メインコンテンツへスキップ
組織で SAML ベースのアイデンティティプロバイダー（例: SAML 経由の Azure AD、ADFS、Ping Identity、OneLogin、その他の SAML 2.0 準拠 IdP）を使用している場合、汎用 SAML を使って Devin Enterprise 用の SSO を設定できます。
このガイドは、ネイティブ連携である Azure AD (OIDC) や Okta (OIDC) ではなく SAML を使用したいお客様向けです。一般的には、可能な場合はネイティブの OIDC 連携を利用することを推奨しますが、状況によっては SAML SSO の方が適している場合もあります。

​
必要なもの

Devin 向けに SAML SSO（シングルサインオン）をセットアップするには、次の情報が必要です。これらは以下のセットアップ手順の中で順次収集し、最後のステップで Cognition のアカウントチームに送付します。
  • Sign In URL - IdP の SAML SSO エンドポイント（例: https://idp.example.com/sso/saml）
  • X509 Signing Certificate - IdP が SAML アサーションに署名するために使用する公開証明書
  • Identity Provider Domains - この IdP を通じて認証を行う、すべての会社のメールドメイン（例: example.com, subsidiary.example.com）
  • Group Attribute Name（IdP グループを使用する場合） - IdP がグループ所属情報を送信する際に使用する SAML 属性名

​
セットアップ手順

​
ステップ 1: IdP で SAML アプリケーションを作成する

ご利用のアイデンティティプロバイダの管理コンソールで、次の設定を使用して新しい SAML 2.0 アプリケーションを作成します。
設定値
ACS (Assertion Consumer Service) URLhttps://auth.devin.ai/login/callback
Entity ID / Audience URI一旦空欄のままにする — ステップ 5 を参照
Name ID Formaturn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress (推奨) または persistent
Name ID Valueユーザーのメールアドレス
Signature AlgorithmRSA-SHA256
Digest AlgorithmSHA256
Response BindingHTTP-POST

​
ステップ 2: SAML 属性を設定する

IdP が SAML アサーション内で次の属性を送信するよう構成してください:
SAML Attribute説明必須
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier一意のユーザー識別子（通常はユーザーのメールアドレス）はい
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddressユーザーのメールアドレスはい
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameユーザーの表示名推奨
Devin はユーザーを識別するために nameidentifier 属性を使用します。多くの IdP は SAML の Name ID 値からこれを自動的に設定します。IdP が nameidentifier を個別の属性として送信しない場合は、ステップ 1 で Name ID Value がユーザーのメールアドレスになるように設定してください。

​
ステップ 3: グループアサーションを構成する（IdP グループに必須）

Devin でロールベースのアクセス制御に IdP Group Integration を使用する場合、IdP が SAML アサーション内でグループ所属情報を送信するように 必ず 構成する必要があります。これを行わない場合、ユーザーは認証自体には成功しますが、IdP グループは同期されません。
IdP グループ同期を有効にするには、SAML アプリケーションで グループ属性 を構成します:
SAML AttributeValue
Attribute Namehttp://schemas.xmlsoap.org/claims/Group
Attribute Valueユーザーが所属するグループ
正確な属性名は IdP によって異なる場合があります。グループ向けの一般的な属性名の例は次のとおりです:
  • http://schemas.xmlsoap.org/claims/Group
  • http://schemas.microsoft.com/ws/2008/06/identity/claims/groups
  • groups
  • memberOf
構成した正確な属性名を Cognition のアカウントチームと共有してください。 その情報に基づき、当社側で正しくマッピングします。

​
SAML を使用した Azure AD (Entra ID)

ネイティブな OIDC 連携ではなく SAML を使用して Azure AD を利用している場合は、次の手順を実行します。
  1. Azure ポータルで、Enterprise Applications > 対象の SAML アプリ > Single sign-on の順に移動します
  2. Attributes & Claims で Add a group claim をクリックします
  3. Groups assigned to the application（推奨）または All groups を選択します
  4. Source attribute を、ご利用の環境に適した値（例: sAMAccountName または Display name）に設定します
  5. Azure が生成する Claim name（例: http://schemas.microsoft.com/ws/2008/06/identity/claims/groups）を控え、Cognition のアカウントチームと共有します

​
その他の SAML アイデンティティプロバイダー

その他の IdP（ADFS、Ping Identity、OneLogin など）の場合:
  1. SAML アプリケーションの設定にグループ属性ステートメントを追加します
  2. ユーザーが所属するグループ情報を送信するように設定します
  3. 属性名を正確に控え、Cognition のアカウントチームと共有します

​
手順 4: Cognition への構成情報の送付

以下の情報を Cognition のアカウントチームに送信してください:
  1. Sign In URL（例: https://idp.example.com/sso/saml）
  2. X509 Signing Certificate（公開証明書ファイル、または PEM 形式でエンコードされたテキスト）
  3. Identity Provider Domains（この IdP に対応するすべてのメールドメイン）
  4. Group Attribute Name（IdP グループを使用する場合） — 手順 3 で設定した SAML 属性名（完全一致）

​
ステップ 5: Cognition と連携して設定を完了する

構成情報を受け取った後、Cognition のアカウントチームは次の対応を行います。
  1. SAML 接続を作成し、Entity ID / Audience URI と connection name を提供します
  2. （該当する場合）グループ属性をマッピングし、ユーザーがログインするたびに IdP グループが自動的に同期されるようにします
Entity ID を受け取ったら、提供された値で SAML アプリケーションの Entity ID / Audience URI 設定を更新してください。
Devin は署名付きの SAML 認証リクエストを送信します。SAML メタデータファイルは次の URL から取得できます:
https://auth.devin.ai/samlp/metadata?connection=<connection_name>
ここで、<connection_name> は Cognition のアカウントチームから提供された connection name です。このメタデータを IdP にインポートして、信頼関係の設定を完了し、リクエスト署名の検証を有効にしてください。

​
セットアップの検証

Entity ID を更新し、Cognition のアカウントチームから設定が完了したことが確認されたら、次の手順を実行します。
  1. Devin Enterprise の URL（例: https://<your_subdomain>.devinenterprise.com）にアクセスします
  2. ログインフローを開始するために Sign in with SAML（または同等の SSO（シングルサインオン）ボタン）をクリックします
  3. IdP のログインページにリダイレクトされるはずです
  4. 認証後、Devin Enterprise の組織に遷移するはずです
IdP グループが正しく動作していることを確認するには、次の手順を実行します。
  1. Devin の Webアプリで Settings > IdP Groups に移動します
  2. 少なくとも 1 人のグループメンバーがログインした後、IdP グループが一覧表示されているはずです
  3. グループはログインのたびに同期されるため、IdP 側でのメンバーシップの変更は、ユーザーが次回サインインした際に反映されます
IdP グループはユーザーのログイン時に取得されるため、グループメンバーシップの変更を反映させるには再認証が必要です。グループベースのアクセス制御の設定の詳細については、IdP Group Integration を参照してください。