfigurieren

​IdP-Anwendung konfigurieren

​Teil 1: Enterprise-Anwendung in Microsoft Entra ID erstellen

​Teil 2: SAML und Nutzerattribute in Microsoft Entra ID konfigurieren

​Teil 3: SSO-Einstellungen im Devin Desktop Portal konfigurieren

​IdP-Anwendung konfigurieren

​Okta als SAML-Provider registrieren

​Einschränkungen

​Fehlerbehebung

​Login with SAML config failed: Firebase: Error (auth/operation-not-allowed)

​Login with SAML config failed: Firebase: SAML Response <Issuer> mismatch. (auth/invalid-credential)

​Failed to verify the signature in samlresponse

​Schritt 1: Eine Rolle mit SCIM-Berechtigungen erstellen

​Schritt 2: Zur vorhandenen Devin Desktop-Anwendung navigieren

​Schritt 3: SCIM-Bereitstellung einrichten

​Schritt 4: SCIM-Bereitstellung konfigurieren

​Schritt 1: Zur vorhandenen Devin Desktop Application navigieren

​Schritt 2: SCIM-Provisioning aktivieren

​Schritt 3: Provisioning einrichten

​Schritt 4: Gruppen-Provisioning einrichten (optional)

​Gruppe erstellen

​Gruppenmitglieder hinzufügen

​Gruppenmitglieder ersetzen

​Gruppe löschen

​Gruppe auflisten

​Nutzer in einer Gruppe auflisten

​Nutzer-APIs

​API-Secret-Key erstellen

​Voraussetzungen

​Duo für Devin Desktop konfigurieren

​Voraussetzungen

​PingID für Devin Desktop konfigurieren

IdP-Anwendung konfigurieren

Teil 1: Enterprise-Anwendung in Microsoft Entra ID erstellen

Teil 2: SAML und Nutzerattribute in Microsoft Entra ID konfigurieren

Teil 3: SSO-Einstellungen im Devin Desktop Portal konfigurieren

IdP-Anwendung konfigurieren

Okta als SAML-Provider registrieren

Einschränkungen

Fehlerbehebung

Login with SAML config failed: Firebase: Error (auth/operation-not-allowed)

Login with SAML config failed: Firebase: SAML Response <Issuer> mismatch. (auth/invalid-credential)

Failed to verify the signature in samlresponse

Schritt 1: Eine Rolle mit SCIM-Berechtigungen erstellen

Schritt 2: Zur vorhandenen Devin Desktop-Anwendung navigieren

Schritt 3: SCIM-Bereitstellung einrichten

Schritt 4: SCIM-Bereitstellung konfigurieren

Schritt 1: Zur vorhandenen Devin Desktop Application navigieren

Schritt 2: SCIM-Provisioning aktivieren

Schritt 3: Provisioning einrichten

Schritt 4: Gruppen-Provisioning einrichten (optional)

Gruppe erstellen

Gruppenmitglieder hinzufügen

Gruppenmitglieder ersetzen

Gruppe löschen

Gruppe auflisten

Nutzer in einer Gruppe auflisten

Nutzer-APIs

API-Secret-Key erstellen

Voraussetzungen

Duo für Devin Desktop konfigurieren

Voraussetzungen

PingID für Devin Desktop konfigurieren