Este guia é para clientes que desejam usar SAML em vez das integrações nativas com Azure AD (OIDC) ou Okta (OIDC). Em geral, recomendamos usar a integração nativa com OIDC sempre que possível, mas existem situações em que o SSO baseado em SAML é preferível.
O que você vai precisar
- Sign In URL - O endpoint de SSO SAML do seu IdP (por exemplo,
https://idp.example.com/sso/saml) - X509 Signing Certificate - O certificado público que seu IdP usa para assinar as asserções SAML
- Identity Provider Domains - Todos os domínios de e-mail corporativos que irão autenticar por meio desse IdP (por exemplo,
example.com,subsidiary.example.com) - Group Attribute Name (se estiver usando grupos do IdP) - O nome do atributo SAML que seu IdP usa para enviar as associações a grupos
Instruções de configuração
Etapa 1: Crie um aplicativo SAML no seu IdP
| Configuração | Valor |
|---|---|
| ACS (Assertion Consumer Service) URL | https://auth.devin.ai/login/callback |
| Entity ID / Audience URI | Deixe em branco inicialmente — consulte a Etapa 5 |
| Name ID Format | urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress (recomendado) ou persistent |
| Name ID Value | Endereço de e-mail do usuário |
| Signature Algorithm | RSA-SHA256 |
| Digest Algorithm | SHA256 |
| Response Binding | HTTP-POST |
Etapa 2: Configurar atributos SAML
| Atributo SAML | Descrição | Obrigatório |
|---|---|---|
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier | Identificador único do usuário (geralmente o endereço de e-mail do usuário) | Sim |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress | Endereço de e-mail do usuário | Sim |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name | Nome de exibição do usuário | Recomendado |
Devin usa o atributo
nameidentifier para identificar usuários. A maioria dos IdPs preenche esse atributo automaticamente a partir do valor Name ID do SAML. Se o seu IdP não enviar nameidentifier como um atributo separado, certifique-se de que o Name ID Value na Etapa 1 esteja definido como o endereço de e-mail do usuário.Etapa 3: Configurar Declarações de Grupo (Obrigatório para Grupos do IdP)
| Atributo SAML | Valor |
|---|---|
| Nome do atributo | http://schemas.xmlsoap.org/claims/Group |
| Valor do atributo | Pertencimento do usuário aos grupos |
O nome exato do atributo pode variar dependendo do seu IdP. Nomes de atributo comuns para grupos incluem:
http://schemas.xmlsoap.org/claims/Grouphttp://schemas.microsoft.com/ws/2008/06/identity/claims/groupsgroupsmemberOf
Azure AD (Entra ID) com SAML
- No portal do Azure, vá para Enterprise Applications > seu app SAML > Single sign-on
- Em Attributes & Claims, clique em Add a group claim
- Selecione Groups assigned to the application (recomendado) ou All groups
- Defina o Source attribute como um valor adequado à sua configuração (por exemplo,
sAMAccountNameouDisplay name) - Anote o Claim name que o Azure gerar (por exemplo,
http://schemas.microsoft.com/ws/2008/06/identity/claims/groups) e compartilhe-o com a sua equipe de conta da Cognition
Outros provedores de identidade SAML
- Adicione uma declaração de atributo de grupo à configuração do seu aplicativo SAML
- Configure esse atributo para enviar os grupos aos quais o usuário pertence
- Anote o nome exato do atributo e compartilhe-o com a equipe de contas da Cognition
Etapa 4: Enviar a configuração para a Cognition
- URL de login (Sign In) (por exemplo,
https://idp.example.com/sso/saml) - Certificado de Assinatura X509 (o arquivo de certificado público ou o texto em formato PEM)
- Domínios do Provedor de Identidade (todos os domínios de e-mail associados a esse IdP)
- Nome do Atributo de Grupo (se estiver usando grupos do IdP) — o nome exato do atributo SAML configurado na Etapa 3
Etapa 5: Concluir a configuração com a Cognition
- Criar a conexão SAML e fornecer a você o Entity ID / Audience URI e um nome de conexão
- Mapear o atributo de grupo (se aplicável) para que os grupos do IdP sejam sincronizados automaticamente a cada login de usuário
Devin envia solicitações de autenticação SAML assinadas. Seu arquivo de metadados SAML estará disponível em:em que
<connection_name> é o nome de conexão fornecido pela sua equipe de contas da Cognition. Importe esses metadados no seu IdP para concluir a configuração de confiança e habilitar a verificação da assinatura das solicitações.Verificando sua configuração
- Acesse a URL do seu Devin Enterprise (por exemplo,
https://<your_subdomain>.devinenterprise.com) - Clique em Sign in with SAML (ou no botão de SSO equivalente) para iniciar o fluxo de autenticação
- Você deve ser redirecionado para a página de login do seu IdP
- Após a autenticação, você deve ser direcionado para a organização do seu Devin Enterprise
- Vá para Settings > IdP Groups no aplicativo web do Devin
- Você deve ver seus grupos do IdP listados depois que pelo menos um membro do grupo tiver feito login
- Os grupos são sincronizados a cada login, portanto, quaisquer alterações de participação nos grupos no seu IdP entrarão em vigor na próxima vez que um usuário fizer login
Os grupos do IdP são buscados no login do usuário, portanto, alterações na participação nos grupos exigirão nova autenticação. Consulte IdP Group Integration para mais detalhes sobre como configurar o controle de acesso baseado em grupos.