Skip to main content
Devin Enterprise は、ユーザーとグループの自動プロビジョニングに SCIM 2.0 をサポートしています。SCIM を使用すると、アイデンティティプロバイダー (Okta、Microsoft Entra ID、または SCIM 2.0 準拠の任意の IdP) からの変更がリアルタイムで Devin に反映されます。ユーザーは初回ログイン前に作成され、プロビジョニング解除されたユーザーは直ちに Enterprise のメンバーシップを失います。また、グループメンバーシップは次回のログインを待たずに同期された状態に保たれます。 SCIM は SSO (シングルサインオン) を補完します。SCIM の利用に SSO (シングルサインオン) は必須ではありませんが、強く推奨されます。
ログインベースのジャストインタイム (JIT) プロビジョニングは、SCIM を使用する際に無効にする必要があります。無効にしない場合、ログインのたびにグループが再同期され、SCIM によってプッシュされるグループと競合します。

​
SCIM で管理される項目

SCIM でプロビジョニングされたグループは、Devin では IdP グループ として表示されます。これらは、SSO (シングルサインオン) ログインで同期されたグループと同様に、Enterprise ロールや組織へのアクセスにマッピングできます。ログイン同期グループとは異なり、IdP で SCIM グループの名前を変更しても、Devin 内のロールおよび組織アクセスのマッピングは維持されます。

​
ステップ 1: SCIM 認証情報を取得する

  1. Devin で Settings → Enterprise → Membership に移動し、Members タブを選択します
  2. Members タブの下部にある User and IdP group provisioning セクションまでスクロールします
  3. SCIM base URL をコピーします
  4. SCIM bearer token の下にある Generate token をクリックし、Bearer トークンをコピーします
トークンを生成すると、ジャストインタイム (JIT) プロビジョニングは自動的にオフになり、IdP グループメンバーシップは SCIM 経由でのみ管理されます。ログインベースのグループ同期を引き続き利用する場合は、同じセクションで Just-in-time (JIT) provisioning トグルを再度オンにできます。ただし、SCIM の利用中は推奨されません。
Bearer トークンは一度しか表示されません。安全な場所に保管してください。同じ設定セクションからいつでもローテーションまたは無効化できます。

​
ステップ2: アイデンティティプロバイダー を設定する

SCIM は、既存の Devin SSO アプリとは別のアプリケーションとして設定します。アプリケーションを作成する
  1. Okta Admin Console で Applications → Applications に移動し、Browse App Catalog をクリックします
    Okta Applications ページの Browse App Catalog
  2. SCIM 2.0 Test App (OAuth Bearer Token) を検索します
    SCIM 2.0 Test App (OAuth Bearer Token) 統合を検索する画面
  3. Add Integration をクリックし、識別しやすい名前を付けます (例: Devin (SCIM))
    SCIM 2.0 Test App (OAuth Bearer Token) の Add Integration
アプリケーションを設定する
  1. アプリを開き、Provisioning → Integration に移動して Configure API Integration をクリックし、Enable API integration をオンにします
    • SCIM 2.0 Base Url: Devin の SCIM ベース URL
    • OAuth Bearer Token: Devin の Bearer トークン
    • Test API Credentials をクリックして接続をテストします。成功したら Save をクリックします
    ベース URL と Bearer トークンを使用して SCIM API 連携を設定する画面
  2. アプリを開き、Provisioning → To App に移動して Edit をクリックし、Create Users、Update User Attributes、Deactivate Users を有効にしてから、Save をクリックします
    Create Users、Update User Attributes、Deactivate Users を有効にする画面
  3. アプリを開き、Sign On に移動して Edit をクリックし、Application username format を Email に設定してから、Save をクリックします
    Sign On 設定で Application username format を Email に設定した画面
  4. アプリを開き、Provisioning → To App に移動して属性マッピングまでスクロールし、Go to Profile Editor をクリックします
    Go to Profile Editor ボタンがある属性マッピング表
  5. Profile Editor で Mappings をクリックします
    Okta Profile Editor の Mappings ボタン
    • 最初のタブ (Okta ユーザーからアプリ) で、appuser.givenName → firstName、appuser.familyName → lastName、appuser.email → email 以外のすべてのマッピングを Do not map に設定し、Save Mappings をクリックします
      givenName、familyName、email がマッピングされた最初のマッピングタブ
    • 2 番目のタブ (アプリから Okta ユーザー) で、user.firstName、user.lastName、user.email 以外のすべてのマッピングを Do not map に設定し、Save Mappings をクリックします
      firstName、lastName、email がマッピングされた2番目のマッピングタブ
ユーザーとグループを割り当てる
  • Assignments タブでユーザー (およびグループ) を割り当てます
  • グループを Devin に同期するには、Push Groups タブでもグループをプッシュします
ユーザーの userName にはメールアドレスを設定する必要があり、プロビジョニングされる勤務先メールアドレスと一致している必要があります。そのため、Okta アプリケーションのユーザー名形式は Email に設定し、Entra の userName と emails[type eq "work"].value のマッピングは同じ属性を参照させる必要があります。一致しない値は、Devin の SCIM エンドポイントで拒否されます。

​
ステップ3：グループをロールにマッピングする

割り当てられたユーザーは、ログインする前にデフォルトのEnterprise MemberロールでDevin enterpriseにプロビジョニングされます。プロビジョニングされたグループをロールや組織にマッピングするには、Settings → Enterprise → Membership の Groups (IdP) タブを開きます。

​
プロビジョニングとSSOログインの連携

  • SCIM 経由でプロビジョニングされたユーザーは、招待なしですぐに SSO (シングルサインオン) でログインできます
  • IdP でユーザーを無効化すると、そのユーザーの Enterprise メンバーシップは直ちに削除され、再割り当てすると復元されます
  • SCIM 経由でプッシュされたグループメンバーシップは、ユーザーの次回ログインを待たずに直ちに反映されます
  • ジャストインタイム (JIT) プロビジョニングがオフの場合、IdP グループメンバーシップのソースは SCIM のみです
  • ジャストインタイムプロビジョニングまたは手動招待で以前に作成されたユーザーは引き続き利用できます。IdP でユーザーを割り当てると、SCIM で管理されるようになります