Esta guía es para clientes que desean usar SAML en lugar de las integraciones nativas de Azure AD (OIDC) u Okta (OIDC). En general, recomendamos usar la integración nativa de OIDC siempre que sea posible, pero hay ciertas situaciones en las que se prefiere el SSO con SAML.
Lo que necesitas
- Sign In URL - El endpoint de SAML SSO de tu IdP (por ejemplo,
https://idp.example.com/sso/saml) - X509 Signing Certificate - El certificado público que tu IdP usa para firmar las afirmaciones SAML
- Identity Provider Domains - Todos los dominios de correo electrónico de la empresa que se autenticarán mediante este IdP (por ejemplo,
example.com,subsidiary.example.com) - Group Attribute Name (si usas grupos del IdP) - El nombre del atributo SAML que tu IdP usa para enviar las membresías de grupo
Instrucciones de configuración
Paso 1: Crea una aplicación SAML en tu IdP
| Configuración | Valor |
|---|---|
| ACS (Assertion Consumer Service) URL | https://auth.devin.ai/login/callback |
| Entity ID / Audience URI | Déjalo en blanco por ahora — consulta el Paso 5 |
| Name ID Format | urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress (recomendado) o persistent |
| Name ID Value | Dirección de correo electrónico del usuario |
| Signature Algorithm | RSA-SHA256 |
| Digest Algorithm | SHA256 |
| Response Binding | HTTP-POST |
Paso 2: Configurar atributos SAML
| Atributo SAML | Descripción | Obligatorio |
|---|---|---|
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier | Identificador único de usuario (normalmente la dirección de correo electrónico del usuario) | Sí |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress | Dirección de correo electrónico del usuario | Sí |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name | Nombre para mostrar del usuario | Recomendado |
Devin usa el atributo
nameidentifier para identificar a los usuarios. La mayoría de los IdP lo completan automáticamente a partir del valor Name ID de SAML. Si tu IdP no envía nameidentifier como un atributo separado, asegúrate de que el Name ID Value del Paso 1 esté configurado con la dirección de correo electrónico del usuario.Paso 3: Configurar aserciones de grupos (obligatorio para grupos de IdP)
| Atributo SAML | Valor |
|---|---|
| Nombre del atributo | http://schemas.xmlsoap.org/claims/Group |
| Valor del atributo | Pertenencia del usuario a grupos |
El nombre exacto del atributo puede variar según su IdP. Nombres de atributo comunes para grupos incluyen:
http://schemas.xmlsoap.org/claims/Grouphttp://schemas.microsoft.com/ws/2008/06/identity/claims/groupsgroupsmemberOf
Azure AD (Entra ID) con SAML
- En el portal de Azure, ve a Enterprise Applications > tu aplicación SAML > Single sign-on
- En Attributes & Claims, haz clic en Add a group claim
- Selecciona Groups assigned to the application (recomendado) o All groups
- Establece Source attribute en un valor adecuado para tu configuración (por ejemplo,
sAMAccountNameoDisplay name) - Anota el Claim name que genera Azure (por ejemplo,
http://schemas.microsoft.com/ws/2008/06/identity/claims/groups) y compártelo con el equipo de cuenta de Cognition
Otros proveedores de identidad SAML
- Agrega una declaración de atributo de grupo a la configuración de tu aplicación SAML
- Configúrala para enviar las membresías de grupo del usuario
- Anota el nombre exacto del atributo y compártelo con tu equipo de cuenta de Cognition
Paso 4: Enviar la configuración a Cognition
- URL de inicio de sesión (por ejemplo,
https://idp.example.com/sso/saml) - Certificado de firma X509 (el archivo de certificado público o el texto codificado en PEM)
- Dominios del proveedor de identidad (todos los dominios de correo electrónico gestionados por este IdP)
- Nombre del atributo de grupo (si se usan grupos del IdP) — el nombre exacto del atributo SAML configurado en el Paso 3
Paso 5: Completar la configuración con Cognition
- Creará la conexión SAML y te proporcionará el Entity ID / Audience URI y un nombre de conexión
- Configurará el mapeo de tu atributo de grupo (si aplica) para que los grupos del IdP se sincronicen automáticamente en cada inicio de sesión de usuario
Devin envía solicitudes de autenticación SAML firmadas. Tu archivo de metadatos SAML estará disponible en:donde
<connection_name> es el nombre de conexión proporcionado por el equipo de cuentas de Cognition. Importa estos metadatos en tu IdP para completar la configuración de confianza y habilitar la verificación de la firma de las solicitudes.Verificar tu configuración
- Navega a tu URL de Devin Enterprise (por ejemplo,
https://<your_subdomain>.devinenterprise.com) - Haz clic en Sign in with SAML (o el botón de SSO equivalente) para iniciar el flujo de inicio de sesión
- Deberías ser redirigido a la página de inicio de sesión de tu IdP
- Después de autenticarte, deberías acceder a tu organización de Devin Enterprise
- Ve a Settings > IdP Groups en la aplicación web de Devin
- Deberías ver tus grupos de IdP listados después de que al menos un miembro del grupo haya iniciado sesión
- Los grupos se sincronizan en cada inicio de sesión, por lo que cualquier cambio en la pertenencia de usuarios a grupos en tu IdP tendrá efecto la próxima vez que un usuario inicie sesión
Los grupos de IdP se obtienen al inicio de sesión del usuario, por lo que los cambios en la pertenencia a grupos requerirán que el usuario vuelva a autenticarse. Consulta IdP Group Integration para más detalles sobre cómo configurar el control de acceso basado en grupos.