Skip to main content
組織で SAML ベースのアイデンティティプロバイダー (例: SAML 経由の Microsoft Entra ID、ADFS、Ping Identity、OneLogin、その他の SAML 2.0 準拠 IdP) を使用している場合、汎用 SAML を使って Devin Enterprise 用の SSO を設定できます。
このガイドは、ネイティブ連携である Microsoft Entra ID (OIDC) や Okta (OIDC) ではなく SAML を使用したいお客様向けです。一般的には、可能な場合はネイティブの OIDC 連携を利用することを推奨しますが、状況によっては SAML SSO の方が適している場合もあります。

​
必要なもの

Devin 向けに SAML SSO (シングルサインオン) をセットアップするには、次の情報が必要です。これらは以下のセットアップ手順の中で順次収集し、最後のステップで Cognition のアカウントチームに送付します。
  • Sign In URL - IdP の SAML SSO エンドポイント (例: https://idp.example.com/sso/saml)
  • X509 Signing Certificate - IdP が SAML アサーションに署名するために使用する公開証明書
  • Identity Provider Domains - この IdP を通じて認証を行う、すべての会社のメールドメイン (例: example.com, subsidiary.example.com)
  • Group Attribute Name (IdP グループを使用する場合) - IdP がグループ所属情報を送信する際に使用する SAML 属性名

​
セットアップ手順

​
ステップ 1: IdP で SAML アプリケーションを作成する

ご利用のアイデンティティプロバイダの管理コンソールで、次の設定を使用して新しい SAML 2.0 アプリケーションを作成します。

​
ステップ 2: SAML 属性を設定する

IdP が SAML アサーション内で次の属性を送信するよう構成してください:
Devin はユーザーを識別するために nameidentifier 属性を使用します。多くの IdP は SAML の Name ID 値からこれを自動的に設定します。IdP が nameidentifier を個別の属性として送信しない場合は、ステップ 1 で Name ID Value がユーザーのメールアドレスになるように設定してください。

​
ステップ 3: グループアサーションを構成する (IdP グループに必須)

Devin でロールベースのアクセス制御に IdP Group Integration を使用する場合、IdP が SAML アサーション内でグループ所属情報を送信するように 必ず 構成する必要があります。これを行わない場合、ユーザーは認証自体には成功しますが、IdP グループは同期されません。
IdP グループ同期を有効にするには、SAML アプリケーションで グループ属性 を構成します:
正確な属性名は IdP によって異なる場合があります。グループ向けの一般的な属性名の例は次のとおりです:
  • http://schemas.xmlsoap.org/claims/Group
  • http://schemas.microsoft.com/ws/2008/06/identity/claims/groups
  • groups
  • memberOf
構成した正確な属性名を Cognition のアカウントチームと共有してください。 その情報に基づき、当社側で正しくマッピングします。

​
SAML を使用した Microsoft Entra ID

ネイティブな OIDC 連携ではなく SAML を使用して Microsoft Entra ID を利用している場合は、次の手順を実行します。
  1. Azure ポータルで、Enterprise Applications > 対象の SAML アプリ > Single sign-on の順に移動します
  2. Attributes & Claims で Add a group claim をクリックします
  3. Groups assigned to the application (推奨) または All groups を選択します
  4. Source attribute を、ご利用の環境に適した値 (例: sAMAccountName または Display name) に設定します
  5. Azure が生成する Claim name (例: http://schemas.microsoft.com/ws/2008/06/identity/claims/groups) を控え、Cognition のアカウントチームと共有します

​
その他の SAML アイデンティティプロバイダー

その他の IdP (ADFS、Ping Identity、OneLogin など) の場合:
  1. SAML アプリケーションの設定にグループ属性ステートメントを追加します
  2. ユーザーが所属するグループ情報を送信するように設定します
  3. 属性名を正確に控え、Cognition のアカウントチームと共有します

​
手順 4: Cognition への構成情報の送付

以下の情報を Cognition のアカウントチームに送信してください:
  1. Sign In URL (例: https://idp.example.com/sso/saml)
  2. X509 Signing Certificate (公開証明書ファイル、または PEM 形式でエンコードされたテキスト)
  3. Identity Provider Domains (この IdP に対応するすべてのメールドメイン)
  4. Group Attribute Name (IdP グループを使用する場合) — 手順 3 で設定した SAML 属性名 (完全一致)

​
ステップ 5: Cognition と連携して設定を完了する

構成情報を受け取った後、Cognition のアカウントチームは次の対応を行います。
  1. SAML 接続を作成し、Entity ID / Audience URI と connection name を提供します
  2. (該当する場合) グループ属性をマッピングし、ユーザーがログインするたびに IdP グループが自動的に同期されるようにします
Entity ID を受け取ったら、提供された値で SAML アプリケーションの Entity ID / Audience URI 設定を更新してください。
Devin は署名付きの SAML 認証リクエストを送信します。SAML メタデータファイルは次の URL から取得できます:
ここで、<connection_name> は Cognition のアカウントチームから提供された connection name です。このメタデータを IdP にインポートして、信頼関係の設定を完了し、リクエスト署名の検証を有効にしてください。

​
セットアップの検証

Entity ID を更新し、Cognition のアカウントチームから設定が完了したことが確認されたら、次の手順を実行します。
  1. Devin Enterprise の URL (例: https://<your_subdomain>.devinenterprise.com) にアクセスします
  2. ログインフローを開始するために Sign in with SAML (または同等の SSO (シングルサインオン) ボタン) をクリックします
  3. IdP のログインページにリダイレクトされるはずです
  4. 認証後、Devin Enterprise の組織に遷移するはずです
IdP グループが正しく動作していることを確認するには、次の手順を実行します。
  1. Devin の Webアプリで Settings > IdP Groups に移動します
  2. 少なくとも 1 人のグループメンバーがログインした後、IdP グループが一覧表示されているはずです
  3. グループはログインのたびに同期されるため、IdP 側でのメンバーシップの変更は、ユーザーが次回サインインした際に反映されます
IdP グループはユーザーのログイン時に取得されるため、グループメンバーシップの変更を反映させるには再認証が必要です。グループベースのアクセス制御の設定の詳細については、IdP Group Integration を参照してください。