Skip to main content
Devin は、長期的な認証情報の代わりに、OpenID Connect (OIDC) のワークロード ID フェデレーションを使用してクラウドサービスに認証できます。各 Devin セッションには、Devin が発行する短期間有効な ID トークンが付与され、クラウドプロバイダーがそのトークンを検証して一時的な認証情報と交換します。静的な APIキーやシークレットを Devin に保存する必要はありません。

​
仕組み

  1. すべてのDevinセッションには、Devinによって署名された短期間有効なIDトークンが自動的に発行され、セッションの有効期間中は更新されます。
  2. クラウドプロバイダーは、Devinの公開OIDC発行者に対してトークンを検証し、一時的かつスコープが限定されたアクセスを許可します。
トークンには、org_id、devin_id、requesting_user_emailなど、セッションを識別するクレームが含まれます。これにより、組織全体、特定のセッション、または特定のユーザーへのアクセスを許可する信頼ポリシーを作成できます。トークンは自動的に期限切れになるため、ローテーションや失効は必要ありません。

​
セットアップアクション

該当するアクションを環境ブループリントのinitializeセクションに追加します。

​
例: AWS

これにより、Devin は認証情報を保存することなく AWS コマンドを実行できます。
AWS 側で必要な前提条件と設定オプションについては、setup-aws-oidc のドキュメントを参照してください。

​
例: カスタムサービス

独自の API や内部サービスの場合は、ベース CLI を利用して、サービスが受け入れる任意のオーディエンス向けトークンをリクエストします。
サービスでDevin の OIDC 発行者を信頼し、公開されている JWKS (/.well-known/jwks.json) を使用してトークンを検証するよう設定します。発行者はDevin webappのオリジンです。https://app.devin.ai、またはEnterpriseデプロイメントの場合は独自ドメイン (例: https://yourdomain.devinenterprise.com) になります。

​
トークンのクレーム

トークンには以下のアイデンティティクレームが含まれます。これらは信頼ポリシーで参照でき、subject-keys を使用してトークンのサブジェクトを構成できます。サブジェクトは、選択したクレームの key:value ペアから作成されます。たとえば、--subject-keys "org_id" (デフォルト) を指定すると、org_id:a67b8de8-9483-4a9c-9662-51c3d2a45e88 のようなサブジェクトが生成されます。

​
セキュリティ特性

  • 長期的な認証情報は不要: トークンは短期間で期限切れとなり、自動的に更新されます。セッション終了時にローテーションや失効を行う必要はありません。
  • スコープが限定されたアクセス: オーディエンスでスコープが限定されたトークンは、リクエストされた特定のサービスに対してのみ有効です。また、信頼ポリシーにより、アクセスを許可できるIdentityを厳密に制御できます。
  • 監査可能なIdentity: トークンにはセッション、組織、リクエスト元ユーザーの情報が含まれるため、クラウド側の監査ログではすべてのアクションが特定のDevinセッションに紐付けられます。
カスタムドメインを使用するEnterpriseデプロイメントでは、アカウントごとに専用の署名キーが用意され、トークンの発行者はカスタムDevin URLになります。発行者URLと組織IDについては、Devin管理者またはCognitionサポートにお問い合わせください。